朝鲜背景开发者嵌入主流DeFi生态，技术贡献成掩护

资深网络安全分析师泰勒·莫纳汉披露，与朝鲜存在关联的IT专业人员已深度介入去中心化金融领域多年。她在最新公开信息中指出，这些个体在2020年“去中心化金融热潮”期间，曾为多个知名协议提供核心代码支持。其简历中所列的多年区块链开发履历经核实基本真实，表明其技术投入具备实质基础，而非单纯虚构身份。

关键技术节点持续渗透，策略逐步隐蔽化

当被要求具体说明时，莫纳汉列举了SushiSwap、THORChain、Yearn Finance、Harmony、Ankr及Shiba Inu等多个项目作为典型案例。她特别提到Yearn团队因其严格的同行评审制度和对贡献者背景的审慎核查而表现突出，这种机制有效抑制了潜在的恶意渗透，相较之下其他平台风险敞口更大。

她同时预警，相关实体的运作模式正在演变，当前可能已启用非朝鲜籍人员执行部分线下接触任务。据估算，此类组织自进入加密行业以来，累计非法获取资产价值不低于67亿美元。

国家主导的网络犯罪规模持续扩张

朝鲜已成为全球范围内最活跃的国家级加密攻击力量。链上数据分析显示，2025年该国黑客团伙窃取的数字资产总额突破20.2亿美元，较前一年增长51%，占全年服务类安全事件总损失的76%。尽管整体攻击频次下降，但单次攻击金额显著提升。

这一趋势源于国家支持型团队提前部署技术人员，潜伏于交易所与托管机构内部以获取系统权限。得手后，资金通常被拆分为低于50万美元的小额交易，并借助跨链桥接工具、混币服务及中文地区金融网络完成清洗与变现。

新型社会工程攻击手段频繁曝光

安全联盟近期发现，该类团体正广泛采用伪造视频会议链接实施入侵。攻击流程始于受控的Telegram账号，冒充可信联系人邀请目标加入虚拟会议。会议中使用预先录制的视频制造真实对话假象，诱导用户下载伪装成软件更新的恶意程序，从而实现设备远程控制。

一旦成功入侵，攻击者不仅窃取敏感数据，还会利用劫持账户扩大攻击范围，形成横向移动链条。

攻击边界延伸至供应链与第三方系统

2024年3月1日发生的Bitrefill安全事件亦被怀疑源自朝鲜黑客组织。调查发现，攻击者通过感染员工终端设备，获取可访问内部系统的凭证，进而侵入数据库并清空热钱包资产，同时利用礼品卡发行渠道进行非法获利。

其使用的恶意软件特征、链上资金流转路径以及基础设施复用模式，均与历史上的拉撒路（Lazarus）和Bluenoroff等知名攻击组织高度一致，显示出高度连贯的技术传承与行动惯性。