北韓與加密大盜：Kelp DAO 漏洞如何掀起 5.78 億美元的腥風血雨

事件回顧：北韓與 5.78 億美元的腥風血雨

2024 年四月的加密市場再次被國家級駭客的血腥足跡染紅。根據區塊鏈安全公司與多家區塊鏈情報機構的聯合報告，僅在 4 月份，疑似北韓（北韓民主主義人民共和國，DPRK）支持的駭客組織共計盜走了起碼 5.78 億美元的数字资产，刷新了自 Bybit 以來單月最大被盜金額的紀錄。事件的導火索正是 Kelp DAO 在 4 月 6 日遭到的 2.92 億美元驚天大劫，緊接著在同月的第一天（愚人節）發生的 Drift 交易所 2.85 億美元被盜案，兩起案件的金額合計已突破 5 億美元門檻。

背後黑手：Lazarus Group 的子分支 TraderTraitor

安全研究機構 Tanuki42 與 LayerZero 官方在事後的分析報告中不約而同地指出，攻擊的源頭指向北韓情報機關支持的 Lazarus Group 的子單位——TraderTraitor。這個組織自 2022 年起開始活躍於去中心化金融（DeFi）平台，其手法多變，從最初的跨鏈橋漏洞利用，逐步演化為利用社交工程、偽造身份及遠程桌面工具的複合式攻擊。

在 Kelp DAO 案例中，攻擊者利用了 LayerZero 的單一驗證者（single‑verifier）配置缺陷，透過跨鏈訊息傳遞的驗證缺口，實現了對資金的無痕轉移。這種配置在多鏈部署的專案中被視為「快速上路」的捷徑，卻也成為安全最大的漏洞。

手法演進：從遠端 IT 工作 者到 AI 社交工程的蛻變

• 遠端 IT 工作 者滲透：早在 2023 年，美國財政部與 FBI 已對外警示，北韓情報部門派遣「IT 開發者」假冒遠端工作者，透過求職平台滲透科技公司，以盜取身份認證、賺取薪水，再將收益回流至國家武器計畫。這種手法在 2024 年仍然屢見不鮮，甚至在 2025 年初的 FBI 報告中仍有高達 60% 的加密騙局與此類「人力」滲透有關。
• 社交工程與 conference 偽裝：Drift 案件中，攻擊者不僅在線上偽裝成 quant trading firm，更在 2023 年 11 月的某大型加密會議現場，假借商務洽談與平台貢獻者面對面接觸，逐步建立信任關係後再發動內部竊取。這種「以人為本」的手法顯示，傳統的防火牆已無法完全抵禦具備心理操控能力的對手。
• AI 輔助欺騙：2025 年 4 月，Zerion 揭露了一起僅 10 萬美元的被盜案，攻擊者利用 AI 生成的虛假社交媒體帳號與語音合成，偽裝成專案方客服，成功騙取受害者的私鑰。此案的金額或許不大，卻顯示 AI 已成為「低門檻、高效率」的犯罪工具。

行業回應：凍資產的爭議與治理兩難

在 Kelp DAO 被盜後，Arbitrum Security Council 迅速作出決定，冻结了與攻擊相關的 30,766 ETH（約 1.1 億美元），成為首例由治理機構直接介入、阻止資金外流的案例。此舉被 Ledger CTO Charles Guillemet 描述為「結果可能是好的，但過程令人不安」。

凍資產的背後揭示了兩層矛盾：去中心化的理想與安全治理的現實需求。在 LayerZero 的跨鏈訊息框架中，單一驗證者的權限其實是被刻意設計的「安全閘門」；然而當該閘門被濫用時，是否應該由「治理委員會」直接干預成為業界熱議話題。Guillemet 指出，Kelp DAO 的漏洞並非智慧合約本身的錯誤，而是「基礎設施」與「配置」之間的失配，顯示攻擊已從代碼層面轉向系統層面。

儘管凍資產暫時止住了資金流失的洪流，但也讓不少社群成員對「治理機構」的可信度產生質疑。有些人認為，若沒有及時干預，將會有更多使用者血本無歸；另一派則堅信，任何單一組織的「救援」行為都可能破壞區塊鏈的不可變性與中立性，長遠來看只會加速對監管的依賴。

FBI 2025 年報告：加密犯罪的驚人規模

根據 FBI 2025 年 Internet Crime Complaint Center（IC3）報告，2025 年全年加密貨幣相關犯罪投訴件數達到 181,565 件，累計損失金額高達 113.7 億美元，佔全部網路犯罪損失的 56%。其中，60 歲以上的投資受騙者人數最多，投資騙局佔總投訴的 61%，金額更是逼近 13.7 億美元。

報告指出，傳統的社交工程手法正逐步與新興的人工智慧技術結合，形成「人機混合」的犯罪模式。AI 不僅可用來生成逼真的假身份、語音與文字，還能自動化篩選潛在受害者，實現「大規模客製化」攻擊。

防護建議：從技術到人心的全鏈條防御

• 身份多重驗證：除傳統的 2FA 外，建議專案方採用硬體錢包與生物辨識的複合式驗證，並在關鍵操作（如大額轉帳、合約升級）上強制使用多重簽章（Multisig）。
• 跨鏈訊息安全：對於使用 LayerZero、Polkadot XCMP 等跨鏈訊息協議的專案，必須杜絕「單一驗證者」配置，改用「多驗證者阈值」或「延遲觸發」機制，降低單點失效風險。
• 社群教育與警示：定期舉辦資安研討會，發佈真實案例分析，尤其是針對 conference、招聘會等場合的社交工程防範指南。
• 合作情報共享：建立跨專案、跨鏈的威脅情報平台，即時同步攻擊指紋、錢包地址與惡意 IP，形成防禦共同體。
• 法規遵循：配合美國財政部與 FBI 的制裁名單，對新加入的「遠端 IT 工作」候選人實施背景核查與在職人臉比對，杜絕國家級滲透。

結語：共識與行動的十字路口

北韓的網路攻擊已不再只是「遠端威脅」或「代碼漏洞」的簡單疊加，而是一套結合情報、社交工程、AI 自動化與資金流動的複合式戰略。面對這樣的對手，區塊鏈社群若仍停留在「不干預」的口號，只會讓損失一次次累積。Arbitrum 的凍資產決定或許是短期內的止血藥，卻也逼迫我們正視治理與安全之間的根本矛盾。

未來，產業需要在「保持去中心化精神」與「必要時的干預機制」之間找到平衡點，這不僅是技術問題，更是社群共識與法律合規的交錯點。否則，我們只能眼看著 5.78 億美元的數字變成又一個「被盜的傳奇」。