某些时候Telegram收到“好友”发送的账号异常提醒，声称账号若不及时解封将被注销。这类看似普通的诈骗背后，实则是朝鲜国家级APT组织Lazarus的手笔。该组织长期聚焦加密货币领域实施攻击，年窃取资产超20亿美元，覆盖普通炒币用户、Web3开发者、交易所及项目方高管等各类群体。本文将系统拆解Lazarus的核心攻击手法，复盘经典案例，帮助行业从业者清晰识别风险、规避攻击。

Lazarus隶属于朝鲜侦察总局，并非单一黑客团队，而是一支组织严密、分工清晰的"网络特种部队"，核心目标是通过攻击加密货币相关个人及机构获取经济利益，其主要作战单元及职责如下：

BlueNoroff：主攻加密货币及金融科技领域，擅长通过社会工程学手段（虚假招聘、虚假商务会议等）实施定向攻击，其攻击话术经过长期优化，可精准匹配目标群体的心理需求，曾主导多起针对加密货币初创企业的钓鱼攻击；

TraderTraitor（别名Jade Sleet/UNC4899）：专注攻击交易所及多签钱包，曾主导Bybit 14.6亿美元被盗案，技术手段精准且隐蔽，擅长利用供应链漏洞和前端代码篡改实现攻击，其恶意代码可规避主流安全检测工具；

Kimsuky：负责前期情报侦察，通过伪装身份收集目标个人信息、设备配置及组织架构，为后续攻击奠定基础，侦察周期通常为1-2周，会利用OSINT工具（如Shodan、Whois）收集目标公开信息，同时通过钓鱼邮件获取内部信息。

Lazarus的攻击历史可追溯至2016年，当年其成功窃取孟加拉国央行8100万美元；后续逐步将攻击重心转向加密货币领域，且攻击规模持续扩大：

2022年窃取Ronin Network 6.25亿美元
2024年全年被盗金额超5亿美元
2025年前11个月更是狂盗20.2亿美元，占全球加密货币被盗资金的76%

Lazarus的攻击逻辑具有高度标准化特征：以社会工程学为入口，突破目标设备防御，通过恶意软件实现持久化控制，最终窃取敏感信息及加密资产。针对不同目标群体，其攻击手法各有侧重，具体解析如下：

手法一：Telegram机器人解封骗局（针对普通炒币用户）

该手法主要针对普通加密货币用户，利用熟人信任及用户焦虑心理实施攻击，流程简单且成功率高，技术门槛低、传播速度快，具体步骤及细节如下：

盗号伪装身份：攻击者先通过钓鱼链接或恶意插件窃取用户Telegram好友账号，钓鱼链接通常伪装成"TG账号安全验证""好友助力解封"等形式，用户点击后会被诱导输入账号密码，进而被盗号；盗号后，攻击者会模仿好友的聊天语气，反复告知用户其Telegram账号存在异常，若不及时解封将被注销，持续制造焦虑感，部分攻击者还会发送伪造的"系统提示截图"，增强欺骗性。

推送钓鱼机器人：向用户发送仿冒Telegram官方的机器人链接（如@SpanlzBot、@SptaneBot），该机器人的名称、介绍及交互界面均照搬官方Spam Info Bot，甚至模仿官方的蓝色图标和验证按钮布局，误导用户认为其为正规解封渠道；机器人的自动回复话术与官方完全一致，当用户询问解封流程时，会引导用户进入"验证环节"。

骗取登录验证码：引导用户输入手机号后，提示用户点击"获取验证码"，实则该验证码为Telegram官方发送的账号登录验证码（用于异地登录或设备验证），攻击者的核心目标就是获取该验证码；为降低用户警惕，攻击者会编造"验证码仅用于解封验证，不会泄露个人信息"等借口，部分情况下还会发送伪造的"验证码安全提示"。

接管账号窃取资产：用户输入验证码后，攻击者立即通过验证码登录用户Telegram账号，同时修改账号绑定手机号，防止用户找回；随后，攻击者会全面搜索聊天记录中的助记词、私钥、钱包地址等敏感信息，重点查看与加密货币相关的聊天记录、文件传输记录，同时会检查用户设备绑定的钱包插件（如MetaMask）登录状态，若已登录则直接转走钱包内的加密资产；若用户产生质疑，攻击者会更换另一款仿冒机器人（将首个机器人的Imfo改为Info）继续诱导，骗局败露后则直接拉黑用户，切断联系。

手法二：GhostHire虚假招聘骗局（针对Web3开发者）

该手法是2024-2025年Lazarus针对Web3开发者的主要攻击方式，以高薪岗位为诱饵，将恶意代码包装为面试任务，实现设备入侵，针对性极强，具体流程及技术细节如下：

伪装招聘身份：攻击者在LinkedIn、Telegram、Discord等平台创建带有金标认证的虚假账号，伪装成Coinbase、Binance、Aave等头部机构的HR或技术负责人，账号头像采用AI生成的逼真职场形象，简历包装包含虚假的行业背景、项目经验（如"参与过DeFi协议开发""负责过交易所安全架构"），同时会发布虚假的职场动态，提升账号可信度；随后，攻击者会根据开发者的技术栈（如Solidity、Go、TypeScript）定制邀约话术，以"高薪远程开发岗""前沿DeFi项目合作""技术专家特聘"为诱饵，薪资开价通常高于行业市场价30%-50%，吸引开发者关注。

模拟正规面试流程：与开发者沟通后，以"团队筛选""技术评估"为由，模拟正规招聘流程——先以"团队正在准备评估题"为由拖延数分钟，营造真实工作场景；再发送专属Telegram机器人（如Tara's Assistant Bot），声称该机器人是"公司技术评估专用工具"，并将用户添加至机器人允许列表，告知开发者"通过机器人提交评估任务，将直接进入面试下一环节"。

投递恶意代码包：机器人向开发者发布看似专业的技术任务（如DeFi路由优化、智能合约审计、项目框架搭建），明确交付物、评估标准和时间限制（通常1小时内完成），营造紧迫感；随后发送名为UniRouter.zip的"面试代码包"，声称是任务基础框架，让开发者在此基础上开发；该压缩包经过加密处理，主流杀毒软件难以检测，包内包含入口点文件（如main.js、run.sh）、虚假的项目文档，掩盖恶意代码的存在。

触发设备感染：开发者在本地运行代码包后，包内的入口点文件会被立即触发，该文件会主动访问攻击者控制的C2服务器（通常为境外匿名服务器，IP地址多分布在东南亚、东欧地区），并通过user-agent信息自动识别开发者设备的操作系统（Windows/macOS/Linux），针对性下载恶意载荷：macOS系统会下载并执行/tmp/init（DownTroy.macOS），Windows系统会下载并执行%TEMP%\init.ps1（DownTroy.Windows），Linux系统会下载并执行/tmp/init（DownTroy.Linux）；恶意载荷会关闭设备的安全防护软件（如Windows Defender、macOS Gatekeeper），规避检测。

窃取敏感信息：恶意载荷运行后，会释放Lazarus定制的Stealer Suite窃取套件（7个模块化Shell脚本），针对开发者设备进行无死角数据收割，核心窃取目标包括：云服务密钥（AWS/Azure/阿里云）、DevOps凭证、版本控制（Git）账号及密码；区块链私钥、钱包扩展（MetaMask/Phantom）数据、.sol/.json钱包文件；密码管理器（1Password/LastPass）、浏览器凭证、TG聊天记录；macOS钥匙串、Apple Notes备忘录中的敏感信息；部分情况下，窃取套件还会利用开发者设备的内网权限，渗透至企业内部网络，获取更多核心数据。

手法三：GhostCall虚假会议骗局（针对项目方/高管）

该手法针对项目方高管、交易所负责人等群体，以商务会议为伪装，将恶意脚本包装为会议修复工具，实现设备控制，隐蔽性强，针对macOS/Windows高端办公设备定制，具体步骤及细节如下：

伪装身份发送邀约：攻击者伪装成红杉资本、a16z等顶级VC投资经理、行业头部合作方、交易所商务负责人，通过Calendly、企业邮箱、Telegram向高管发送"千万美元融资讨论""项目战略合作路演""行业闭门会议"的邀约，邀约邮件的发件人伪装成官方邮箱（如[email protected]），邮件内容包含详细的会议议程、参会人员介绍，附带仿冒Zoom/Teams的会议链接，链接域名与官方高度相似（如zoom-verify.com、teams-official.net），难以分辨。

加入会议后，制造技术故障陷阱：高管点击链接加入会议后，攻击者会在会议中制造"音频卡顿""摄像头无法开启""画面模糊"等假故障，故障效果逼真，让高管误以为是设备或软件问题；随后，由伪装成"会议技术支持"的账号出面沟通，声称是"Zoom/Teams SDK版本过低""设备与会议系统不兼容"导致，同时发送伪造的"版本检测报告"，增强说服力。

推送"修复脚本"，诱导执行：技术支持以"快速修复，不影响会议"为由，向高管发送针对其操作系统的"修复脚本"，并提供一键复制/执行的教程，降低操作门槛：macOS系统推送bash脚本，脚本内容包含curl命令，从攻击者服务器（https://[email protected]/494969/check）下载恶意代码，通过curl命令直接执行，无需用户额外操作; Windows系统推送PowerShell命令，声称"配置Zoom API密钥解决兼容问题"，实则指向攻击者的恶意服务器，执行后会自动下载恶意程序。

植入内存驻留木马，实现远程控制：脚本执行后，会在设备中植入Lazarus定制的内存驻留木马（PondRAT/ThemeForestRAT/RemotePE），这类木马无文件落地、绕过传统杀毒软件检测，实现对设备的完全控制：PondRAT为轻量跨链木马，负责基础的系统信息收集、C2通信，可实时传输设备操作记录；ThemeForestRAT隐身能力强，负责进程注入、横向移动，可隐藏自身进程，规避任务管理器检测；RemotePE高度加密，负责长期持久化控制、敏感数据外发，采用AES-256加密算法，难以被破解。通过这些木马，攻击者可实时监控高管的设备操作，窃取企业核心数据。

手法四：供应链+零日漏洞（针对交易所/大型DeFi协议）

该手法为Lazarus针对高价值目标的高阶攻击方式，不直接攻击目标主体，而是通过第三方合作方突破，结合零日漏洞实现大规模资产窃取，攻击周期长、计划周密，Bybit 14.6亿美元被盗案为典型案例，具体流程及技术细节如下：

渗透第三方合作方：攻击者不直接攻击交易所，而是锁定交易所的核心合作方——多签钱包服务商Safe{Wallet}，花费数周时间收集Safe{Wallet}开发者信息、开发环境配置、云服务部署细节（通过OSINT工具及钓鱼邮件获取）；随后，通过钓鱼邮件、虚假招聘等方式入侵Safe{Wallet}开发者的笔记本电脑，钓鱼邮件伪装成"Safe{Wallet}系统更新通知"，诱导开发者点击附件，植入恶意程序；恶意程序会窃取开发者的AWS会话令牌，并利用CVE-2024-38193漏洞绕过多因素认证，获得Safe{Wallet}云服务（S3存储桶）的访问权限。植入定向恶意代码：在Safe{Wallet}的AWS S3存储桶中，注入专门针对Bybit多签冷钱包地址的恶意JavaScript代码，该代码采用条件判断逻辑，仅对Bybit的钱包地址触发，其他用户访问无异常，隐蔽性极强；恶意代码会监听用户的交易操作，当检测到Bybit相关的交易请求时，自动触发篡改逻辑，且代码经过混淆处理，安全审计难以发现异常。

利用正常操作，触发恶意交易：当Bybit财务团队进行冷钱包转热钱包的正常资金操作时，高管在Safe{Wallet}界面确认交易，此时恶意代码在前端界面层篡改交易收款地址——界面显示的是Bybit内部热钱包地址（0x123...），实际交易地址被替换为攻击者控制的钱包地址（0x456...），篡改过程瞬间完成，无任何界面异常提示，高管无法察觉。

签名确认，完成资产窃取：由于界面无异常，Bybit签名者在硬件钱包（如Ledger、Trezor）上正常签署交易，交易上链后，401347枚ETH及stETH被直接转走，单次损失达14.6亿美元；交易上链哈希为0x789...，可在Etherscan上查询。

快速清除痕迹，启动洗钱流程：交易完成后2分钟内，攻击者立即上传干净的JS代码覆盖恶意文件，消除攻击痕迹，同时删除S3存储桶的访问日志，让审计难以追溯；随后通过跨链桥（Chainflip）将ETH桥接至比特币网络，利用中心化混币器（如Tornado Cash）、匿名钱包进行洗钱，将资产分散至数千个匿名钱包，掩盖资金流向，规避各大交易所的风控系统。

此外，Lazarus还频繁利用零日漏洞实施攻击，核心包括：Chrome零日漏洞（如CVE-2024-4947/CVE-2024-38193），利用Chrome V8引擎漏洞，通过恶意网站实现远程代码执行，绕过浏览器沙箱，无需用户执行脚本即可感染设备；pyyaml反序列化漏洞，在虚假开源项目中植入恶意yaml文件，利用Python的pyyaml库漏洞执行任意代码，针对交易所开发环境进行突破；macOS专属漏洞，利用苹果系统API漏洞，实现进程注入、持久化控制，规避macOS的Gatekeeper防护和TCC权限管控。同时，Lazarus在npm/PyPI等包管理器投放恶意软件包，采用命名混淆策略（如loadsh模仿lodash），诱导开发者下载安装，实现设备入侵。

手法五：AI赋能攻击

2024-2025年，Lazarus将AI技术深度融入攻击全流程，进一步提升攻击隐蔽性和成功率，成为其攻击链的"标配"，核心应用及技术细节如下：

AI生成虚假内容：利用生成式AI（如ChatGPT、Claude）撰写无语法错误的钓鱼邮件、招聘文案、项目白皮书，生成的内容贴合目标群体的语言习惯，难以分辨真假；同时，利用AI制作逼真的NFT资产、会议邀请函，甚至伪造项目官网，提升虚假信息的仿真度，降低目标警惕性；AI生成的内容会自动规避常见的钓鱼话术特征，减少被安全工具检测的概率。

Deepfake深度伪装：通过Deepfake技术生成逼真的视频面试画面、会议发言人形象，利用目标的公开视频、音频素材，训练AI模型，让"虚假应聘者""虚假投资经理"的面容、声音与简历/身份高度一致，可突破人脸核验、语音核验等安全措施；在视频面试中，AI可实时生成回应话术，模拟真实的职场沟通场景，成功潜伏至企业担任远程开发岗位，实现内部渗透。

AI代码混淆：利用AI对恶意代码、脚本进行语义保持的AI混淆，通过修改代码变量名、调整代码结构、添加无用代码片段等方式，让每个恶意样本的代码结构都不同，规避安全工具的特征检测；同时，AI可根据目标设备的安全环境，动态调整恶意代码的执行逻辑，提升代码的兼容性和隐蔽性，降低被杀毒软件拦截的概率。

AI精准定位目标：通过AI分析加密货币社区（如Twitter、Discord、Telegram）的用户数据，提取用户的持币数量、交易记录、职业信息等，精准定位高价值目标（持币多的个人、核心开发者、交易所高管），提升攻击效率，避免广撒网式攻击，降低被发现的风险。

案例1：2025年Bybit交易所14.6亿美元被盗（史上最大加密货币盗窃案）

作案团伙：TraderTraitor（Lazarus子团队）；作案手法：供应链投毒+前端界面篡改；

复盘：攻击者提前2天入侵多签钱包服务商Safe{Wallet}的开发者电脑，通过钓鱼邮件植入恶意程序，窃取其AWS会话令牌，并利用CVE-2024-38193漏洞绕过多因素验证，获取Safe{Wallet}云服务S3存储桶的访问权限；随后，在存储桶中植入专门针对Bybit的恶意JavaScript代码，该代码仅对Bybit的多签冷钱包地址触发，隐蔽性极强。当Bybit团队执行冷钱包转热钱包操作时，恶意代码在前端界面层篡改交易收款地址，界面显示为Bybit内部热钱包地址，实际被替换为攻击者控制的钱包地址，签名者在硬件钱包上正常签署交易后，401347枚ETH及stETH被瞬间转走，交易上链哈希为0x789...（可在Etherscan查询）。案发后，Bybit联合其他交易所提供流动性支持，同时启动资产追踪流程，截至目前，仅追回约1.2亿美元资产，其余资产已被攻击者通过混币器、跨链桥转移，难以追溯。

案例2：2024年DMM Bitcoin日本交易所3.05亿美元被盗

作案团伙：TraderTraitor；作案手法：LinkedIn虚假招聘+会话劫持；

复盘：攻击者伪装成招聘人员，在LinkedIn上创建虚假账号，伪装成日本本地金融科技公司的HR，联系DMM Bitcoin的钱包供应商Ginco的一名资深开发员工，以"高薪技术岗"为诱饵，邀请其参与技术面试；面试过程中，攻击者以"技术评估"为由，发送恶意Python代码包，声称是"面试测试任务"，诱导员工在本地运行。代码运行后，恶意程序窃取员工的登录Cookie及系统权限，攻击者利用Cookie绕过多因素认证，冒充该员工进入Ginco的内部系统，获取DMM Bitcoin的钱包操作权限；随后，攻击者操纵交易，将4502.9枚BTC（当时价值约3.05亿美元）转至自身控制的钱包地址，交易完成后删除操作日志，试图掩盖痕迹。此次攻击导致DMM Bitcoin资金链断裂，尽管其承诺将"采购等量的BTC"补偿用户，但最终仍无法维持运营，于2024年12月宣布关闭，预计2025年3月将