加密货币调查机构警告:朝鲜黑客组织Lazarus涉Solana钱包320万美元盗窃案
加密货币调查人员于2025年5月16日发布警报,指出多起Solana钱包共损失320万美元的事件呈现与朝鲜关联的Lazarus组织特征。失窃资产被迅速在链上抛售,通过跨链桥接转换为以太坊后,部分资金已通过Tornado Cash混币器完成洗钱。
资金流向追踪
5月16日受害者Solana地址中的代币被清空,资产经跨链桥接转入以太坊网络后,约400枚ETH(价值160万美元)于6月25日及27日分两批存入Tornado Cash。区块链研究员ZachXBT公开指出,该攻击手法与此前Lazarus组织活动高度相似。
调查人员最初通过监测Solana网络"C4WY...e525"地址的大额异动触发警报。被盗代币的跨链转移路径显示:资金最终流向以太坊钱包网络,其中约125万美元以DAI和ETH组合形式滞留于"0xa5...d528"地址,分析师推测其可能为后续洗钱做准备。
Lazarus组织作案模式
作为最活跃的国家级网络犯罪集团,Lazarus已被列为朝鲜制裁名单中的高级持续性威胁(APT)组织。其典型作案流程包括:
1. 通过钓鱼攻击或恶意软件渗透目标
2. 利用智能合约漏洞或钱包安全缺陷窃取资产
3. 将赃款快速转换为流动性资产并分散至多钱包
4. 借助混币器及免KYC即时兑换服务实施跨链洗钱
该组织2025年2月曾制造Bybit交易所15亿美元盗币案,2022年还涉及Harmony跨链桥1亿美元黑客事件。Tornado Cash虽在2022年遭美国制裁,但因去中心化架构仍被持续使用。2025年1月美国上诉法院基于言论自由考量撤销相关制裁后,该混币器活动呈明显回升趋势。
反洗钱挑战
尽管监管机构与交易所可对涉案地址进行标记,但Lazarus洗钱管道的高速运作与复杂架构,使得混币服务在隐匿资金流向方面仍具实效。行业专家呼吁加强跨链交易监控,尤其需关注突发性大额资产桥接行为。