2025年の暗号盗難は転機を迎える：北朝鮮の攻撃が過去最高の20.2億ドルに達し、マネーロンダリング周期は約45日

重点ポイント：

暗号行业的2025年正面临严峻考验。根据Chainalysis的数据，今年被盗资金总额已超过34亿美元，其中单一重大事件就占了15亿美元。更令人震惊的是，攻击手法日益高端化，防御变得愈发困难。

最令人担忧的现象是，已确认的攻击次数在减少，但每起事件的盗窃金额却急剧增加。最大规模的攻击与平均事件的损失比首次突破1000倍，甚至超越了2021年的牛市水平。

朝鲜盗窃创纪录：最高达20.2亿美元

与朝鲜相关的黑客组织在2025年的盗窃金额至少达20.2亿美元，同比增长51%。这成为朝鲜暗号盗窃史上最严重的一年，占全部确认攻击事件的76%。

累计来看，朝鲜盗取的加密货币总额至少达67.5亿美元，其规模之大令人望尘莫及。

朝鲜黑客的手法不断演进。过去仅是以IT人员身份潜入，现在则：

• 伪装成知名Web3、AI企业的招聘负责人，通过虚假招聘流程获取登录认证信息和源代码
• 装作目标为管理层的诈骗投资者和收购者，接触系统信息和高价值基础设施
• 通过复杂攻击手段干扰私钥管理和签名验证流程，绕过冷钱包保护

这些手法主要集中在战略性重要的AI和区块链企业，背后可能涉及国家级资金筹措和国际制裁规避。

前三大事件占全部损失的69%

2025年的数据显示暗号行业出现“极端化”。最大规模的攻击所盗资金达普通事件的1000倍，且前3起事件占据整体损失的69%。

这种集中度高意味着安全漏洞集中在某些平台。攻击者瞄准大型服务，采取追求最大影响的策略，导致一次成功就可能左右全年安全评价。

个人钱包方面，事件数激增至15.8万起（较2022年的5.4万起增长约3倍），受害者人数达8万人。但平均损失额呈下降趋势，显示攻击者在扩大目标用户的同时，单个事件的损失在缩小。

尤其在Solana网络，报告的受害者约2.65万人，凸显个人钱包安全问题的严重性。

朝鲜独特的洗钱模式：45天周期的结构化流程

大规模盗窃后，朝鲜黑客会展开高度结构化的洗钱手法。该流程约每45天循环一次，分为多个阶段。

第一阶段（0～5天）：即时分散

• DeFi协议流入激增+370%
• 混币服务利用率提升+135～150%
• 重点在于“立即与盗窃源头分离”

第二阶段（6～10天）：广泛扩散

• 转向KYC限制较少的交易平台（+37%）
• 逐步进入中心化交易所（+32%）
• 通过跨链桥（+141%）分散到其他链

第三阶段（20～45天）：最终变现

• 明显增加无需KYC的平台（+82%）和抵押服务（+87%）
• 积极利用中文洗钱网络（+33～1000%以上）
• 最终兑换成法币或其他资产

朝鲜黑客与其他网络犯罪者不同之处在于：高度依赖中文洗钱服务和抵押网络。超过60%的交易被拆分成50万美元以下的小额交易，增加追踪难度。

另一方面，朝鲜黑客几乎不使用以下服务：

• 借贷协议（-80%）
• 无KYC的交易平台（-75%）※存在矛盾
• P2P平台（-64%）
• 去中心化交易所（-42%）

由此推测，朝鲜的操作依赖特定中介合作，更偏好可信赖的本地合作伙伴，而非高自由度的服务。

DeFi安全演进：TVL增长但黑客损失保持低位

2024～2025年出现有趣现象：DeFi总锁仓资产（TVL）虽从2023年的低点大幅回升，但黑客攻击造成的损失仍维持在低水平。

2020～2021年：TVL与黑客损失同步增长 2022～2023年：两者同步下降 2024～2025年：TVL回升，黑客损失仍低稳

此变化具有两个重要意义：

安全措施的改善 2020～2021年DeFi早期，协议安全极为脆弱。如今，尽管TVL增加，黑客损失未随之上升，说明开发团队大幅强化了安全措施。

攻击目标的转移 同期个人钱包盗窃和中心化服务攻击激增，表明攻击者的关注点正从DeFi转向其他目标。

以2025年9月的协议事件为例，显示安全基础设施的改善效果。攻击发生时，安全监控平台提前18小时检测到异常活动，协议在20分钟内暂停，资金得以阻止流出。随后12小时内，所有被盗资金全部追回。特别值得注意的是，攻击者控制的300万美元资产被通过治理冻结，反而导致攻击者失去资金。

这种快速反应和有效性，标志着从早期DeFi攻击可能造成永久损失的局面，发生了根本性变化。

2026年挑战与行业启示

2025年的数据揭示：朝鲜在确认攻击次数减少74%的同时，盗窃金额反而增长51%。暗示可见的活动只是实际行动的一部分。

对行业而言，2026年的最大挑战包括：

强化对朝鲜特有洗钱特征的识别 明确识别特定服务类型、转账金额趋势、中国语网络利用模式等，有助于早期发现朝鲜黑客的行动。

加强高价值目标的防御 攻击次数虽减少，但破坏力增强。需警惕高级手法如钓鱼、社交工程等。尤其是AI和区块链企业等战略要地，传统安全措施已不足够。

提升监控与应对能力 如Venus事件所示，积极监控、快速响应和果断治理机制相结合，能最大限度减少损失。行业应推动此类安全措施的标准化。

朝鲜的盗窃不仅是网络犯罪，更是国家级战略行动。追踪其手法演变和操作方式的变化，是提升整个行业安全水平的关键课题。