朝鲜已将加密货币盗窃产业化，成为其核心收入来源之一。独立链上研究员 Taylor Monahan 的统计显示，2016年至2026年初，朝鲜相关黑客组织在263起已记录事件中，累计窃取约67.5亿美元。数据统计的偏差暴露了数百起针对个人、创始人及小型协议的零星盗窃案，并未纳入主流媒体的统计范围。2025年，整个加密生态系统共记录656起安全事件，造成总计34亿美元损失，其中79起事件被认定为与朝鲜有关，窃取金额高达20.6亿美元。虽然案件数量仅占总数的12%，但窃取资金总额却占总损失的近60%，凸显了朝鲜黑客行动的高度精准与庞大规模。
朝鲜黑客行动的演进轨迹清晰可见：从早期简单攻破热钱包，逐步升级为针对机构级基础设施发起复杂的供应链攻击。其发展轨迹表现为日益高价值的行动、工业化的洗钱渠道，以及数量庞大的、总价值堪比超级黑客攻击的小型盗窃案件。朝鲜黑客组织始终将目标锁定在人员和供应链的薄弱环节，而非智能合约代码漏洞。
朝鲜黑客组织的行动特征包括：构建“恶意软件工厂”，持续生成新样本；采用代码混淆技术、商业软件保护工具以及自定义封装器；在实施盗窃前潜伏数月，搜集情报；投入大量时间建立信任关系，擅长社会工程学攻击；演化速度快，始终领先于安全团队的适应速度。
朝鲜黑客战术演进经历了五个阶段：DDoS与破坏性攻击阶段（2007–2014）、传统银行基础设施阶段（2014–2017）、交易所热钱包阶段（2017–2019）、DeFi协议与跨链桥阶段（2020–2023）、供应链攻击阶段（2024–2025）。当前正处于物理渗透阶段。
代表性案例研究包括：Ronin跨链桥事件（2022年3月，损失约6.25亿美元）、Bybit交易所事件（2025年2月，损失约15亿美元）、Drift协议事件（2026年4月，损失约2.85亿美元）。这三起事件累计造成超24亿美元损失，清晰展现了朝鲜网络战能力的演进历程。
主要攻击集群包括：SquidSquad（擅长伪装成风险投资人、投资者和商业伙伴，专门锁定加密项目创始人、高管及高净值人群）、TraderTraitor（制造了规模最大的交易所和基础设施遇袭事件）、Contagious Interview（主要通过虚假面试和恶意代码库锁定开发者）、AppleJeus（专门制作植入木马的加密货币交易应用程序）、朝鲜IT工作者（利用伪造身份，设法获取西方企业的远程工作职位，暗中提供情报或协助盗窃行动）。
洗钱基础设施已达到产业化规模，深度整合了混币器、跨链桥、去中心化交易所（DEX）以及场外交易（OTC）承兑商。加密货币盗窃直接为大规模杀伤性武器计划提供资金。联合国监测机构及美国情报评估机构均已证实，窃取加密货币所得的收入，正源源不断地输送给朝鲜的核武器与弹道导弹研发项目。
生态系统影响包括：价格震荡、合规成本激增、连锁反应。国际应对措施包括：多边制裁监测小组（MSMT）、联合国打击网络犯罪公约、英韩战略网络伙伴关系、IT工作者欺诈打击、阻击影子银行、冻结稳定币。
防御建议包括：严格的身份验证、零信任招聘模式、降低通信风险、保护基础设施、提款延迟与熔断机制、硬件安全模块（HSM）。
2026年展望：朝鲜加密黑客行动将继续扩张，呈现以下趋势：AI增强型社会工程学、IT工作者渗透范围扩大、新型洗钱渠道、针对VSCode和IDE的攻击。
