北韩"幽灵"开发者入侵DeFi：一人多职潜伏多个项目-华盟网

导语：2026年4月，DeFi行业连续遭遇重击。先是4月1日去中心化永续合约协议Drift Protocol遭2.85亿美元黑客攻击（疑似北韩所为），紧接着链上侦探ZachXBT再度抛出重磅炸弹——揭露北韩IT工人已渗透进多个Solana生态项目核心团队。这不是电影剧本，而是正在发生的真实安全危机。

书接上文：黑客也翻车：朝鲜 IT 劳工因为“123456”弱口令，把月入百万的洗钱后台给丢了

昨天发布的文章，给了一个链接，有人问是不是蜜罐？哈哈，上当了吧，IP全让我看到了。开开玩笑的，那个ZachXBT 提供的链接。

ZachXBT 公布之后就轰动了，事情的发展这让想起之前北京有一个案子,派人应聘服务员，利用侧录器复制顾客银行卡信息并偷窥密码，制作伪卡盗刷。

上面这个截图，承包了一周的笑点。

这原本是一个项目方互相“客气”或标榜功绩的推文，结果被 ZachXBT 揭穿：那个被他们夸成“大神”的开发者，真实身份竟然是受制裁国家的网络行动人员。

Stabble 发现后立刻吓坏了（因为他们也用了同一个人）

一、事件回顾：从Elemental到Stabble的链式反应

1.1 链上侦探ZachXBT的重磅调查

4月7日，知名链上侦探 ZachXBT全研究员，长期追踪区块链犯罪）在X平台发布调查，揭露 Solana（区块链网络）生态 Elemental DeFi（去中心化基础设施项目）长期雇佣了一名北韩（DPRK）政府背景的开发人员。

根据ZachXBT的调查，这名开发者使用化名 渡边惠介（Keisuke Watanabe的音译），在代码托管平台GitHub和社交平台上还使用过 kasky53、keisukew53、kdevdivvy、0xWoo 等多个身份。ZachXBT披露了他的完整姓名、关联的Solana和以太坊（Ethereum）钱包地址、电子邮件以及详尽的OSINT（开源情报）证据。

1.2 Stabble的”午夜惊魂”

ZachXBT的推文发布后数小时，另一个Solana协议 Stabble（去中心化交易所，TVL约175万美元）迅速反应。

Stabble的新团队在核对资料后惊恐地发现：这名北韩开发者渡边惠介正是他们约一年前雇佣的CTO（首席技术官）！

更巧合的是，Stabble的新团队刚刚在4周前（2026年3月中旬）接手该项目，还没来得及完成全面审计。

4月7日当天，Stabble官方账号发出紧急通告：

“EMERGENCY! 请所有流动性提供者立即撤出流动性！宁可谨慎，不可后悔。”

1.3 后果：TVL单日暴跌62%

消息公布后几小时内，Stabble的TVL从约 175万美元 暴跌至 不足66.3万美元，跌幅超过 62%。

不过，Stabble团队随后澄清：

没有发生任何漏洞攻击
没有发生安全事件
用户资金安全

新团队在后续声明中表示：”我们不是公关人员，我们是量化交易员和早期DeFi玩家。我们的首要任务是保护流动性提供者的安全。”

二、深度分析：北韩IT工人的”群控”模式

2.1 一人多职：同时为5-10个项目”打工”

这并非孤立事件。ZachXBT的长期调查揭示，这些北韩开发者通常由一个有组织的团队运作：

特征	具体表现
一人多职	一个真实存在的北韩开发者，会通过AI生成的头像、伪造的领英（LinkedIn）和 Upwork（自由职业平台）账号，同时为 5-10 个DeFi项目工作
资金流向	薪水通过洗币协议或中间人转往受制裁地址，最终流回朝鲜
组织化运作	团队系统性购买假的社会安全号码、Upwork和领英账户、电话号码和电脑租赁服务

2.2 他们如何做到的？

根据此前加密货币媒体Cointelegraph的报道，北韩开发者通常采用以下手段：

伪造身份文件：持有伪造的政府身份证件、电话号码
专业包装：创建专业的领英和Upwork个人资料
冒名顶替：有些人甚至冒充 Polygon Labs（以太坊侧链开发公司）、OpenSea（NFT交易平台）、Chainlink（预言机网络）等知名企业的员工
远程操作：通过VPN伪造地理位置，利用AnyDesk（远程桌面软件）等远程工具操作，实际设备位于他处
社交融入：参与团队的日常闲聊，学习”DeFi圈内话”（Degen Slang），看起来和普通的海外开发者毫无二致