SEAL估算攻击前约8周已获访问
非营利网络安全组织 Security Alliance（SEAL）估算，与朝鲜有关联的黑客组织 TraderTraitor 在10月29日发生的63亿美元攻击前约8周，已经取得币安系统访问权限。SEAL称，攻击者可能在9月某个时间点完成入侵，并在初次入侵后持续隐蔽活动。
币安此前将攻击归因于虚假求职面试：攻击者控制一名员工设备并窃取凭证，随后进入交易所钱包基础设施。币安还称，相关活动可以追溯至6月，当时另一名员工的设备遭到入侵；美国联邦调查局则将攻击归因于TraderTraitor。
多起事件呈现长期访问特征
SEAL还发现，TraderTraitor在2026年的虚假招聘活动中关联至少4家空壳公司，包括citalab.net、citalab.com、bitfit.io和oddium.io。该组织估算，攻击者在Bitget遭遇3.88亿美元攻击前约6周已获得访问权限；在Kelp DAO遭遇2.93亿美元攻击前，曾访问LayerZero约6周；在AFX遭遇2400万美元攻击前，则潜伏约3周。
从这些时间线看，事件的关键风险不只是单次钱包失窃，而是攻击者可能先通过招聘环节和员工设备取得凭证，再利用较长潜伏期寻找高价值基础设施。我们的判断是，SEAL披露的“约8周”属于对访问持续时间的估算，不能直接等同于攻击者在整个期间都已控制钱包或完成资金转移；但它足以说明，仅依赖事后处置难以覆盖此类攻击，员工设备、招聘流程和凭证权限应被视为同一条攻击链上的环节。
