--- title: "加密货币与勒索软件：最普遍的演变趋势" description: "WannaCry、Colonial Pipeline、LockBit、Change Healthcare——究竟谁该为此负责？为什么把罪责归咎于支付通道是找错了靶子？" language: zh published: 2026-05-02 author: Netts topic: "Insights" canonical: https://netts.io/blog/crypto-and-ransomware-most-common-tendencies?lang=zh languages: [en, ru, es, zh, th, fr, uk, tr, hi, fa, ar, ha, pt, vi, ko, ja, id, de, tl] translation_outdated: false --- # 加密货币与勒索软件：最普遍的演变趋势 WannaCry、Colonial Pipeline、LockBit、Change Healthcare——究竟谁该为此负责？为什么把罪责归咎于支付通道是找错了靶子？ 勒索信赫然出现在你的屏幕上，你将此视为一场灾难——这完全合情合理，因为它确实就是灾难。但与此同时，在另一个地方，有人正把它当成一次普通的客户服务呼叫。他们撰写了制式信函，甚至有专门的团队随时待命接收你的咨询。这里面包含定价方案、谈判流程，以及错过付款截止期限后你将面临的后果。其中一些勒索平台甚至获得了五星好评，附属加盟者评价勒索软件平台的方式，就像自由职业者评价项目管理软件一样。 这种鸿沟——从你的视角如何看待这一事件，与从他们的视角如何看待这一事件——恰恰是勒索软件众多耐人寻味之处的真正所在。技术细节、漏洞利用名称、涉案金额：这些都只是骨架。而驱动其运转的，是发生在交易双方心理层面的博弈。 勒索软件绝非小作坊产业。那些运作正规大型项目的人自视为解决了分发难题的企业家。产品已经就绪——即用于加密文件并建立施压筹码的软件——他们只需要一种能够转化为具有合理推诿性的收入来源，且不被绳之以法的方式。 所谓“勒索软件即服务”（RaaS）模式的兴起，以一种精妙的方式解决了这一问题，到2020年代初，它已成为该行业中最主流的架构；核心团队负责构建和维护恶意软件及基础设施（包括加密货币支付处理），同时从每笔成功支付的赎金中抽取提成（通常为20%）。加盟者负责实施网络入侵。核心团队甚至从不接触受害者的网络。解密密钥的管理对加盟者而言也从来不是难题。这就是勒索领域的劳动分工。 2022年2月，在俄罗斯发动军事行动后不久且该团伙公开宣布支持俄罗斯之前泄漏的Conti网络犯罪集团内部通讯记录，异常清晰地展现了这类组织的运作模式。聊天记录中充斥着人事纠纷、薪资谈判、新员工的技术设备订购、福利待遇及员工挽留讨论。一个不堪重负的管理团队，专注于生产力指标、加盟者招募与管理，以及业务连续性规划。Conti的运营者实际上在经营一家软件公司——虽然其产出摧毁了多家医院和市政系统，但其内部的日常体验与任何其他软件公司并无二致，那些管理邮件甚至像是出自某个创业公司的Slack群组。这是一个未被充分审视的细节，理应引起人们更多的警惕与不安。 ## 受害者所做的抉择 2021年5月，Joseph Blount向DarkSide勒索软件团伙支付了价值440万美元的比特币。他后来在参议院就这一决定作证。他表示批准这笔付款是因为无法清楚了解渗透的深度以及独立恢复需要多长时间，并补充称这是他职业生涯中最艰难的决定之一。 他没有公开言明或写下、但可以从其证词字里行间读出的一点是，处于这一决策漩涡中的真实内心感受。Colonial Pipeline买下的不仅仅是一个解密密钥，它是在花钱终止一种特定的感知——那种实时对已沿东海岸蔓延的燃油短缺、恐慌性抢购、加油站前的漫长车队，以及将地方运营困境升级为国家级政治灾难的媒体报道承担全部责任的窒息感。440万美元的权衡绝非纯粹的理性算计。它是为了能至少对自己说一句“我已经尽力了”所付出的代价。 ![加密货币与勒索软件：最普遍的演变趋势](https://netts.io/blog/images/body/c97527d2a1bcab0f83632cd1a3052ad28e154f42-1019.webp) 勒索软件运营者兜售的正是这一点。解密功能仅仅是名义上的产品。其核心产品是从一种无法承受的压力中获得解脱：正在发生的灾难后果，此刻完全取决于你在极端不确定性、信息极其匮乏、且在股东、监管机构和记者众目睽睽之下所做的决定。即便对于理论上能够从备份中恢复的组织而言，获取这种解脱的代价也往往高得惊人。因为重建需要数周时间，而压力就在当下。 FBI最终通过查扣存放资金的钱包私钥，成功追回了Colonial支付的约230万美元款项——这一收回行动以现实证据强有力地证明了一个事实：比特币的伪匿名性并不等于绝对匿名。但它也揭示了一个更为令人不安的现象：在付款后，Blount曾短暂感到如释重负，这虽非理性的局势应对，却是极其真实的人性本能。哪怕这种轻松感毫无根基，那一刻的解脱却是实实在在的。 对于拒绝支付赎金的受害者而言，他们经历的则是同一种心理机制的另一种折磨。他们做出了深思熟虑的决定，却在接下来的几周里眼睁睁看着：(1) 代价远超预期；(2) 备份和容灾冗余方案远没有想象中那么稳健；(3) 负责应急响应与各种缓解措施的公司给出的预估过于乐观；(4) 最终在某个时刻浮现出难以启齿的真相，永远改变了客户、员工和监管部门对他们的评价。这一定律始终成立：代价永远超出预定预算。事后大多数人都会声称如果重来一次他们还是会做同样的决定——这往往是人们为了说服自己时才会说的话。 到2020年代初成为行业标准的双重勒索模式——先窃取再加密，利用曝光公之于众的威胁来取代单纯的权限剥夺施压手段——并非技术上的突破，而是一次心理层面的升级。传统的攻击向量尚可用备份来化解。但泄露患者病历、员工薪资数据、供应商合同协议或高管往来邮件的风险，是任何技术手段都无法弥补的。它的打击维度完全不同：不再是业务连续性，而是声誉、隐私以及维系二者的信任体系。攻击者显然比受害者更了解其产品的威力所在。 ## 法外之地的庇护所 LockBit的幕后运营者在执法部门眼中绝非无名之辈。在2024年2月由英国国家打击犯罪局（NCA）牵头、旨在瓦解LockBit基础设施的大规模国际协同行动的最后一个月里，官方直接公布了其管理员的身份：德米特里·霍罗舍夫（Dmitry Khoroshev），时年31岁的俄罗斯公民。他们公布了他的照片，列出了他的资产清单，美国司法部公开了起诉书，OFAC实施了制裁。这几乎是一份最完备的国际通缉令。 然而霍罗舍夫至今依然逍遥法外。他身处俄罗斯境内，而该国在非俄罗斯系统受损的情况下并不会因网络犯罪引渡其本国公民。这正是整个勒索软件经济体在设计之初就依赖的底层逻辑。 传统上，俄罗斯执法部门对勒索软件有一条不成文的简单铁律：针对俄罗斯境内或其政治势力范围内的目标是绝对禁区；全球其他任何地方的目标则根本不是优先管辖事项。西里尔字母键盘检测功能曾被集成到Conti团伙早期版本的代码中：如果检测到受害者的键盘布局是俄语，程序就会终止执行。这无关爱国主义，而是一种合规机制。该团伙在小心翼翼地维系与本国政府的关系，只要其活动保持在政府认可的地缘界限之内，就能被默许继续生存。 ![加密货币与勒索软件：最普遍的演变趋势](https://netts.io/blog/images/body/a3800141307cceb5b47b3dd6385908675a241a47-1075.webp) 这一事实的影响极其深远：华盛顿、布鲁塞尔和伦敦起草应对勒索软件政策的制定者们，面对的是一个其主要责任人几乎永远触不可及的黑产网络。所有这一切逻辑闭环清晰无比：偶有的抓捕行动——比如在波兰落网的几个分散加盟成员、2022年初俄美关系异常缓和期间在俄被捕的部分REvil成员、或是偶尔错估了本地暴露风险的欧美本土运营者——都只是这个庞大生态边缘的极个别案例。真正的核心（一向如此）毫发无损。 这种责任追究的地理割裂主导了政策博弈的所有议题。如果你现有的应对手段无法触及真正的始作俑者，你就会重新定义什么才算“应对行动”。华盛顿拿出的应对工具正是监管加密货币。针对关键基础设施的强制性安全标准固然可行，但推行缓慢、面临巨大的政治阻力，并且迫使人们面对一个残酷的现实：这在一定程度上是政府自身的失职——联邦机构多年来运行着存在已知漏洞的网络，关键基础设施安全监管框架严重滞后，眼下的局面正是提出解决方案的那些机构昔日决策的产物。 相比之下，将矛头指向支付通道显然要体面利落得多。 ## 立法者的表演时刻 在关键基础设施遭受重大勒索软件打击后，国会听证会往往如期上演。涉事首席执行官出庭作证。他们被反复盘问为何要支付赎金，回答说是遵循了相关建议；他们被追问为何没有更健全的备份，他们可以辩解说备份系统部分受损，或者在紧迫的时间限制下恢复并不现实。随后，质询转向了加密货币。CEO们给出经过字斟句酌、模棱两可的说辞，以此规避法律层面的麻烦。 如果认为提出这些问题的立法者是一无所知的，那就太天真了。他们事先都接受过详尽的简报。他们所做的并非查明事实真相，而是在构筑一套叙事逻辑：向选民证明该问题有一个清晰明了、合理解释的源头——而他们在立法层面针对该诱因所提出的举措，足以算作打击勒索软件的政绩。 在立法语境下，加密货币是一个“可被解决”的问题。它属于其司法管辖范围内的行业，有可以对其施压的游说机构，有可以扩大的监管要求，还有可以写进选民简报中的实质性监管政绩指标。而如果试图通过外交政策、情报协作和域外司法施压去追剿真正的黑客，那种只有通过直接打击黑客或打响网络战才能获得的立竿见影的成果，是根本无法实现的。 多年来，加密货币行业一直在申辩，围剿加密资产无法阻止勒索软件——因为在比特币出现之前勒索软件就已经存在，因为运营者会转向其他支付渠道，因为真正的犯罪分子生活在根本无视美国金融监管的国家。这一论点完全正确。然而，在最需要发挥成效的政治舞台上，“正确”并不等于“管用”，这种申辩始终收效甚微。政治需要的是能够直接为现场决策者所用的筹码。 ![加密货币与勒索软件：最普遍的演变趋势](https://netts.io/blog/images/body/3193439234b3c459e19f0cf820d9d510673b0b2e-803.webp) 2024年2月BlackCat团伙在针对Change Healthcare的行动中的表现，揭示了一个截然不同且现有监管框架根本无从解决的问题。BlackCat从Change Healthcare的母公司处获得了约2200万美元。随后，BlackCat上演了“卷款跑路”（exit-scam）：核心运营者卷走所有资金并关闭了基础设施，导致出力入侵的加盟者分文未得。极度恼怒的加盟者转而威胁称无论如何都要将盗取的数据公布。勒索软件运营者甚至黑吃黑骗了自己的犯罪齿轮。面对这种层面的犯罪乱象，现有的政策讨论根本拿不出有效的治理框架。 ## 普通用户所承担的代价 那些仅仅出于实际用途持有加密货币的普通人——无论是稳定币转账、DeFi理财、跨境汇款还是日常商业结算——在这场勒索软件大讨论中扮演着一种少有人深入探讨的特殊角色。他们才是那些针对未曾犯下的罪行、且未从中获得任何好处的监管政策的真正买单者。 每当勒索软件登上新闻头条，加密社区内部就会弥漫起一种隐性的防卫心理。一个发送USDT用于合法商业结算的用户，突然发现自己与某个毫无关联的犯罪组织被归为一类。协议开发团队不得不一次又一次向外界解释，为什么智能合约本身不对其在勒索交易中的被滥用承担责任。仅仅因为身处异国他乡的其他人通过完全不同的交易路径所犯下的罪行，使用加密货币进行合法业务的端到端体验变得越来越受监控且成本高昂。 这种自我辩白往往适得其反——它显得底气不足甚至犹豫退缩，而辩护者有时又会过度放大论点，反而招致轻慢与驳斥。但这背后的愤怒是极其真实的。你被迫为他人犯罪引发的连锁反应承担成本，而制造这些监管成本的政策制定者甚至无需在考量中对此给出合理解释，因为承担成本的这些用户，根本不在他们需要讨好的选民名单之中。 还有一个更具个体视角的观察，关乎加密资产持有者如何在日常生活中向他人证明自身行为的合理性。他们试图理清那些在自己看来显而易见、在对话者眼中却如同天书的差异。他们竭力对比，解释为什么在公开区块链上进行一笔商业转账，与向勒索医院的黑客支付赎金完全是两码事。这些解释是正确的。一遍又一遍地重复令人心力交瘁，但这种本质差异，只有那些不愿去在乎——或根本无法理解——的人才会视若无睹。 WannaCry事件本身就为此提供了一面镜子。那次攻击在英国国家医疗服务体系（NHS）、Telefónica、FedEx、德国铁路等机构造成了数以亿计的实际损失。但运营者实际到手的赎金仅有数万美元，因为他们根本无力承接和处理海量受害者的解密请求。最终，一名叫马库斯·哈钦斯（Marcus Hutchins）的时年22岁年轻人在德文郡的卧室里，通过注册代码中正在查询的一个未注册域名，意外触发了开发者预留的“自毁开关”，从而阻断了恶意软件的传播。地缘政治层面的叙事是：美国国安局（NSA）被武器化的网络漏洞攻击了全球基础设施，这场博弈与比特币毫无干系。然而，公众记忆中唯独深刻烙印下的却是：黑客在索要比特币。 ## 为何屡禁不止 2023年，Chainalysis追踪到的勒索软件支付总额突破了10亿美元大关——这是该数据有记录以来首次跨过这一门槛。2024年支付额下降了约35%，这既得益于执法部门对大型团伙的打击行动，也因为受害者在拒绝付款方面变得更加果断。但这些变化丝毫没有表明底层土壤得到了彻底根治。 LockBit遭受沉重打击，基础设施被查扣，管理员被点名制裁——几天后它便恢复了部分运作。从2022年年中开始的大半年时间里，FBI潜伏渗透了Hive团伙，在其暗中运转期间悄悄向受害者免费发放解密密钥，直到今年1月执法当局查封了其部分基础设施。在2023年针对MOVEit Transfer的大规模漏洞利用中，Cl0p团伙已经全面转向“未加密数据窃取”——即无需加密的勒索，没有文件需要解密，仅仅通过入侵网络并窃取数据作为施压勒索的手段。整个犯罪产业顺应形势进化的速度，远快于监管政策的出台响应——安全公司有直接的商业动力去调整策略，而政策制定考量的是完全不同的绩效逻辑。 离线测试备份、多因素身份认证（MFA）、系统漏洞修补、网络分段隔离、端点检测，这些都是成熟安全体系中枯燥琐碎却行之有效的基石，它们才能够真正降低攻击发生的概率。但它们并不能消除勒索软件团伙的存在。这些措施只是推高了每一次攻击的成本，让更多受害者有底气拒绝支付。它们需要持续的组织纪律和长期的资金投入，而在聚光灯下，比起那些既能展示政绩又无需为没有短期可见成效的事情自掏腰包的监管法令，推行这些扎实的基础工作显然要困难得多。 禁止加密货币并不能保护那些在扁平网络上运行未修补软件的医院。支付渠道只是整套出现结构性裂痕的系统中的一环。越容易被拿来做文章的环节，往往越能吸引最多的视线。 ![加密货币与勒索软件：最普遍的演变趋势](https://netts.io/blog/images/body/d80a61f759f8c4645d714b8d410b5cf457bd804a-1234.webp) 对于在TRON网络上使用稳定币的用户而言——出于与上述完全无关的日常商业诉求——Netts.io整合了来自中端供应商JustLend、Trongas、Catfee、Sohu、APITRX以及平均化私有资金池的实时Energy价格，能够在全网实时匹配并将任意交易额度路由至TRON网络最低的Energy单价：当前单价低至每单位Energy 25 sun——相比默认的TRX销毁费率节省约75%，且支持即时交易委托，无需质押或冻结任何TRX。用户只需通过一个简单的Telegram机器人即可完成操作，无需繁琐的网页界面。任何单笔交易的具体应用场景是否与勒索软件有关，这不是能源交易市场能够解答的问题。但至少，它直接解决了交易链上的实际成本问题。