朝鲜黑客借假面试入侵工程师电脑，盗走币安63亿美元

交易所表示：“这不是一次孤立的入侵，也不是简单的钓鱼事件。”

朝鲜加密货币窃贼在一次虚假招聘面试过程中，诱骗一名Binance软件工程师将恶意软件下载到其工作配发的电脑上，随后在上周实施了创纪录的63亿美元盗窃案。

在周二发布的事件报告中，这家加密货币交易所表示，多种手段共同导致了10月29日的安全漏洞，包括通过虚假招聘面试实施社会工程、恶意软件下载、内部AI工具被攻陷、端点接管，以及一种“高级交易授权手法”。

事件报告称：“我们目前的调查表明，这是一场复杂的多阶段行动。这不是一次孤立的入侵，也不是简单的钓鱼事件。”

上周末，FBI将这起盗窃归因于TraderTraitor，这是一个与Lazarus Group有关的朝鲜黑客行动，该组织以将间谍活动与大规模加密货币盗窃相结合而闻名。这个受平壤支持的团伙还非常擅长就业市场骗局——既会冒充IT工作者被西方公司雇佣，也会冒充潜在雇主，诱骗软件工程师下载恶意软件并感染企业设备。

在最近的Binance攻击中，朝鲜黑客使用的是后一种方式。

攻击准备工作始于6月的一次供应链攻击：其一名工程师下载了恶意的Homebrew安装包。虽然安全团队检测到了恶意软件，设备也被更换，所有受影响凭证均已轮换，但报告称，“工程师A的岗位及其在钱包基础设施团队的相关同事暴露在了黑客面前。”

三个月后，攻击的社会工程环节发生了。

9月，另一名软件工程师通过一个“合法的求职平台”被某人联系，对方自称项目总监，并为这名Binance工程师与虚假公司安排了一系列面试。报告称，在第一轮面试中——即该工程师与一名假HR进行实时视频面试——面试官“与他分享了一个社交媒体账号，包括平台上发布的个人照片和视频，以建立信任”。“这比以往见过的社会工程手法更高级、更具欺骗性。”

第二轮面试由自称虚假公司CEO的人在一个“流行的社交聊天应用”上进行，接近尾声时，这位CEO指示该工程师下载一份“作业”，其中包含一个带有恶意软件的代码仓库。该代码在他的工作电脑上于安装过程中执行，随后引发了一系列未经授权的活动。

据Binance称，该恶意软件用一个恶意版本替换了合法开发工具的组件，该组件执行命令并与攻击者控制的外部服务器建立通信。攻击者还采取措施隐藏恶意脚本并规避检测，而且得逞了。Binance的端点安全工具没有立即检测到恶意软件。

CREATE /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_ DELETE .../libexec/pyenv (3,344 B) ← 删除有效的pyenv RENAME pyenv_ → pyenv (3,414 B) ← 用恶意版本替换

随后，在10月20日，这些不法分子利用被攻陷的电脑和一个内部AI工具，获取了钱包DevOps工程师A以及另一名钱包软件开发者工程师C的电脑访问权限。

工程师A的电脑上有一个容器部署权限令牌，朝鲜黑客很快发现了它。10月29日，攻击者访问了工程师C的电脑，利用从工程师A处窃取的凭证部署了一个容器，并触发脚本发动了窃取加密货币的攻击。

截至周二，Binance表示已重建被攻陷的钱包系统和内部AI工具，并更换了所有受影响设备。它还停用了分配给被攻陷工程师的所有凭证和令牌，并正与执法部门、区块链情报公司和安全研究人员合作，追踪并冻结相关资产。

这家加密货币交易所还聘请了独立网络安全专家对该事件进行网络安全审查，并建议额外的防护措施。Binance表示，它还在努力设立一个安全研究基金，并与AI公司和安全厂商共同发起相关计划，重点关注区块链环境中的AI安全。®