朝鲜黑客借虚假面试植入恶意软件，盗走币安63亿美元

'It was not a single isolated breach or a simple phishing incident,' exchange says

朝鲜加密货币窃贼在一次虚假招聘面试过程中，诱骗一名Binance软件工程师将恶意软件下载到其工作配发的电脑上，随后在上周实施了创纪录的63亿美元盗窃案。

在周二发布的事件报告中，这家加密货币交易所表示，多种手法共同导致了10月29日的安全漏洞，包括通过虚假招聘面试进行社会工程攻击、恶意软件下载、内部AI工具被攻陷、终端接管，以及一种“高级交易授权方法”。

“我们目前的调查表明，这是一次复杂的多阶段行动，”事件报告称。“这不是一次孤立的入侵，也不是简单的钓鱼事件。”

上周末，FBI将此次盗窃归咎于TraderTraitor，这是一个与Lazarus Group有关联的朝鲜黑客行动，该组织以将间谍活动与大规模加密货币盗窃相结合而闻名。这个受平壤支持的团伙还极其擅长就业市场诈骗——既会冒充IT工作者被西方公司雇用，也会冒充潜在雇主，引诱软件工程师下载恶意软件并感染企业设备。

在最近的Binance攻击中，朝鲜黑客使用的是后一种手法。

攻击准备工作早在6月就已开始，当时其一名工程师下载了一个恶意的Homebrew安装包，构成了一次供应链攻击。虽然安全团队检测到了恶意软件，设备也被更换，所有受影响凭据均已轮换，但报告称：“工程师A的角色及其在钱包基础设施团队的相关同事暴露在了黑客面前。”

三个月后，攻击的社会工程部分发生了。

9月，另一名软件工程师通过一个“合法求职平台”被某人联系，对方自称是项目总监，并为这名Binance工程师与那家假公司安排了一系列面试。根据报告，在第一轮面试中——即与工程师和一名假HR代表的实时视频面试——面试官“与他分享了一个社交媒体账号，包括发布在该平台上的个人照片和视频，以建立信任”。“这比此前见过的社会工程手法更高级、更具欺骗性。”

第二轮面试与自称是这家假公司CEO的人在一个“流行的社交聊天应用”上进行，接近尾声时，这位CEO指示工程师下载一份“作业”，其中包含一个带有恶意软件的代码库。该代码在他的工作电脑上于安装过程中执行，从而启动了一系列未经授权的活动。

据Binance称，恶意软件用一个恶意版本替换了一个合法的开发工具组件，该恶意版本执行命令并与攻击者控制的外部服务器建立通信。攻击者还采取措施隐藏恶意脚本并规避检测，而且得逞了。Binance的终端安全工具没有立即检测到该恶意软件。

CREATE /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_ DELETE .../libexec/pyenv (3,344 B) ← remove the valid pyenv RENAME pyenv_ → pyenv (3,414 B) ← replace it with a malicious version

随后，在10月20日，攻击者利用被攻陷的电脑和一个内部AI工具，访问了钱包DevOps工程师A以及另一名钱包软件开发者工程师C的电脑。

工程师A的电脑上有一个容器部署权限token，朝鲜黑客很快发现了它。10月29日，攻击者访问了工程师C的电脑，使用从工程师A处窃取的凭据部署了一个容器，并触发脚本发起了窃取加密货币的攻击。

截至周二，Binance表示已重建被攻陷的钱包系统和内部AI工具，并更换了所有受影响设备。它还停用了分配给被攻陷工程师的所有凭据和token，并正与执法部门、区块链情报公司和安全研究人员合作，追踪并冻结资产。

这家加密交易所还聘请了独立网络安全专家对该事件进行网络安全审查，并建议额外的防护措施。Binance表示，它还在着手设立一个安全研究基金，并与AI公司和安全机构共同发起相关计划，重点关注区块链环境中的AI安全。®