因虚假工作面试邀约，币安被盗63亿美元密币

今天早些时候，币安发布事件报告详细说明了攻击者如何利用社会工程、恶意软件和被入侵的内部系统，在10月29日盗取加密货币。美国联邦调查局（FBI）将该攻击归因于朝鲜国家支持的黑客组织TraderTraitor，该组织也被追踪为Lazarus Group、Jade Sleet和APT38。

币安在报告中提到，攻击始于9月。一名软件工程师通过一个合法求职平台被冒充某虚构公司项目总监的人联系。该员工的个人资料提到了他在币安的工作经历，使其成为试图入侵该加密货币交易所的攻击者的高价值目标。虚假招聘人员为该员工安排了两场面试，第一场由冒充人力资源代表的人员发起，第二场由自称是公司CEO的人员发起。在第一场面试中，假HR进行了实时视频通话，并分享了一个带有个人照片和视频的社交媒体账号以建立信任。第二场面试通过一款流行的社交聊天应用进行，员工被要求从在线代码仓库下载一份编码作业。

据币安称，该仓库包含恶意代码，执行后便用此前未见过的定制恶意软件入侵了员工设备，但未能被杀毒软件检测到。币安解释称：“该恶意软件采用了复杂的混淆和规避技术，包括用恶意版本替换合法的开发工具组件，以执行命令并与攻击者控制的外部服务器建立通信。该0day恶意软件当时未被终端安全防护工具检测到。攻击者还采取措施隐藏恶意活动并清除入侵痕迹，使检测和后续调查更加困难。”

币安表示，该恶意脚本在macOS的Homebrew安装目录中创建了一个名为pyenv_的替换可执行文件。随后脚本删除了合法的pyenv可执行文件，将恶意文件重命名为pyenv，修改其符号链接，并利用它启动一个Z shell（zsh）进程。这一恶意替换使攻击者能够执行从攻击者控制服务器接收到的命令。

到10月20日，攻击者已利用被入侵工程师的电脑和一个内部AI工具，入侵了另外两名从事币安钱包基础设施工作的员工，获取了凭证和一个容器部署令牌。

10月29日，黑客利用窃取的凭证部署恶意脚本，未经授权访问币安的钱包签名服务，从而得以在多个区块链上转移数十亿美元加密货币。攻击者还滥用了以太坊的EIP-7702授权机制，使得交易所在暂停提现后仍能继续窃取加密货币。

币安表示，此后已重建受影响系统、更换被入侵设备并撤销被盗凭证。截至11月3日，约28.5亿美元被盗资产已被冻结或拦截；截至10月31日，98%受影响代币资产已得到补充。币安称正在继续调查此次入侵，并已引入独立安全公司审查调查结果。

导致恶意软件安装的虚假面试，是朝鲜黑客行动中一种常见策略，这些行动被称为“传染性面试”和“梦想工作行动”。这些行动利用虚假工作机会和面试，诱骗开发人员和加密货币员工安装恶意软件。2025年6月，网络安全公司Socket报告称，一场“传染性面试”攻击在LinkedIn上冒充招聘人员，向开发人员发送包含恶意npm包的编码作业。作为这些攻击的一部分，黑客分发了35个恶意npm包，安装恶意软件，从而窃取受感染电脑上的浏览器凭证、加密货币钱包数据和其它信息。朝鲜Lazarus黑客还在“梦想工作行动”中使用了类似策略，向软件开发人员和DeFi公司员工分发伪装成就业文件的恶意软件。

尽管币安未将该员工被入侵事件与上述任一具体行动关联，但使用虚假招聘人员、多轮面试和恶意编码作业的手法，与先前记录在案的朝鲜策略高度相似。