63 亿蒸发：币安员工中招，朝鲜黑客借 AI 渗透

据 Woofun AI 消息，于 11 月 3 日发布初步调查报告，确认 10 月 29 日发生的重大安全事件导致约 63.4 亿美元数字资产流失，美国联邦调查局（）已将此次攻击归因于朝鲜。这并非一次突发的系统崩溃，而是一场精心策划的长期渗透。攻击者并未直接攻破核心防火墙，而是通过长达数月的社会工程学手段，逐步侵蚀员工设备与内部权限，最终利用 机制完成资产转移。

这一事件标志着针对加密基础设施的攻击模式，已从单纯的技术漏洞挖掘转向对人员、流程与内部工具链的深度操控。

这场被币安定义为'多阶段攻击'（Multi-stage Campaign）的行动，展现了极高的战术复杂性。攻击者并非在 10 月 29 日当天突然闯入，而是从 6 月份便开始布局，通过供应链污染、虚假招聘以及内部 AI 工具的滥用，构建了一条完整的组合式渗透路径。

这种攻击逻辑打破了传统网络安全中'边界防御'的假设，证明当核心资产安全与员工日常开发环境深度耦合时，最坚固的系统也可能因一个看似无害的软件包下载而崩塌。攻击者利用时间差和心理操纵，将孤立的安全事件串联成致命的攻击链，其隐蔽性与持续性远超常规钓鱼攻击。

攻击的第一阶段始于 2026 年 6 月，目标直指钱包 DevOps 团队的一名工程师（工程师 A）。当时，该工程师在搜索引擎上寻找一款流行的 AI 编程工具，却不幸下载了一个被恶意篡改的 安装包。Homebrew 作为开发者广泛使用的软件包管理工具，本应提供便捷的开发环境配置，但在此次事件中，它成为了恶意代码进入内网的跳板。

这种供应链攻击（Supply Chain Attack）的高明之处在于，它不依赖直接骗取密码，而是将恶意载荷隐藏在用户信任的更新流程中。尽管币安安全团队随后检测到了异常，并主动更换了工程师 A 的设备、轮换了所有相关凭证，但攻击者已借此摸清了该工程师在钱包基础设施团队中的角色及其社交关系网。

这意味着，即使技术层面的痕迹被清除，攻击者仍保留了针对同一团队进行二次渗透的情报基础，为后续的精准打击埋下了伏笔。

进入 9 月，攻击者调整策略，将矛头指向另一名软件工程师（工程师 B），采用更具欺骗性的社会工程学手段。工程师 B 在正规求职平台上公开的职业经历引起了攻击者的注意，一名自称某公司'项目总监'的人员主动发起联系。整个招聘流程被设计得无懈可击：第一轮面试由自称 HR 的人员通过实时视频进行，对方甚至分享了包含个人照片和视频的社交媒体账号以建立信任；第二轮面试则转移至流行的社交聊天应用。在面试临近结束时，对方要求工程师 B 下载一份名为'Assignment'（作业）的代码仓库并在本地运行。对于软件工程师而言，配置开发环境、运行技术测试是招聘环节的标准动作，因此防备心极低。

然而，这份代码仓库实则包含零日恶意软件（0-day malware），其利用代码混淆技术规避了终端安全防护工具的检测。Woofun AI 整理数据显示，恶意脚本对工程师 B 电脑中的 工具进行了精细操作：创建新的 pyenv_ 文件，将合法组件替换为恶意版本，删除原有文件后重新命名，并启动 。

这种替换使得恶意程序伪装成正常开发工具，在用户无感知的情况下执行命令并与外部服务器通信，彻底沦陷了工程师 B 的工作终端。