假面试撬走 63 亿：币安被黑背后的五个月猎杀

据 Woofun AI 消息，2026 年 9 月，一名软件工程师收到了一份看似普通的工作邀请，对方自称某公司项目总监并安排了两轮面试，直至 10 月 29 日价值约 63.4 亿美元的加密资产被盗，美国联邦调查局（FBI）才将此次袭击归因于朝鲜黑客组织 。

这场持续近五个月的渗透行动，其伏笔可追溯至 2026 年 6 月。当时，币安钱包团队的一名运维工程师在搜索 AI 编程工具时，下载了被篡改的 Homebrew 安装程序。

尽管安全团队随后发现异常并立即更换设备、轮换凭证，但黑客已借此掌握了该工程师及相关团队的信息。真正的突破发生在 9 月，另一名工程师按照"面试官"的要求，在公司电脑上运行了编程作业。恶意代码在安装过程中自动执行，将正常的 Python 版本管理工具 pyenv 替换为木马程序，随后连接外部服务器接受远程指令，并试图清除入侵痕迹。币安指出，这种此前未知的恶意程序绕过了当时的终端安全检测。10 月 20 日，攻击者借助被控制的电脑及币安内部 AI 工具，进一步渗透另外两名钱包工程师的设备，取得容器部署权限令牌。

10 月 29 日 17 时 15 分至 19 时 56 分（UTC），黑客利用失窃凭证部署恶意容器，将攻击推进至钱包签名服务。20 时 05 分开始，资产从多个热钱包流出，涉及 、、、 及 等资产。更危险的一步出现在网络，黑客利用 EIP-7702 账户授权机制，让攻击者控制的智能合约获得钱包执行权限。即使币安随后暂停提现，已经写入区块链的恶意授权仍然有效。由于相关钱包采用多方计算（MPC）签名机制，币安无法简单依靠单个私钥撤销授权，直到 10 月 30 日 00 时 10 分，团队才完成链上权限清除。

网络安全公司 威胁情报高级总监 向《连线》指出，攻击者并非简单窃取钱包密钥，而是通过控制工程师，逐步理解并操纵企业的交易授权流程。这套攻击剧本在币圈早已反复上演。2024 年，日本加密货币交易所 DMM 损失约 3.08 亿美元，FBI 调查发现，朝鲜黑客曾伪装成 LinkedIn 招聘人员，向其钱包技术合作伙伴 Ginco 的员工发送伪装成招聘测试的恶意 Python 代码。2025 年， 遭朝鲜黑客盗走约 15 亿美元，尽管具体入侵路径不同，攻击者同样瞄准了钱包交易授权环节。

Woofun AI 整理数据显示，区块链分析公司 统计，2017 年至 2026 年 10 月，朝鲜关联黑客涉及约 100 起加密货币盗窃事件，累计金额约 128 亿美元。仅 2026 年上半年，全球加密行业就发生 207 起黑客事件，创下其统计中的半年度纪录。在币圈之外，威胁是同样的。2024 年，美国网络安全培训公司 招聘了一名冒用身份的朝鲜 IT 人员，对方通过视频面试及背景审查，收到公司电脑后便试图安装恶意程序，所幸安全系统及时拦截。美国司法部 2025 年披露，类似的朝鲜远程 IT 人员骗局曾渗透超过 300 家美国公司。另一起较为知名的社会工程攻击发生在 2023 年，黑客通过欺骗 IT 服务台入侵米高梅（）国际酒店集团，造成大规模业务中断，米高梅向美国证券交易委员会披露，该事件对季度经营利润指标的负面影响约为 1 亿美元。