假 CEO 面试渗透：朝鲜黑客 5 个月布局盗走币安 63 亿美元

据 Woofun AI 消息，全球最大数字资产交易平台币安遭遇了一起规模高达 63.4 亿美元（约合 8.5 万亿韩元）的严重安全事件，攻击主体被美国联邦调查局认定为朝鲜黑客组织'TraderTraitor'。此次攻击并非传统的暴力破解，而是通过精心设计的虚假招聘面试作为切入点，逐步渗透至内部核心系统。攻击者利用社会工程学手段感染开发者电脑，进而侵入人工智能系统与钱包签名基础设施，最终在极短时间内完成巨额资产转移。

这一事件暴露了大型交易所内部认证体系与供应链安全中的深层漏洞，其攻击链条之完整、伪装之逼真，引发了行业对内部威胁防御机制的重新审视。

渗透路径的构建历时数月，呈现出高度的计划性与隐蔽性。早在 6 月，攻击者便开始了初步侦察，目标直指负责管理币安钱包的软件工程师。他们尝试篡改开发者使用的软件安装文件以植入恶意代码，虽因币安安全团队及时发现异常并更换设备而未能得逞，但攻击者借此掌握了员工的职责分工及内部关系图谱，为后续攻击积累了关键情报。真正的突破发生在 9 月，攻击者通过正规求职平台接触币安软件工程师，假扮虚拟公司职员发起招聘意向。在视频面试环节，伪装成人事人员的攻击者通过展示包含个人照片和视频的社交媒体账号建立信任，第二轮面试中甚至出现了自称首席执行官（假 CEO）的角色，所有身份均为伪造。

决定性环节在于编程测试，候选人收到的代码仓库中藏有恶意代码，攻击者通过将正常的 Python 开发工具部分文件替换为恶意文件，成功绕过安全防护系统感染工作电脑。这些恶意代码具备规避检测技术，使攻击者得以被感染的电脑为跳板，接入币安内部 AI 系统，进而侵入负责钱包运营和开发的其它员工电脑。一旦获得部署内部软件的权限，攻击范围便扩大至核心钱包基础设施，通过欺骗一名员工获得的访问权限，引发了针对其他员工及内部系统的连锁式渗透。

盗窃执行阶段展现了极高的效率与破坏力。在 10 月 29 日，攻击者利用窃取的认证信息，在与钱包相关的服务器上部署恶意程序，并操控负责批准资产转移的内部签名服务实施非法交易。钱包签名系统是交易所在区块链上移动资产时生成交易批准所需电子签名的核心基础设施，攻击者让该系统为非法交易签名，从而绕过了正常的提现审批流程。资金流失速度极快，Woofun AI 整理数据显示，大部分资产在攻击开始后的大约 20 分钟内被转移。

具体损失包括：币安 5 个热钱包中约 2.3346 亿个瑞波（）被转出，另有约 97.5 万个 以及 1.827 万个比特币（）被转移至攻击者地址。区块链分析机构 TRM Labs 分析称，共有约 63.6 亿美元（约合 8.53 万亿韩元）的资产从 10 个区块链网络中被窃走。攻击者通过智能合约获得了币安热钱包的部分操作权限，这些权限在区块链上注册后才生效，导致币安虽发现异常并暂停普通提现，但通过已设置权限进行的资产转移未能立即阻止。

值得注意的是，币安表示目前尚未发现钱包私钥被直接窃取的证据，表明此次攻击是利用内部认证体系及签名权限的复杂操作，而非单纯的私钥泄露。

事件后续追踪与处置工作正在紧锣密鼓地进行。在 10 月 31 日，美国联邦调查局发布正式警报，指认朝鲜黑客组织参与了此次攻击。区块链分析机构 Chainalysis 和 TRM Labs 发现，被盗资产被分散到多个钱包并兑换成以太坊等货币，攻击者迅速兑换可能面临冻结风险的资产，并利用去中心化金融 服务掩盖资金流向，增加了追踪难度。截至 3 日，已有价值约 28.5 亿美元（约合 3.82 万亿韩元）的被盗资产被冻结或阻止转移，约占全部损失金额的 45%。