伪装招聘渗透供应链，朝鲜黑客三年盗走逾 60 亿美元

据 Woofun AI 消息，加密行业的资金安全防线正被一种非传统技术手段系统性击穿。过去三年间，朝鲜相关网络力量不再单纯依赖代码漏洞，而是通过伪装成招聘人员、利用入职测试中的 Python 代码植入后门，成功渗透包括 在内的关键基础设施服务商。美国联邦调查局与日本警察厅的联合调查揭示，这种基于社会工程学的供应链攻击，已导致包括 DMM 和在内的多家头部机构遭受巨额损失。攻击者以'帮助换工作'为幌子进入目标生活，最终演变为针对全球加密市场的有组织掠夺。

2024 年 3 月，日本钱包软件公司 Ginco 的一名员工在领英平台上接触到一位自称'招聘人员'的陌生人。对方发送了一项看似标准的入职测试，要求处理一段 Python 代码。对于程序员而言，招聘网站、代码托管平台和技术测试是求职过程中的常规环节，警惕性极低。

然而，这次接触成为了攻击的起点。两个月后，攻击者利用窃取的登录会话信息，完全冒充该员工身份，非法进入公司的内部通信系统。他们并未立即行动，而是潜伏并观察业务流程，最终很可能借此篡改了客户 的一项正常交易请求。

这一系列操作导致 4,502.9 枚流失，按案发时市场价格计算，损失高达 3.08 亿美元。攻击者并未以暴力劫匪的形象出现，而是以职业互助者的身份，悄无声息地瓦解了企业的内部信任机制。

2026 年 10 月 31 日，美国联邦调查局（FBI）再次发布警告，将币安发生的逾 60 亿美元虚拟资产失窃案归因于朝鲜黑客组织，使用的行动标签为 TraderTraitor。根据币安此前公布的初步调查结果，入侵入口可能是一名开发运维工程师的电脑。攻击者在获取初始访问权限后，进一步渗透至服务容器，提交了未经授权的提现交易。

值得注意的是，币安当时表示尚未发现钱包私钥泄露的直接证据，这表明攻击者可能利用了权限滥用或签名界面欺骗等更隐蔽的手段。这一案件的规模远超以往，标志着朝鲜黑客对加密行业基础设施的攻击已进入成熟且致命的阶段，其目标直指交易所的核心资金池。

外界通常将这类攻击者统称为'拉撒路'（Lazarus Group），但这一标签更多是外部安全机构用于识别网络活动时使用的代号，而非朝鲜内部的正式部门名称。2019 年，美国财政部制裁了拉撒路、Bluenoroff 和 Andariel 三个组织，认定它们均受朝鲜侦察总局（RGB）控制。侦察总局是朝鲜最重要的情报机构，而拉撒路被具体关联到其第三局下属的 110 研究中心。2023 年的另一份制裁公告进一步披露了技术侦察局、110 研究中心与平壤自动化大学之间的紧密联系。这揭示了一条完整的人员供应链：专门学校培养技术人员，研究机构开发网络工具，情报部门统筹执行。

这种有组织、有训练支持的模式，使得攻击行动具备高度的持续性和专业性，远超独立黑客小队的作战能力。

为了更具体地理解这些攻击者的运作模式，我们可以审视关键人物的案例。2018 年，美国司法部对朴镇赫提起刑事指控，称其曾为 Chosun Expo Joint Venture 工作。这家公司对外呈现为一家普通的技术企业，但被美方认定为朝鲜政府的掩护实体，专门用于支持恶意网络行动。2021 年的起诉书进一步加入了两名朝鲜程序员，将三人指认为侦察总局相关单位的成员。朴镇赫拥有合法的公司身份、工作邮箱和对外技术业务，他替海外付费客户编写代码，同时参与国家支持的网络攻击。

这种双重身份使得攻击者能够以正常程序员的形象融入全球远程协作网络，从而获得合法的资金流和身份掩护，极大地增加了追踪和归因的难度。