Binance 称一场假求职面试导致了 63 亿美元加密货币盗窃案

加密货币交易所 Binance 表示，朝鲜黑客利用一场假求职面试诱骗一名员工安装恶意软件，最终使他们得以攻陷该公司的钱包基础设施并窃取约 63.4 亿美元的数字资产。

这一新信息来自今天发布的一份事件报告，其中详细说明了攻击者如何利用社会工程、恶意软件和被攻陷的内部系统实施 10 月 29 日的加密货币盗窃。

如 BleepingComputer 此前报道，FBI 将此次攻击归因于被称为 TraderTraitor 的朝鲜国家支持黑客，该组织也被追踪为 Lazarus Group、Jade Sleet 和 APT38。

攻击始于 9 月，一名软件工程师通过一个正规的求职平台被一个冒充某虚构公司项目总监的人联系。

该员工的个人资料中提及了他在 Binance 的工作经验，使他成为试图入侵该加密货币交易所的攻击者的高价值目标。

假招聘人员为该员工安排了两场面试：第一场与一个假扮的人力资源代表进行，第二场与另一个自称是该公司 CEO 的人进行。

在第一场面试中，假 HR 代表进行了实时视频通话，并分享了一个带有个人照片和视频的社交媒体账户以建立信任。

第二场面试通过一个流行的社交聊天应用进行，该员工被指示从一个在线代码仓库下载一个编程作业。

据 Binance 称，该仓库包含恶意代码，一旦执行，就会用此前未见过的定制恶意软件感染该员工的设备，而杀毒软件未能检测到它。

"所使用的恶意软件采用了复杂的混淆和规避技术，包括用一个恶意版本替换一个合法的开发工具组件，以执行命令并与攻击者控制的外部服务器建立通信，" Binance 解释道。

"该 0-day 恶意软件当时未被端点安全防护工具检测到。攻击者还采取措施隐藏恶意活动并清除入侵痕迹，使检测和后续调查更具挑战性。"

Binance 解释说，该恶意脚本在 macOS 的 Homebrew 安装目录中创建了一个名为 pyenv_ 的替换可执行文件。

该脚本随后删除了合法的 pyenv 可执行文件，将恶意文件重命名为 pyenv，修改其符号链接，并利用它生成一个 Z shell（zsh）进程。

这一恶意替换使攻击者能够执行从攻击者控制的服务器接收的命令。

到 10 月 20 日，攻击者已利用被攻陷工程师的计算机和一个内部 AI 工具，攻陷了另外两名从事 Binance 钱包基础设施工作的员工，获取了凭据和一个容器部署令牌。

10 月 29 日，黑客利用窃取的凭据部署了一个恶意脚本，并获得了对 Binance 钱包签名服务的未经授权访问，使他们能够在多条区块链上转移数十亿美元的加密货币。

攻击者还滥用了 Ethereum 的 EIP-7702 授权机制，使他们即使在该交易所暂停提现后仍能继续窃取加密货币。

Binance 表示，此后已重建受影响的系统、更换被攻陷的设备，并吊销被盗的凭据。

截至 11 月 3 日，约 28.5 亿美元的被盗资产已被冻结或拦截，而截至 10 月 31 日，98% 的受影响代币资产已获补充。

Binance 表示，正在继续调查此次入侵，并已聘请独立安全公司审查其调查结果。

恶意求职面试

导致恶意软件安装的假求职面试是朝鲜黑客活动中一种常见手法，即所谓的 Contagious Interview 和 Operation Dream Job。这些活动利用假工作邀约和面试诱骗开发者和加密货币员工安装恶意软件。

2025 年 6 月，网络安全公司 Socket 报告称，一场 Contagious Interview 活动在 LinkedIn 上冒充招聘人员，向开发者发送包含恶意 npm 包的编程作业。

作为这些攻击的一部分，黑客分发了 35 个安装恶意软件的恶意 npm 包，使他们能够从受感染的计算机窃取浏览器凭据、加密货币钱包数据和其他信息。

朝鲜 Lazarus 黑客在 Operation Dream Job 中也使用了类似手法，向软件开发和 DeFi 公司的人员分发伪装成雇佣文件的恶意软件。

尽管 Binance 尚未将该员工的被攻陷与这两个特定活动联系起来，但假招聘人员、多场面试和恶意编程作业的使用与这些先前记录在案的朝鲜手法高度吻合。