朝鲜虚假面试骗局在币安劫案前盗取1430万美元

区块链文库报道：

Chainalysis：朝鲜黑客以虚假面试为掩护，窃取逾1430万美元加密货币

区块链分析公司Chainalysis指出，过去18个月内超过1430万美元的加密货币损失，归因于朝鲜黑客团伙使用的“虚假面试”手段。该团伙随后将目标转向币安（Binance）。Chainalysis认为，这些规模较小的盗窃案是黑客为实施高达63亿美元的历史性大盗所做的演练。

数十起虚假面试导致钱包失窃

这些损失源于与朝鲜（DPRK）相关的虚假面试和恶意软件方案，受害者范围从个人加密货币持有者和私人钱包，扩展到各类协议和去中心化自治组织（DAOs）。

Chainalysis高级情报分析师Tom McLouth表示：“我们在个人层面识别出数十起其他导致钱包被 compromising（攻破/泄露）的求职面试案例。”个人损失金额从数万美元到数百万美元不等。

McLouth指出，朝鲜黑客团队在这些攻击中“完善并演进其方法论”。他补充道：“这就是为什么最终会出现历史上最大规模盗窃案的原因。”Chainalysis称，针对币安的袭击可能是数月甚至数年练习后的顶峰。

Cryptopolitan此前报道，币安将其自身的漏洞追溯至9月份发送给一名工程师的面试邀请。在与一家虚构公司进行两轮面试后，该工程师下载了一份嵌有恶意代码的面试作业。Chainalysis全球服务高级经理Alec Zebrick将此称为“传染性面试”，其目标是拥有特权访问权限的员工，以便利用其凭证反过来对付雇主。

Chainalysis还强调了在恶意面试后从云存储中窃取私钥的案例。一些受害者表示，他们的助记词从未出现在受感染的设备上，这可能意味着云登录信息或浏览器会话被盗。

微软记录“传染性面试”活动

今年3月，微软披露其Defender Experts团队追踪到一场自2022年12月以来一直活跃的“传染性面试”活动。在此活动中，来自加密货币交易公司或人工智能公司的假招聘人员会诱导申请人运行恶意代码包。微软称，恶意软件会在内部寻找钱包助记词、KeePass和1Password密码库以及加密密钥。

区块链“死信箱”攻击一年内激增五倍

Chainalysis报告称，过去12个月内，基于区块链的网络攻击增加了五倍。Chainalysis将其称为“区块链死信箱”（Blockchain Dead Drops），这一增长归因于国家行为体的参与以及开放权重AI模型的潜在滥用。

朝鲜行动者早在2025年初就开始使用一种称为“Etherhiding”的技术。该技术将通过虚假面试感染的机器连接到攻击者的命令与控制服务器，因为相对于中央托管，区块链记录更难被警方查封。

在一个朝鲜的设置中，指令被分散在TRON和Aptos两条链上。这两条链都指向托管在币安智能链（BSC）上的有效载荷，受感染的设备会被重定向至该有效载荷。如果TRON失败，Aptos则作为备用方案。

较新的“空接收者”（null receiver）方法将指令植入一个专门构造的地址中。该地址不受控制，且设计初衷并非用于存储加密货币。受感染机器会将该地址解读为命令。

多方指责朝鲜黑客组织

今年9月，美国联邦调查局（FBI）、日本国家警察厅以及澳大利亚和德国的机构公开指责一个名为WaterPlum的朝鲜黑客团伙，涉嫌一起价值约1071万美元的加密货币盗窃案。WaterPlum也被称为“传染性面试”组织，其行动影响了约7000个加密货币账户的敏感数据。

FBI将针对币安的盗窃案归咎于朝鲜团体TraderTraitor，但平壤方面否认了任何参与。Chainalysis预计，被盗资金将在未来几天内继续流动。