币安CSO数月前的言论已预示63亿美元黑客攻击手法

区块链文库报道：

虚假招聘陷阱：币安安全主管早先预警的入侵路径

在币安（Binance）公开其10月遭受黑客攻击规模的前几个月，其首席安全官曾发出警告：最有效的入侵途径之一可能伪装成普通的招聘流程。在今年7月接受采访时，Jimmy Su 描述了“虚假面试”如何诱骗员工在看似合法的技术评估中运行恶意代码——这为攻击者在横向移动并开始窃取凭据之前，建立了一个初始立足点。

这一场景后来在币安的初步调查中再次出现。9月份，币安表示一名软件工程师在工作电脑上的一次虚假面试期间下载了恶意的编程作业，该妥协事件成为导致10月被盗事件的攻击链的一部分——突显了社会工程学利用端点安全漏洞共同作用的危害。

关键要点

• 币安的安全主管此前警告称，虚假面试可能导致员工执行代码，随后进行凭据收集。
• 币安的初步调查后来描述了一起涉及通过虚假面试交付恶意编程作业的9月事件。
• Su 表示，当技术评估的每一步看起来都合法时，许多防病毒工具可能会难以检测，即使整个工作流程是恶意的。
• 币安表示，今年早些时候它阻止了57起疑似与朝鲜相关的威胁，平均约每五天一起。
• 在10月被黑客攻击后，币安表示加强了设备和访问控制，重建了受影响的钱包系统，并提高了端点保护和开发环境的安全性。

旨在规避检测的招聘风格攻击

Su 告诉媒体，虚假面试之所以构成内部威胁，是因为它们可以构建得感觉像正常的招聘过程。攻击者不会发送明显恶意的文件，而是提供一个量身定制的“工作机会”，然后要求目标完成一项技术评估，从而在公司设备上执行代码。

Su 表示，一旦代码运行，设备就会受到感染，攻击者可以开始收集凭据——然后利用这些凭据更深入地渗透网络。他在7月的采访中还解释了为什么标准防御措施可能无法早期发现活动：技术评估可能包含单独看来无害的步骤。例如，攻击者可能会指示候选人从公共平台下载代码库，并按照一系列孤立来看似乎合理的操作进行。

“每个步骤本身实际上是合法的。因此，很多防病毒工具可能无法检测并标记它，”Su 说。

这一警告并未包含在媒体早期关于币安内部安全实践的7月报道中，但在后来披露9月妥协事件的发生方式后，它获得了实际的相关性。

币安的初步调查结果将线索串联起来

9月，币安表示一名软件工程师在一次虚假面试期间将恶意的编程作业下载到了一台工作电脑上。根据币安博客提供的信息，币安的初步调查将该妥协事件与导致10月被盗的多阶段攻击链联系起来。

对读者的意义不仅在于使用了社会工程学，还在于它如何融入一个可以冒充就业筛选的现实工作流程。Su 之前的描述与币安后来声称涉及的机制相吻合——这表明一种模式：攻击者利用入职和评估周围的信任和程序正常性，而不是依赖明显的恶意软件交付。

币安还在其调查中描述了检测挑战，指出该作业的设置过程以设计来逃避端点安全工具的方式执行了恶意软件，采用了混淆和其他规避技术。这一细节很重要，因为它强化了 Su 的观点：即使是“合法”的操作也可能是恶意链条的一部分，而防御系统可能直到为时已晚才看到一系列不可疑的命令。

“责任在我们身上”——工作设备风险的责任归属

Su 强调，虽然员工可以追求外部机会，但核心风险在于这些机会是在公司设备上处理的。“当然，员工可以探索外部机会。我们担心的是他们在公司设备上这样做，”他说。

他将责任界定为运营层面的：如果员工被令人信服的虚假面试所针对，公司必须检测由此产生的威胁并防止恶意代码运行。换句话说，防御目标不仅是提高员工意识，还包括能够抵御社会工程驱动入侵的遏制控制和检测能力。

币安还表示，它一直在测试员工是否遭遇虚假招聘人员。Su 透露，其内部红队进行了为期三到四年的每月钓鱼模拟，并对未能通过测试的员工进行补救培训。他补充说，安全卫生习惯随着时间的推移有所改善，表明这是一个学习曲线，而不是静态的培训姿态。

不止是一次性威胁：目标、频率和事后控制

除了币安的内部故事之外，其他声音也强调了招聘流程在加密货币领域可能正在发生变化。招聘公司 Proof of Search 的 Kevin Gibson 告诉媒体，一些加密货币客户越来越多地询问候选人是否曾面对面见过面，由个人验证的介绍提供了优势。

这种关注反映了一个更广泛的问题：员工——特别是那些处理敏感系统的员工——是攻击面的一部分。正如 Gibson 所说：“在加密货币行业，一份可疑的工作邀请或一次‘快速跟进通话’可能是数百万美元袭击的第一步。”虽然任何个别招聘诈骗的具体细节各不相同，但模式很清楚：攻击者可能会利用合理的人际互动来绕过纯粹的技术安全防御。

币安方面表示，今年以来它已阻止了57起疑似与朝鲜相关的网络威胁——大约每五天一起。在10月遭到攻击后，该公司表示加强了设备控制，重建了受影响的钱包系统，强化了访问控制，并撤销了受损的凭据。

币安还表示计划增加对端点保护和开发环境安全的投资，并已聘请独立的网络安全专家审查事件。币安表示，一些技术细节和具体的安全措施将保持机密。

对于投资者和建设者来说，实际的启示是，“安全运营”和“劳动力流程”之间的界限日益模糊。如果攻击者可以通过令人信服的与工作相关的提示触发代码执行，那么仅靠开发环境控制、端点监控和凭据保护是不够的。同样，如果检测依赖于恶意软件指标的存在而不是识别多步骤恶意工作流程，那么仅靠员工培训可能会失败。

随着币安响应的成熟，行业面临的关键问题是这些变化是否能显著减少代码执行社会工程的成功率。读者应密切关注更多细节，了解端点和开发环境保护如何进行调整，以便在凭据和访问权限受到损害之前捕获混淆的、多步骤的“看似合法”的评估流程。