作者：Chainalysis
编译：深潮 TechFlow
导读：作为加密货币发展史上单笔损失最为惨烈的安全事件，币安 $64 亿美元失窃案并非单一智能合约漏洞或高危系统零日漏洞所致，而是朝鲜国家级黑客组织对“人员社工渗透”长达数年打磨后的集大成一击。从早年在职场社交平台撒网式的钓鱼链接，到针对核心协议开发人员量身定制的“高薪诱饵与连环面试”，朝鲜黑客已将看似合规的人才招聘流程武器化为直插内网的特洛伊木马。
在币安案中，攻击者通过伪造正规猎头背景、实施多轮仿真技术初筛，并借助带毒代码测试题在受害者终端建立初始立足点，进而利用本地活跃凭据与内部协作工具向核心业务集群完成致命的横向移动。这一系统性失陷宣告了传统静态网络边界防御的失效，加密企业与安全团队必须将终端行为审计、红队持续模拟演练以及链上实时资金异动监控置于最高优先级。
执行摘要
币安披露朝鲜假求职骗局为其 $60 亿美元被盗案幕后黑手：攻击者利用虚构的工作机会和一系列虚假面试锁定了币安员工，将看似寻常的招聘流程演化为加密货币史上最大规模失窃案的突破口。
小型攻击已帮助朝鲜黑客持续完善攻击剧本：过去 18 个月内，Chainalysis 已确认有超过 $1430 万美元的损失归因于类似的朝鲜关联虚假面试骗局。分析表明，此类早期渗透让朝鲜攻击者得以在小型目标上反复磨练手法，随后再将其用于更高价值的目标。
本起攻击仅为朝鲜庞大非法求职生态体系的冰山一角：虚假面试剧本只是朝鲜高收益网络犯罪生态的其中一环，该生态还涵盖冒名欺诈性 IT 外包求职以及链上洗钱网络。Chainalysis 持续追踪此类手法的演进及底层加密基础设施。
朝鲜黑客从币安盗取高达 $64 亿美元资金的事件，始于朝鲜黑客团队早已驾轻就熟的经典战术：求职欺诈。
Chainalysis 调查人员多年来一直在密切追踪这一策略。该战术形态多样：在币安案件中，朝鲜黑客诱导受害员工应聘虚假职位，进而向其电脑植入恶意软件。但在其他案例中，攻击者往往直接伪装成求职者本人，要么利用虚假身份获取薪资为国家政权创收，要么借机侵入企业内部系统，甚至两者兼而有之。
每一次安全事件都会在链上留下蛛丝马迹。在过去 18 个月中，Chainalysis 已确认有超过 $1430 万美元的资金损失源自类似的朝鲜关联虚假面试与恶意软件骗局。这些攻击行动涵盖广泛的目标群体，从个人加密资产持有者、独立私人钱包，到机构组织、加密协议以及 DAO。而币安不过是这一连串针对性攻击中的最新受害者。
“我们在个人层面上识别出了数十起因求职面试诱发钱包失窃的案例，”Chainalysis 高级情报分析师 Tom McLouth 指出。尽管早期事件中的损失金额从数万美元至数百万元不等，但更深远的意义在于这些演练为攻击者积累了实战经验。
McLouth 进一步解释道，在接二连三的渗透中，朝鲜黑客组织“正在不断完善和演进其攻击方法论”，持续打磨战术路径，并逐步构建起猎杀更高价值目标所需的实战能力，“这正是史上最大规模劫案最终成形的原因所在。”
从这一行业背景来看，币安遭遇的失窃事件绝非孤立偶发，而是攻击者历经数月乃至数年缜密筹备与实战打磨的集中爆发。
虚假面试如何敲开币安的大门
周二，币安公布了针对朝鲜黑客对其交易所实施多阶段攻击的初步调查结果。
攻击行动始于 9 月，一名币安工程师收到了求职面试邀请。币安披露了攻击者如何花费数周时间与该员工建立信任：他们首先在正规招聘平台上以虚构的工作机会主动接洽该员工。
在一家虚构公司组织的两轮面试之后，该币安员工被要求下载一份包含恶意代码的面试代码测试题，攻击者由此获得了最初的立足点。在此之后，黑客部署了恶意软件，并利用受害终端对内部 AI 工具的访问权限，进一步横向渗透至币安的核心内网系统深处。
尽管此次系统失陷的规模史无前例，但黑客采用的突破手段却并不新鲜。正如 Chainalysis 全球服务高级总监 Alec Zebrick 本周在访谈中讨论指出，朝鲜攻击者屡次运用被其称为“传染性面试”（Contagious Interviews）的战术，专门针对拥有特权访问权限的员工。
黑客通过窃取目标员工的身份凭证与系统权限渗透入企业的内网环境，这也使得能够接触到敏感核心基础设施的工程师与关键岗位人员，成为了此类攻击行动极具诱惑力的高价值靶标。
币安失窃事件清晰揭示了虚假面试如何成为瓦解大型机构安全防线的入口。通过与行业合作伙伴的协同溯源，我们见证了攻击者如何将这一策略步步打磨成熟。
在恶意面试发生后，我们观察到多起受害者的加密货币钱包私钥直接从云存储空间中被盗的案例。在部分案例中，受害者明确表示其助记词从未下载到被感染的本地设备上。
这一现象表明，攻击者的控制权限早已超越了本地文件系统，很可能是通过被攻陷的云端凭据或浏览器活跃会话（Browser Sessions）实现了越权访问与权限蔓延。
这一取证事实与微软的安全研究报告完全吻合：朝鲜恶意软件会在受感染系统中地毯式搜索加密货币助记词以及密码管理器残留数据。
攻击者在行动初期收集到的凭据，能够迅速转化为开启大量关联账户的钥匙，其辐射范围远远超出了最初被染毒的单台设备。在币安攻击中，正是这一套相同的底层剧本，即利用虚假求职面试取得初始立足点，最终促成黑客长驱直入交易所的核心业务架构。
朝鲜恶意软件如何在目标系统中潜伏植入
币安失窃案仅仅是朝鲜获利极丰的非法求职生态体系中的一个缩影。
朝鲜黑客广泛运用各类社会工程学战术，不仅包括其他样式的虚假招聘骗局，还涵盖利用冒名欺诈性 IT 务工人员渗透正规企业等多重视角。
Chainalysis 持续追踪了朝鲜黑客演变与部署此类技术的其他几种新型手段。其中一个正在崭露头角的新兴威胁，是攻击者利用公链空间隐匿恶意软件指令，我们将这一战术称为“区块链死信箱”（Blockchain Dead Drops，简称 BDD）。
我们的专题研究报告显示，在过去一年中，此类借助区块链进行隐蔽通信的网络攻击激增了 5 倍，这一迅猛增长主要受到国家级黑客组织推动，同时可能受到了开源权重 AI 大模型的催化与支持。
分析表明，朝鲜黑客组织早在 2025 年初就开始采用被统称为“以太隐匿”（Etherhiding）的技术手段，旨在其虚假面试攻击中被攻陷的受害电脑与恶意软件命令控制（C2）基础设施之间建立永续链接。
黑客之所以选择链上交易，是因为公链账本具有不可篡改与抗审查特性，相较于容易被执法部门依法查封取缔的传统中心化服务器，区块链是部署 C2 中继网络更具韧性的避风港。
Chainalysis 链上分析团队揭示了朝鲜黑客的一项高容灾技术：通过将 C2 通信链路分散在 TRON 与 Aptos 两条不同公链上，增加冗余度（Redundancy），以引导被感染终端最终跳转至第三条链 BSC。
攻击者在 TRON 和 Aptos 上写入特定指针，两者的目标均指向 BSC 上的一笔特定交易。一旦受害机器查询 TRON 节点受阻，便会自动无缝切换至 Aptos 作为备选冗余信道。无论经由哪条路径，受害终端最终都能精准定位至 BSC 上存放恶意载荷（Payload）的目标地址。
近期，朝鲜黑客还演化出了一种被称为“空接收方”（Null Receiver）的新型隐蔽战术。黑客将原本用于 C2 通信的指令数据，直接编码嵌入到一个经过精心构造的链上燃烧地址中。
该地址没有任何实体实际控制，也并非用于存储任何加密资产。然而，被恶意软件感染的终端在抓取到该地址字符串后，可直接将其反向解码为执行指令，从而悄无声息地完成指令中继与控制。
揭秘朝鲜获利丰厚的非法求职生态系统
在朝鲜求职欺诈军火库的另一侧，是其布局广泛的大规模 IT 劳务人员计划。在此类骗局中，朝鲜技术人员伪装成合法的求职者，应聘并潜伏至全球各大企业中。
他们借此赚取高额薪资，潜伏并找寻渗透敏感系统的机会，同时源源不断地为国家政权输送丰厚的外汇收入。
联合国官方估算，朝鲜 IT 劳工生态系统每年为该政权创造超过 $6 亿美元的巨额收入。这支庞大的地下影子劳动力大军与加密货币生态存在着千丝万缕的直接交集。
在许多案例中，这些 IT 雇员处心积虑地潜伏入 Web3 与加密机构；同时，他们广泛利用加密货币洗钱以掩盖非法资金流向。上个月，我们详细披露了一个受到美国财政部制裁的俄罗斯与朝鲜公民洗钱网络，该网络正是为朝鲜操控的 IT 外包体系提供资金流转洗白通道。
Chainalysis 密切追踪针对朝鲜 IT 务工欺诈制裁名单中的所有加密地址实体，并深度整合针对该威胁生态的开源网络情报。
朝鲜 IT 技术人员通常被派驻海外基地，他们利用 VPN 混淆网络位置并借助盗取的虚假身份凭证，在全球企业中应聘远程职位。一旦成功入职，这些员工通常会明确要求雇主使用稳定币支付其薪资。
我们已经揭露了此类高度特征化的链上活动，包括在特定案件中，链上监控探针捕获到了钱包按月规律性接收固定金额薪资的典型特征。
在薪资到账后，朝鲜 IT 人员会迅速将加密资产层层划转给洗钱中间人，例如前文提及的已被列入制裁清单的俄罗斯与朝鲜公民洗钱网络。
Chainalysis 如何追踪链上资金流向
币安重大安全事件全面展现了朝鲜黑客如何持续演化、测试并完善其多维协同的网络犯罪军火库。
同一批黑客团伙既能利用招聘平台进行社会工程学突破，攻陷企业核心基础设施，又能派遣影子员工伪装潜伏进正规公司，并熟练运用加密货币在链上隐蔽转移赃款。
随着攻击手段的不断精进，企业与安全机构绝不能局限于传统的网络安全边界防御，而必须将促成这些跨国犯罪运作的底层金融流向与链上基础设施纳入重点监控视线。
Chainalysis 正在全天候严密监控朝鲜黑客如何利用加密生态创收、归集转移赃款并清洗非法所得。
区块链数据情报在此类反制对抗中扮演着核心角色。当链上分析与传统网络安全防御措施及威胁情报深度结合时，安全团队与司法执法机构能够精准识别并紧急冻结被盗资金。
这种综合研判能力不仅有助于全面绘制朝鲜不断蔓延的链上金融网络全景，更能侦测其采购与支付资金链条，为国际制裁调查与联合司法执法提供强有力的链上法证依据。
针对币安失窃案的追踪调查仍在全力推进中，我们预计被盗资产在未来数日内仍将继续发生链上拆分与转移。Chainalysis 正在全力配合币安及整个加密行业开展联合溯源，阻断后续洗钱通道，竭力遏制并减少潜在次生损失。
常见问题解答
朝鲜黑客是如何从币安窃取高达 $64 亿美元资金的？
攻击行动始于一个专门针对币安员工的虚假工作机会。攻击者通过一家虚构公司安排的多轮面试赢取了该员工的信任，随后向其发送了一份包含恶意代码的编程作业测试题。
当该员工下载并运行测试代码后，电脑即被病毒感染，为黑客打开了进入币安系统的初始立足点。攻击者随后部署了恶意软件，并利用受害终端对内部 AI 工具的访问权限，逐步深入渗透至交易所的核心业务基础设施。
什么是朝鲜虚假面试攻击骗局？
朝鲜虚假面试骗局是指黑客利用虚假的招聘流程，攻陷求职者的个人电脑，进而获取企业敏感系统访问权限或窃取加密货币钱包的社会工程学手法。
攻击者通常伪装成行业猎头或招聘主管，组织看似正规严谨的求职面试，并借由恶意编程测试题或其他下载附件投送木马载荷。Chainalysis 将此类行动统称为“传染性面试”（Contagious Interviews）。
朝鲜黑客此前在其他加密资产攻击中是否使用过虚假面试手法？
是的。在过去 18 个月内，Chainalysis 已确认有超过 $1430 万美元的资金损失与类似的朝鲜虚假面试及恶意软件骗局直接相关。
受害目标涵盖个人加密资产持有者、独立私人钱包、机构实体、加密协议以及去中心化自治组织（DAO）。这些早期攻击让朝鲜黑客在猎杀更高价值目标之前，得以充分检验并完善其社工实战剧本。
虚假求职面试如何帮助朝鲜黑客渗透企业组织？
虚假面试能够让攻击者直接获取目标员工的个人终端设备、登录凭证以及内网访问权限。拥有关键基础设施高权限的特权员工是黑客眼中极具价值的靶标，因为攻陷他们的账户与设备能够为攻击者打通直插企业内部系统的横向跳板。
什么是朝鲜非法 IT 务工人员骗局？
这是指朝鲜技术人员伪装成合法的求职者，通常借助盗取的虚假身份证明与各种网络混淆手段，应聘并获取全球各企业的远程工作岗位。
他们借此赚取高额薪资以充实国家政权的金库，并伺机获取企业敏感系统的内部控制权。据联合国估算，这一灰色生态系统每年为朝鲜创造超过 $6 亿美元的资金。
朝鲜在其网络犯罪活动中是如何利用加密货币的？
与朝鲜关联的黑客团伙既利用加密货币接收非法打工薪资，也利用其转移并清洗网络攻击窃得的巨额赃款。外包务工人员通常要求使用稳定币结算工资，随后将其划转至洗钱中间人账户。
此外，黑客还巧妙利用公链网络隐匿恶意软件的控制指令，以此搭建高容灾、抗封锁的命令控制（C2）中继基础设施。
Chainalysis 如何协助追踪与朝鲜相关的网络犯罪？
Chainalysis 通过全天候深度分析链上资金轨迹，精准识别朝鲜黑客及影子实体接收、转移、归集和清洗非法资金的手法路径。
此类区块链数据情报能够协助安全调查人员和行业机构追查被盗资产去向、锁定洗钱中间人网络、为制裁合规调查提供证据支撑，并在关键节点协同生态伙伴尽全力冻结被盗资金。
