作者：Chainalysis
編譯：深潮 TechFlow
**導讀：**作為加密貨幣發展史上單筆損失最為慘烈的安全事件，幣安 $64 億美元失竊案並非單一智能合約漏洞或高危系統零日漏洞所致，而是朝鮮國家級駭客組織對「人員社工滲透」長達數年打磨後的集大成一擊。從早年在職場社交平台撒網式的釣魚連結，到針對核心協議開發人員量身定制的「高薪誘餌與連環面試」，朝鮮駭客已將看似合規的人才招聘流程武器化為直插內網的特洛伊木馬。
在幣安案中，攻擊者透過偽造正規獵頭背景、實施多輪仿真技術初篩，並借助帶毒程式碼測試題在受害者終端建立初始立足點，進而利用本地活躍憑證與內部協作工具向核心業務叢集完成致命的橫向移動。這一系統性失陷宣告了傳統靜態網路邊界防禦的失效，加密企業與安全團隊必須將終端行為審計、紅隊持續模擬演練以及鏈上即時資金異動監控置於最高優先級。
執行摘要
**幣安披露朝鮮假求職騙局為其 $60 億美元被盜案幕後黑手：**攻擊者利用虛構的工作機會和一系列虛假面試鎖定了幣安員工，將看似尋常的招聘流程演化為加密貨幣史上最大規模失竊案的突破口。
**小型攻擊已幫助朝鮮駭客持續完善攻擊腳本：**過去 18 個月內，Chainalysis 已確認有超過 $1430 萬美元的損失歸因於類似的朝鮮關聯虛假面試騙局。分析表明，此類早期滲透讓朝鮮攻擊者得以在小型目標上反覆磨練手法，隨後再將其用於更高價值的目標。
**本起攻擊僅為朝鮮龐大非法求職生態體系的冰山一角：**虛假面試腳本只是朝鮮高收益網路犯罪生態的其中一環，該生態還涵蓋冒名欺詐性 IT 外包求職以及鏈上洗錢網路。Chainalysis 持續追蹤此類手法的演進及底層加密基礎設施。
朝鮮駭客從幣安盜取高達 $64 億美元資金的事件，始於朝鮮駭客團隊早已駕輕就熟的經典戰術：求職欺詐。
Chainalysis 調查人員多年來一直在密切追蹤這一策略。該戰術形態多樣：在幣安案件中，朝鮮駭客誘導受害員工應聘虛假職位，進而向其電腦植入惡意軟體。但在其他案例中，攻擊者往往直接偽裝成求職者本人，要麼利用虛假身份獲取薪資為國家政權創收，要麼藉機侵入企業內部系統，甚至兩者兼而有之。
每一次安全事件都會在鏈上留下蛛絲馬跡。在過去 18 個月中，Chainalysis 已確認有超過 $1430 萬美元的資金損失源自類似的朝鮮關聯虛假面試與惡意軟體騙局。這些攻擊行動涵蓋廣泛的目標群體，從個人加密資產持有者、獨立私人錢包，到機構組織、加密協議以及 DAO。而幣安不過是這一連串針對性攻擊中的最新受害者。
「我們在個人層面上識別出了數十起因求職面試誘發錢包失竊的案例，」Chainalysis 高級情報分析師 Tom McLouth 指出。儘管早期事件中的損失金額從數萬美元至數百萬元不等，但更深遠的意義在於這些演練為攻擊者積累了實戰經驗。
McLouth 進一步解釋道，在接二連三的滲透中，朝鮮駭客組織「正在不斷完善和演進其攻擊方法論」，持續打磨戰術路徑，並逐步構建起獵殺更高價值目標所需的實戰能力，「這正是史上最大規模劫案最終成形的原因所在。」
從這一行業背景來看，幣安遭遇的失竊事件絕非孤立偶發，而是攻擊者歷經數月乃至數年縝密籌備與實戰打磨的集中爆發。
虛假面試如何敲開幣安的大門
週二，幣安公布了針對朝鮮駭客對其交易所實施多階段攻擊的初步調查結果。
攻擊行動始於 9 月，一名幣安工程師收到了求職面試邀請。幣安披露了攻擊者如何花費數週時間與該員工建立信任：他們首先在正規招聘平台上以虛構的工作機會主動接洽該員工。
在一家虛構公司組織的兩輪面試之後，該幣安員工被要求下載一份包含惡意程式碼的面試程式碼測試題，攻擊者由此獲得了最初的立足點。在此之後，駭客部署了惡意軟體，並利用受害終端對內部 AI 工具的存取權限，進一步橫向滲透至幣安的核心內網系統深處。
儘管此次系統失陷的規模史無前例，但駭客採用的突破手段卻並不新鮮。正如 Chainalysis 全球服務高級總監 Alec Zebrick 本週在訪談中討論指出，朝鮮攻擊者屢次運用被其稱為「傳染性面試」（Contagious Interviews）的戰術，專門針對擁有特權存取權限的員工。
駭客透過竊取目標員工的身份憑證與系統權限滲透入企業的內網環境，這也使得能夠接觸到敏感核心基礎設施的工程師與關鍵崗位人員，成為了此類攻擊行動極具誘惑力的高價值靶標。
幣安失竊事件清晰揭示了虛假面試如何成為瓦解大型機構安全防線的入口。透過與行業合作夥伴的協同溯源，我們見證了攻擊者如何將這一策略步步打磨成熟。
在惡意面試發生後，我們觀察到多起受害者的加密貨幣錢包私鑰直接從雲端儲存空間中被盜的案例。在部分案例中，受害者明確表示其助記詞從未下載到被感染的本地設備上。
這一現象表明，攻擊者的控制權限早已超越了本地檔案系統，很可能是透過被攻陷的雲端憑證或瀏覽器活躍會話（Browser Sessions）實現了越權存取與權限蔓延。
這一取證事實與微軟的安全研究報告完全吻合：朝鮮惡意軟體會在受感染系統中地毯式搜尋加密貨幣助記詞以及密碼管理器殘留資料。
攻擊者在行動初期收集到的憑證，能夠迅速轉化為開啟大量關聯帳戶的鑰匙，其輻射範圍遠遠超出了最初被染毒的單台設備。在幣安攻擊中，正是這一套相同的底層腳本，即利用虛假求職面試取得初始立足點，最終促成駭客長驅直入交易所的核心業務架構。
朝鮮惡意軟體如何在目標系統中潛伏植入
幣安失竊案僅僅是朝鮮獲利極豐的非法求職生態體系中的一個縮影。
朝鮮駭客廣泛運用各類社會工程學戰術，不僅包括其他樣式的虛假招聘騙局，還涵蓋利用冒名欺詐性 IT 務工人員滲透正規企業等多重視角。
Chainalysis 持續追蹤了朝鮮駭客演變與部署此類技術的其他幾種新型手段。其中一個正在嶄露頭角的新興威脅，是攻擊者利用公鏈空間隱匿惡意軟體指令，我們將這一戰術稱為「區塊鏈死信箱」（Blockchain Dead Drops，簡稱 BDD）。
我們的專題研究報告顯示，在過去一年中，此類借助區塊鏈進行隱蔽通訊的網路攻擊激增了 5 倍，這一迅猛增長主要受到國家級駭客組織推動，同時可能受到了開源權重 AI 大模型的催化與支持。
分析表明，朝鮮駭客組織早在 2025 年初就開始採用被統稱為「以太隱匿」（Etherhiding）的技術手段，旨在其虛假面試攻擊中被攻陷的受害電腦與惡意軟體命令控制（C2）基礎設施之間建立永續連結。
駭客之所以選擇鏈上交易，是因為公鏈帳本具有不可篡改與抗審查特性，相較於容易被執法部門依法查封取締的傳統中心化伺服器，區塊鏈是部署 C2 中繼網路更具韌性的避風港。
Chainalysis 鏈上分析團隊揭示了朝鮮駭客的一項高容災技術：透過將 C2 通訊鏈路分散在 TRON 與 Aptos 兩條不同公鏈上，增加冗餘度（Redundancy），以引導被感染終端最終跳轉至第三條鏈 BSC。
攻擊者在 TRON 和 Aptos 上寫入特定指標，兩者的目標均指向 BSC 上的一筆特定交易。一旦受害機器查詢 TRON 節點受阻，便會自動無縫切換至 Aptos 作為備選冗餘通道。無論經由哪條路徑，受害終端最終都能精準定位至 BSC 上存放惡意載荷（Payload）的目標地址。
近期，朝鮮駭客還演化出了一種被稱為「空接收方」（Null Receiver）的新型隱蔽戰術。駭客將原本用於 C2 通訊的指令資料，直接編碼嵌入到一個經過精心構造的鏈上燃燒地址中。
該地址沒有任何實體實際控制，也並非用於儲存任何加密資產。然而，被惡意軟體感染的終端在抓取到該地址字串後，可直接將其反向解碼為執行指令，從而悄無聲息地完成指令中繼與控制。
揭秘朝鮮獲利豐厚的非法求職生態系統
在朝鮮求職欺詐軍火庫的另一側，是其布局廣泛的大規模 IT 勞務人員計畫。在此類騙局中，朝鮮技術人員偽裝成合法的求職者，應聘並潛伏至全球各大企業中。
他們藉此賺取高額薪資，潛伏並找尋滲透敏感系統的機會，同時源源不斷地為國家政權輸送豐厚的外匯收入。
聯合國官方估算，朝鮮 IT 勞工生態系統每年為該政權創造超過 $6 億美元的巨額收入。這支龐大的地下影子勞動力大軍與加密貨幣生態存在著千絲萬縷的直接交集。
在許多案例中，這些 IT 雇員處心積慮地潛伏入 Web3 與加密機構；同時，他們廣泛利用加密貨幣洗錢以掩蓋非法資金流向。上個月，我們詳細披露了一個受到美國財政部制裁的俄羅斯與朝鮮公民洗錢網路，該網路正是為朝鮮操控的 IT 外包體系提供資金流轉洗白通道。
Chainalysis 密切追蹤針對朝鮮 IT 務工欺詐制裁名單中的所有加密地址實體，並深度整合針對該威脅生態的開源網路情報。
朝鮮 IT 技術人員通常被派駐海外基地，他們利用 VPN 混淆網路位置並借助盜取的虛假身份憑證，在全球企業中應聘遠端職位。一旦成功入職，這些員工通常會明確要求雇主使用穩定幣支付其薪資。
我們已經揭露了此類高度特徵化的鏈上活動，包括在特定案件中，鏈上監控探針捕獲到了錢包按月規律性接收固定金額薪資的典型特徵。
在薪資到帳後，朝鮮 IT 人員會迅速將加密資產層層劃轉給洗錢中間人，例如前文提及的已被列入制裁清單的俄羅斯與朝鮮公民洗錢網路。
Chainalysis 如何追蹤鏈上資金流向
幣安重大安全事件全面展現了朝鮮駭客如何持續演化、測試並完善其多維協同的網路犯罪軍火庫。
同一批駭客團夥既能利用招聘平台進行社會工程學突破，攻陷企業核心基礎設施，又能派遣影子員工偽裝潛伏進正規公司，並熟練運用加密貨幣在鏈上隱蔽轉移贓款。
隨著攻擊手段的不斷精進，企業與安全機構絕不能局限於傳統的網路安全邊界防禦，而必須將促成這些跨國犯罪運作的底層金融流向與鏈上基礎設施納入重點監控視線。
Chainalysis 正在全天候嚴密監控朝鮮駭客如何利用加密生態創收、歸集轉移贓款並清洗非法所得。
區塊鏈資料情報在此類反制對抗中扮演著核心角色。當鏈上分析與傳統網路安全防禦措施及威脅情報深度結合時，安全團隊與司法執法機構能夠精準識別並緊急凍結被盜資金。
這種綜合研判能力不僅有助於全面繪製朝鮮不斷蔓延的鏈上金融網路全景，更能偵測其採購與支付資金鏈條，為國際制裁調查與聯合司法執法提供強有力的鏈上法證依據。
針對幣安失竊案的追蹤調查仍在全力推進中，我們預計被盜資產在未來數日內仍將繼續發生鏈上拆分與轉移。Chainalysis 正在全力配合幣安及整個加密行業開展聯合溯源，阻斷後續洗錢通道，竭力遏制並減少潛在次生損失。
常見問題解答
朝鮮駭客是如何從幣安竊取高達 $64 億美元資金的？
攻擊行動始於一個專門針對幣安員工的虛假工作機會。攻擊者透過一家虛構公司安排的多輪面試贏取了該員工的信任，隨後向其發送了一份包含惡意程式碼的程式設計作業測試題。
當該員工下載並執行測試程式碼後，電腦即被病毒感染，為駭客打開了進入幣安系統的初始立足點。攻擊者隨後部署了惡意軟體，並利用受害終端對內部 AI 工具的存取權限，逐步深入滲透至交易所的核心業務基礎設施。
什麼是朝鮮虛假面試攻擊騙局？
朝鮮虛假面試騙局是指駭客利用虛假的招聘流程，攻陷求職者的個人電腦，進而獲取企業敏感系統存取權限或竊取加密貨幣錢包的社會工程學手法。
攻擊者通常偽裝成行業獵頭或招聘主管，組織看似正規嚴謹的求職面試，並藉由惡意程式測試題或其他下載附件投送木馬載荷。Chainalysis 將此類行動統稱為「傳染性面試」（Contagious Interviews）。
朝鮮駭客此前在其他加密資產攻擊中是否使用過虛假面試手法？
是的。在過去 18 個月內，Chainalysis 已確認有超過 $1430 萬美元的資金損失與類似的朝鮮虛假面試及惡意軟體騙局直接相關。
受害目標涵蓋個人加密資產持有者、獨立私人錢包、機構實體、加密協議以及去中心化自治組織（DAO）。這些早期攻擊讓朝鮮駭客在獵殺更高價值目標之前，得以充分檢驗並完善其社工實戰腳本。
虛假求職面試如何幫助朝鮮駭客滲透企業組織？
虛假面試能夠讓攻擊者直接獲取目標員工的個人終端設備、登入憑證以及內網存取權限。擁有關鍵基礎設施高權限的特權員工是駭客眼中極具價值的靶標，因為攻陷他們的帳戶與設備能夠為攻擊者打通直插企業內部系統的橫向跳板。
什麼是朝鮮非法 IT 務工人員騙局？
這是指朝鮮技術人員偽裝成合法的求職者，通常借助盜取的虛假身份證明與各種網路混淆手段，應聘並獲取全球各企業的遠端工作崗位。
他們藉此賺取高額薪資以充實國家政權的金庫，並伺機獲取企業敏感系統的內部控制權。據聯合國估算，這一灰色生態系統每年為朝鮮創造超過 $6 億美元的資金。
朝鮮在其網路犯罪活動中是怎麼利用加密貨幣的？
與朝鮮關聯的駭客團夥既利用加密貨幣接收非法打工薪資，也利用其轉移並清洗網路攻擊竊得的巨額贓款。外包務工人員通常要求使用穩定幣結算工資，隨後將其劃轉至洗錢中間人帳戶。
此外，駭客還巧妙利用公鏈網路隱匿惡意軟體的控制指令，以此搭建高容災、抗封鎖的命令控制（C2）中繼基礎設施。
Chainalysis 如何協助追蹤與朝鮮相關的網路犯罪？
Chainalysis 透過全天候深度分析鏈上資金軌跡，精準識別朝鮮駭客及影子實體接收、轉移、歸集和清洗非法資金的手法路徑。
此類區塊鏈資料情報能夠協助安全調查人員和行業機構追查被盜資產去向、鎖定洗錢中間人網路、為制裁合規調查提供證據支撐，並在關鍵節點協同生態夥伴盡全力凍結被盜資金。
