北韓假職位面試導致 Binance 63 億美元盜取案

常規廣告

安全

'它不是一次單一的孤立違規或簡單的網路釣魚事件，交易所說'

北韓加密貨幣盜賊在上週破紀錄 63 億美元的盜竊案之前，騙取一名 Binance 軟體工程師下載惡意軟體至其工作用電腦，該過程為假冒職位面試。

在週二發布的事件報告中，該加密貨幣交易所表示，多種技術 - 包括透過假工作面試的社交工程、惡意軟體下載、內部 AI 工具被入侵、端點接管，以及「先進的交易授權方法」 - 導致了 10 月 29 日的安全漏洞。

「我們目前的調查顯示，這是一場複雜且多階段的攻擊行動，」事件報告說。「這不是單一孤立的漏洞或簡單的釣魚事件。」

常規廣告

週末，FBI 將盜竊案歸因於 TraderTraitor，這是一個與Lazarus Group相關聯的北韓駭客組織，該組織以結合間諜活動與大規模加密貨幣盜竊聞名。平壤支援的團隊亦擅長職場詐騙——既會冒充 IT 工作者，被西方公司僱用，也會作為潛在僱主，誘使軟體工程師下載惡意軟體並感染企業裝置。

常規廣告

在最近的 Binance 攻擊中，Norks 使用了後者。

攻擊準備始於六月，當其中一名工程師下載惡意 Homebrew 安裝程式時，發生了供應鏈攻擊。雖然安全團隊偵測到惡意軟體，但該裝置已被更換，所有受影響的憑證也已輪換，報告說：「工程師 A 的職務以及他在我們錢包基礎設施團隊相關同事的資訊已被駭客獲取。」

三個月後，攻擊的社交工程部分發生了。

九月，另一名軟體工程師透過「合法求職平臺」被一位自稱專案主管的人聯絡，該主管為 Binance 工程師安排了一系列與假公司進行的工作面試。第一輪面試——與工程師進行的直播視訊面試以及假 HR 代表——面試官「與他分享了社交媒體帳號，包括平臺上發布的個人照片和影片，以建立信任」，報告稱。「這比以前見過的社交工程手法更先進、更具欺騙性。」

第二次面試由一位自稱假公司 CEO 的人進行，使用「熱門社交聊天應用程式」，在結束前，CEO 指示工程師下載一份包含惡意軟體的「作業」程式碼庫。該程式碼在他工作電腦的設定過程中執行，啟動了一系列未授權活動。

根據 Binance 的說法，惡意軟體將合法開發工具的元件替換為惡意版本，執行指令並與攻擊者控制的外部伺服器建立通訊。攻擊者還採取措施隱藏惡意指令碼並躲避偵測，並成功。Binance 的端點安全工具未能立即偵測到該惡意軟體。

以下是指令碼：

CREATE  /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_  

REG AD

修改  pyenv_ → 3,414 B  

刪除  .../libexec/pyenv  (3,344 B)      ← 刪除有效的 pyenv

重新命名  pyenv_ → pyenv  (3,414 B)  ← 以惡意版本取代它

刪除  /opt/homebrew/bin/pyenv  (3,414 B)

ln  (建立新符號連結)  +  啟動 zsh

然後在10月20日，這些不法分子利用被盜的電腦和內部 AI 工具，取得了錢包 DevOps 工程師 A 與另一位錢包軟體開發者 Engineer C 的電腦存取權。

工程師 A 在他的電腦上擁有一個容器部署許可權令牌，Norks 很快就發現了這一點。10月29日，攻擊者存取了工程師 C 的電腦，使用從工程師 A 那裡盜取的憑證部署了一個容器，並觸發了一個指令碼以發動加密貨幣竊取攻擊。

截至星期二，Binance 表示已重建被攻擊的錢包系統與內部 AI 工具，並更換了所有受影響的裝置。它還停用了所有被盜工程師所持有的憑證與令牌，並正與執法機構、區塊鏈情報公司及安全研究人員合作，追蹤並凍結相關資產。

REG AD

該加密貨幣交易所亦聘請了獨立的網路安全專家進行事件的網路安全審查，並建議進一步的保護措施。Binance 表示，他們亦在與 AI 公司和安全商店合作，建立安全研究基金與相關計畫，專注於區塊鏈環境中的 AI 安全。®