北韓黑客透過假招聘面試，導致 Binance 遭竊 $6.3 billion

REG 廣告

「這並非單一孤立的入侵事件，也不是簡單的網絡釣魚事件，」交易所表示

北韓加密貨幣竊賊透過一場假求職面試，誘騙 Binance 一名軟件工程師在公司配發的電腦下載惡意軟件，為上週創紀錄的 $6.3 billion 盜竊案埋下伏線。

這家加密貨幣交易所在週二發表的事故報告中表示，多種手法導致了10月29日的安全事故，包括透過假求職面試進行社交工程、下載惡意軟件、內部 AI 工具遭入侵、端點遭接管，以及一種「先進的交易授權方法」。

「目前的調查顯示，這是一場精密的多階段行動，」事故報告指出。「這並非單一孤立的入侵事件，也不是簡單的網絡釣魚事件。」

REG 廣告

上週末，FBI 將這宗盜竊案歸因於 TraderTraitor。這是一個與 Lazarus Group 有關聯的北韓黑客組織，以結合間諜活動與大規模加密貨幣盜竊案而聞名。這個由平壤支持的組織亦擅長求職騙局——既會假扮 IT 工作者，再被西方公司聘用；也會假扮潛在僱主，引誘軟件工程師下載惡意軟件，令企業裝置感染惡意軟件。

REG 廣告

在近期針對 Binance 的攻擊中，北韓黑客使用了後一種手法。

攻擊準備早在6月已開始，當時其中一名工程師下載了惡意的 Homebrew 安裝程式，引發供應鏈攻擊。雖然保安團隊偵測到惡意軟件，並更換了裝置及輪換所有受影響的憑證，但報告指出：「黑客得知了 Engineer A 的職務，以及他在錢包基礎架構團隊的相關同事。」

三個月後，攻擊中的社交工程部分開始進行。

9月，另一名軟件工程師透過一個「正規求職平台」收到聯絡。對方自稱是項目總監，並為這名 Binance 工程師安排了一連串與該假公司的求職面試。首輪面試是工程師與一名假冒人力資源代表進行的即時影片面試。報告指出，面試官「向他展示了一個社交媒體帳戶，當中有在該平台發布的個人照片和影片，以建立信任」。「這比以往所見的社交工程手法更先進，也更具欺騙性。」

第二輪面試透過一款「熱門社交聊天應用程式」進行，面試對象自稱是這家假公司的 CEO。面試接近尾聲時，CEO 指示工程師下載一份「作業」，當中包含植入惡意軟件的程式碼儲存庫。安裝期間，程式碼在他的工作電腦上執行，引發一連串未經授權的活動。

Binance 表示，惡意軟件以惡意版本取代了一個正版開發工具元件，並執行命令，與攻擊者控制的外部伺服器建立通訊。攻擊者亦採取措施隱藏惡意指令碼及逃避偵測，而且成功了。Binance 的端點保安工具沒有即時偵測到惡意軟件。

以下是該指令碼：

CREATE /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_

REG 廣告

修改 pyenv_ → 3,414 B

刪除 .../libexec/pyenv (3,344 B) ← 移除有效的 pyenv

重新命名 pyenv_ → pyenv (3,414 B) ← 以惡意版本取代

刪除 /opt/homebrew/bin/pyenv (3,414 B)

ln (建立新的符號連結) + spawn zsh

之後，在 10 月 20 日，攻擊者利用遭入侵的電腦和一款內部 AI 工具，取得錢包 DevOps 工程師 A 和另一名錢包軟件開發人員 Engineer C 的電腦存取權。

Engineer A 的電腦上有一個容器部署權限權杖，Norks 很快便發現了這個權杖。10 月 29 日，攻擊者登入 Engineer C 的電腦，使用從 Engineer A 竊取的憑證部署容器，並觸發指令碼發動竊取加密貨幣的攻擊。

截至週二，Binance 表示已重建遭入侵的錢包系統和內部 AI 工具，並更換所有受影響的裝置。該公司亦已停用分配予遭入侵工程師的所有憑證和權杖，並正與執法部門、區塊鏈情報公司及安全研究人員合作，追查並凍結相關資產。

REG 廣告

這間加密貨幣交易所亦聘請了獨立網絡安全專家，檢視事件並建議額外的防護措施。Binance 表示，亦正與 AI 公司及網絡安全公司合作，籌設安全研究基金及各項計劃，聚焦區塊鏈環境中的 AI 安全。®