Binance 失竊案始於虛構求職面試，權限範圍決定攻擊代價

9月，一名 Binance 軟件工程師參加了兩輪面試，對方是一間並不存在的公司。第一輪是與一名人力資源代表進行即時視像通話，對方分享了自己的個人社交媒體帳戶，帳戶內有照片和影片，以證明自己是真人。第二輪在聊天應用程式中進行，對方有人自稱是行政總裁。接近面試尾聲時，工程師被要求把一份編碼作業下載到工作電腦。

10月29日，攻擊者從 Binance 錢包轉走約 $6.34 billion，其中大部分在約20分鐘內被轉走。FBI 將這宗盜竊案歸因於 TraderTraitor；這個北韓組織亦被指要為 2025年2月從 Bybit 盜取 $1.5 billion 負責。這是有紀錄以來最大宗加密貨幣盜竊案。

Binance 已承擔責任，並表示會承受損失。截至11月3日，該公司表示，受影響的代幣資產已有98%補足，約 $2.85 billion 已被凍結或攔截。

值得提出的問題是：一部遭入侵的手提電腦可以接觸到甚麼？每個團隊今天能否在自己的環境中測試這一點？

兩個入侵途徑，以及橫跨6月至10月的攻擊行動

Binance 於11月3日發布的更新沒有提及深偽或其他 AI 輔助技術。兩種入侵方式都利用了人為因素：一名工程師信任搜尋結果，另一名則信任招聘人員。

這次攻擊行動至少持續了五個月。6月，一名負責錢包 DevOps 的工程師搜尋 AI 編碼工具時，下載了一個遭篡改的 Homebrew 安裝程式。Binance 的安全團隊發現異常後，更換了裝置並輪換憑證。到那時，攻擊者已掌握錢包基礎設施團隊的成員。

三個月後，他們從另一個途徑再次下手。9月被接觸的工程師，在一個正規求職平台上有個人檔案，提及他在 Binance 的工作經驗。他收到的編碼作業藏有惡意程式，會在安裝過程中執行，以惡意元件取代 pyenv 的合法元件，連線至攻擊者控制的伺服器，並抹去痕跡。Binance 表示，其端點防護未有偵測到這個程式。

10月20日，攻擊者利用這部手提電腦和一個內部 AI 工具，控制另外兩名工程師的電腦，其中一部屬於6月遭入侵的 DevOps 工程師。他們在該電腦上找到一個具有容器部署權限的 token。10月29日，他們登入另一名工程師的電腦，利用盜取的憑證部署容器，並執行啟動盜竊行動的腳本。

招聘人員誘餌為何仍然有效

虛假招聘人員和植入惡意程式的編碼測試，都是沿用已久的手法。北韓攻擊者多年來一直以此手法針對開發人員，其中最著名的是名為 Contagious Interview 的攻擊行動。Binance 表示，單在2026年已阻止57宗疑似與北韓有關的攻擊企圖。

這種誘餌之所以奏效，是因為它要求工程師做每天都會做的事。在技術面試中執行不熟悉的程式碼庫是常見做法。沒有可疑的寄件者地址，也沒有可將滑鼠遊標停在上面的連結，只有看似可信的僱主、一名出現在視像通話中的人士，以及一項看起來像工作的任務。

招聘人員發出的訊息，也是少數會令人樂於接受的未經邀請聯絡之一。任何安全意識計劃都無法保證每位工程師都能識破每一個足以令人信服的誘餌，因此防護措施必須以其中一個誘餌會得逞為前提。

一部手提電腦如何一路攻入錢包

我的第一個問題關乎該名工程師所處環境的安全管控。使用公司電腦進行外部程式設計評估，值得仔細審視。更值得關注的是，這次單一裝置失陷如何讓攻擊者取得其他系統的存取權，最終更接觸到敏感的金融基礎設施。

初次感染後的每一步，都依賴 Binance 內部原有的信任關係。內部 AI 工具接受來自失陷裝置的指令，並藉此觸及同事的裝置。部署權杖存放在工程師的手提電腦上。使用有效憑證進行的容器部署，轉移了數十億資金。這一切都不需要再次誘騙任何人。

內部 AI 工具尤其值得關注。它們通常對儲存庫、端點及服務擁有廣泛權限，因此，任何能控制可向這類工具發出指令的裝置的人，都能繼承其存取範圍。

保護開發人員，同時不拖慢工程進度

開發人員需要下載套件、執行陌生程式碼及測試軟件。若像鎖緊財務部門工作站一樣嚴格限制他們的手提電腦，工程進度便會大幅放緩，工程師也可能轉而採用變通方法。要求員工不要在公司裝置上處理求職事宜，是合理的政策，但沒有人會時刻遵守政策。實際目標是限制失陷的開發人員裝置接下來能做甚麼。

少數幾項管控措施便能帶來最大的成效。不可信任的程式碼應在一次性虛擬機器中執行，並且不得存取公司憑證。部署憑證應設有短效期限、嚴格限制權限範圍，並盡可能由受控的部署工作流程發出。錢包簽署金鑰或金鑰份額應與開發人員的工作站分開保護，並設立簽署政策，限制可獲批准的交易及授權。凡涉及錢包、付款或正式環境系統的操作，均應要求另一人在另一部裝置上核准。內部 AI 工具應只具備最低限度的權限，並記錄其操作。

即使憑證有效，偵測機制也必須發揮作用。行為監察若能標示來自異常裝置或在異常時段進行的部署，團隊便有機會介入，即使所有憑證都核實無誤亦然。Binance 表示，自事件發生後，已擴大這類偵測措施。

威脅情報的作用

盜竊案發生前六星期，相關警告已公開發布。關於 Contagious Interview 的聯合警示指出，攻擊者冒充 AI、加密貨幣及 NFT 公司的招聘人員，藉此鎖定 IT 專業人士並盜取加密貨幣。Binance 遭遇的事件沿用了相同手法。

在這類攻擊活動中，威脅情報有明確作用。攻擊者可能更換，但其手法早已為人所知。追蹤他們的團隊可以封鎖已知的攻擊基礎設施，並提醒工程師留意目前正在使用的誘騙手法。

情報亦能告訴團隊哪些人需要額外保護。Binance 在六月遭入侵後，事件揭示了哪些人掌握敏感存取權；這些人在未來數月都應被視為潛在目標，並加強監察其裝置及收到的接觸邀請。

這對加密貨幣以外領域的意義

加密貨幣交易所是明顯的攻擊目標，因為被盜資金轉移迅速，而且難以追回。只要開發人員的工作站與關鍵系統之間相隔數個環節，這種模式便同樣適用；無論是銀行的付款流程，還是軟件供應商的建置及發布流程，都可能受到影響。招聘誘騙手法會接觸這些機構的工程師。

本週檢視自身環境的安全主管，最需要進行兩項檢查。第一，盤點一部開發人員手提電腦若遭入侵，現時可能存取哪些資源，包括已儲存的權杖、SSH 金鑰、雲端憑證及內部 AI 工具。第二，確認生產環境部署及高價值交易，必須獲得獨立審批，而單一遭入侵的身分無法提供這項審批。

Binance 已重建受影響的系統，並邀請獨立審查人員參與，但這些決定是在損失發生後才作出的。現在進行同樣演練的組織，便可按自己的時間安排作出這些決定。