朝鲜黑客借虚假面试窃取超1430万美元加密资产

区块链分析机构Chainalysis最新报告显示，过去18个月内，超过1430万美元的加密资产因朝鲜（DPRK）关联黑客团伙实施的“虚假面试”攻击而损失。这些小规模攻击被视作其后续针对币安等大型平台发起历史性大盗前的重要演练。

虚假面试成新型攻击入口

此类攻击最初以个人求职面试为诱饵，诱导受害者下载嵌有恶意代码的文件。攻击目标从普通钱包扩展至去中心化自治组织（DAOs）及各类协议系统。据Chainalysis高级情报分析师Tom McLouth透露，已识别出数十起类似案例，单个案件损失金额从数万美元至数百万美元不等。

McLouth指出，朝鲜黑客团队持续优化其攻击手法，逐步形成系统化流程。“这正是他们最终能实施大规模盗窃的关键所在。”他强调，币安遭遇的攻击极可能是在长期技术积累后的成果。

此前报道显示，币安漏洞源自9月一封伪装成公司面试邀请的邮件。一名工程师在完成两轮虚拟面试后，下载了一份含恶意程序的作业文件。该事件被Chainalysis全球服务高级经理Alec Zebrick称为“传染性面试”，其核心在于获取具备高权限账户的访问凭证，进而反向入侵雇主系统。

私钥泄露隐忧：云端凭据遭窃

部分受害者反映，助记词并未出现在受感染设备上，表明攻击者可能通过窃取浏览器会话或云存储登录信息实现数据提取。这一发现凸显了现代攻击对身份认证机制的深度利用。

微软确认“传染性面试”持续活跃

2024年3月，微软发布安全通告称，其Defender Experts团队追踪到自2022年12月以来未中断的“传染性面试”活动。攻击者伪装成加密货币或人工智能领域企业，诱导求职者运行恶意代码包。这些程序可扫描本地设备中的钱包助记词、密码管理器（如KeePass、1Password）及加密密钥。

区块链“死信箱”攻击激增五倍

Chainalysis数据显示，过去一年内，基于区块链的隐蔽指令传递方式——即“区块链死信箱”——数量增长五倍。该现象与国家行为体参与以及开放权重AI模型的滥用密切相关。

早在2025年初，朝鲜行动者便开始使用名为“Etherhiding”的技术，将命令分发至多个公链节点。例如，攻击指令被分别部署于TRON和Aptos链上，均指向币安智能链（BSC）上的有效载荷。若一条链失效，另一条自动接管，确保攻击链路稳定。

更先进的“空接收者”（null receiver）方法则将指令隐藏在一个无实际控制权的地址中。该地址本身不用于存储资金，但受感染设备仍会将其解析为执行指令。

多国联合指认朝鲜黑客组织

今年9月，美国联邦调查局（FBI）、日本国家警察厅，以及澳大利亚和德国执法机构共同指控名为WaterPlum的朝鲜黑客团体，涉嫌一起价值约1071万美元的加密资产盗窃案。该组织也被称为“传染性面试”组织，影响范围覆盖约7000个账户的敏感数据。

FBI将币安事件归因于另一朝鲜团伙TraderTraitor，但平壤方面否认参与。目前，被盗资金仍在链上流动，预计未来数日内将进一步转移。