Binance 披露朝鲜黑客多阶段攻击细节：从虚假面试到恶意 Homebrew
币安（Binance）最新安全报告详细还原了上周导致约 63.4 亿美元加密货币被盗的攻击过程。根据该交易所于 11 月 3 日发布的声明，此次事件并非孤立的网络钓鱼或简单违规，而是一场由朝鲜黑客组织策划、耗时数月精心准备的复杂多阶段行动。
调查揭示了两个关键的初始入侵点。第一个漏洞发生在今年 6 月，一名币安钱包开发团队的工程师在搜索一款流行的 AI 编码工具时，意外下载了伪造的 Homebrew 安装包。Homebrew 是 macOS 平台上广泛使用的软件包管理器，攻击者借此植入了恶意代码。尽管币安随后检测到设备上的异常活动并试图干预，但为时已晚，攻击者已经掌握了该员工的角色信息，并锁定了在交易所钱包基础设施上工作的其他同事。
第二个入侵途径则利用了社会工程学手段。9 月份，另一名币安软件工程师通过合法求职平台被恶意行为者接触。假招聘人员安排了两次面试，其中一次涉及视频通话，对方伪装成人力资源代表，并展示了包含个人照片和视频的社交媒体账号以建立信任。面试结束后，工程师被要求在工作电脑上下载一个包含恶意软件仓库的编程任务。在执行设置过程中，恶意代码替换了 Python 版本管理工具“venv”中的合法组件，使其具备执行命令和与攻击者控制服务器通信的能力。值得注意的是，当时币安的终端安全工具未能检测出这一恶意软件。
攻击链升级：从设备控制到热钱包盗取
这些前期铺垫在 10 月 20 日开始转化为实质性威胁。攻击者利用此前植入的后门，结合内部人工智能工具，成功控制了上述两名钱包工程师的设备，并发现了一个存储在工程师计算机上的容器部署许可代币。
10 月 29 日，攻击行动达到高潮。黑客使用窃取的身份证凭证进入另一位工程师的计算机，部署容器并执行恶意脚本。这一操作使他们得以访问币安的内部钱包签名服务，从而绕过正常的提款流程，直接从五个热钱包中转移资产。
FBI 定性“TraderTraitor”行动，损失部分追回
美国联邦调查局（FBI）于 11 月 1 日直接将此次盗窃归咎于朝鲜。FBI 在推特上指出，朝鲜民主主义人民共和国应对 2026 年 10 月 29 日左右从币安窃取超过 60 亿美元虚拟资产的行为负责，并将这一特定的恶意网络活动命名为“TraderTraitor”。平壤方面对此予以否认，称美国的指控是“荒谬的胡说八道”。
针对资金损失，币安表示目前已冻结或拦截了约 285 亿美元的受损资产，且 98% 的受影响资金已得到补充。
此次攻击手法与此前朝鲜关联的黑客活动高度一致。例如，“WaterPlum”攻击组织曾利用虚假招聘信息和编程测试，在 100 个国家感染超过 30,000 台设备，并于 9 月攻陷逾 7,000 个加密货币钱包。此外，2024 年一场针对 Python 开发者的攻击同样使用了隐藏恶意软件的虚假招聘测试，该事件被归咎于 Lazarus 组织——该组织也与 2025 年的 15 亿美元 Bybit 黑客攻击有关。在这些案例中，攻击者均伪装成潜在雇主，诱导开发者运行包含 Base64 混淆恶意软件的测试，从而获取远程访问权限。
