虚假面试渗透：Binance 63 亿美元被盗始末

据 Woofun AI 消息， 遭遇了一起精心策划且耗时数月的供应链攻击，导致 63 亿美元资金在 10 月 29 日被盗。此次安全事件并非突发，而是源于两名工程师电脑先后被入侵，攻击者利用虚假求职面试作为突破口，逐步获取了核心钱包基础设施的部署权限。

这一案例揭示了即便在顶级交易所内部，针对开发人员的社会工程学攻击依然能绕过传统防御体系，造成灾难性后果。

攻击链条的构建始于 6 月，当时一名 Binance 工程师在寻找人工智能工具时，下载了被篡改的软件包。尽管 Binance 随后发现了感染迹象，并采取了更换电脑和修改账号密码的补救措施，但攻击者已在此前收集了该员工及钱包团队的大量敏感信息。随后，攻击者转向社会工程学手段。9 月，另一名工程师通过正规招聘平台收到联系，对方伪装成雇主，安排其与人力资源代表及一名假扮首席执行官的人员进行视频面试，并布置了一项编程任务。该任务文件中包含能绕过安全防护系统的恶意软件。到 10 月 20 日，攻击者利用已被攻破的电脑及平台内部 AI 工具，接触了更多内部工程师，最终窃取了部署权限，并将恶意软件植入 Binance 的钱包基础设施中。

Woofun AI 整理数据显示，这种通过招聘诈骗渗透开发团队的手法并非孤例，2025 年 5 月 曾揭露涉嫌朝鲜人员试图加入其工程团队，2026 年 8 月 也公开了疑似渗透案件，而微软早在 3 月就警告称，与朝鲜有关的黑客正利用虚假编程面试感染开发人员电脑。

10 月 29 日，欺诈性提款正式发起，短短数小时内约 63 亿美元资金被转移。Binance 表示目前已冻结约 28.5 亿美元，并通过自有资金补回了 98% 的受影响 token。

然而，此次事件留下了三个关键未解之谜：首先，为何员工能在连接企业系统的电脑上运行未经验证的编程任务？其次，既然 6 月的感染已被发现并处理，为何未能阻止后续渗透？第三，被盗的部署权限如何直接转化为对数十亿美元资金提取功能的控制权？Binance 尚未披露具体安全措施漏洞，也未说明是否因行业警告而加强防护。美国联邦调查局将此案归咎于朝鲜的 TraderTraitor 组织，据《每日电讯报》调查，金正恩麾下约 10 万名特工以远程工作者身份批量发送求职申请，甚至为朝鲜核计划提供资金支持。

这一系列事实表明，攻击者拥有高度组织化的资源和长期潜伏能力。

此次 Binance 被盗事件标志着针对加密基础设施的攻击已从单纯的技术漏洞利用，转向更深层次的人员与社会工程学渗透。攻击者利用行业对招聘流程安全性的忽视，通过数月时间逐步建立信任并获取权限，最终实现大规模资金窃取。这不仅是 Binance 的安全危机，更是整个 Web3 行业在人员安全管理上的警钟。随着类似手法在 Kraken、Coinbase 等机构相继出现，交易所必须重新审视其内部访问控制机制，特别是针对开发人员的外部交互环节。未来，如何平衡技术创新与安全隔离，将成为行业亟待解决的核心难题。