63.4 亿美元蒸发：员工电脑如何沦为黑客 0day 入口

据 Woofun AI 消息， (Binance) 于 11 月 3 日公布了一份关于 10 月 29 日安全事件的初步调查报告，披露了约 63.4 亿美元数字资产被盗的详细路径。美国联邦调查局 (FBI) 将此次事件归因于朝鲜黑客组织。这并非一次突发的系统入侵，而是一场从数月前便开始布局的多阶段组合式渗透。攻击者并未直接攻破核心防火墙，而是通过感染员工设备、获取内部访问能力，并借助企业内部工具逐步靠近钱包基础设施。

这一过程揭示了当交易所的核心资产安全与员工日常使用的开发工具、AI 应用和内部权限体系紧密连接时，最坚固的门可能并非唯一的防御点，有时只需一个看似正常的软件包下载，便足以引发灾难性后果。

攻击链条的起点可追溯至 2026 年 6 月，当时钱包 DevOps 团队的一名工程师（工程师 A）在搜索引擎上寻找一款流行的 AI 编程工具，并下载了一个经过篡改的 Homebrew 安装包。Homebrew 作为常见的软件包管理工具，允许开发者快速安装各类开发软件，但若安装包遭到恶意篡改，原本正常的安装流程便成为恶意代码进入电脑的通道。

这种被称为供应链攻击 (Supply Chain Attack) 的手段，与传统钓鱼不同，它不直接骗取密码，而是将恶意代码隐藏在用户信任的软件或更新流程中。对于开发人员而言，其工作电脑通常保存着代码仓库、云服务及内部基础设施的访问凭证，风险极高。

尽管币安安全团队当时检测到了异常，并主动更换了工程师 A 的设备，同时轮换了所有相关凭证，但攻击者已接触到该工程师的工作角色及其在钱包基础设施团队中的相关人员。

这意味着，即使设备被更换、凭证被轮换，攻击者仍可能继续寻找其他入口，尝试接近同一团队，为后续攻击埋下伏笔。

进入 9 月，攻击者将目标转向另一名软件工程师（工程师 B），采用了更具欺骗性的社会工程学陷阱。工程师 B 在一个正规的求职平台上公开了自己的职业经历，其中包括在币安工作的背景。随后，一名自称某公司项目总监 (Project Director) 的人主动联系他，邀请其参加面试。整个招聘流程设计得相当完整，第一轮面试由一名自称 HR 的人员负责，双方通过实时视频沟通，对方还分享了一个包含个人照片和视频的社交媒体账号以建立信任。

第二轮面试转移到一个流行的社交聊天应用中，临近结束时，对方要求工程师 B 下载一份名为 'Assignment' (代码作业) 的代码仓库，并在自己的工作电脑上运行。对于软件工程师而言，下载代码、配置开发环境、完成技术测试本是正常的招聘环节，但这份代码仓库实际上包含 0-day malware (零日恶意软件)。根据币安披露，攻击者使用了代码混淆和规避检测技术，将合法开发工具的组件替换为恶意版本，使其能够执行命令并与外部服务器通信。

Woofun AI 整理数据显示，恶意脚本对工程师 B 电脑中 pyenv (Python 版本管理工具) 进行了具体操作：创建新的 pyenv_ 文件，将合法组件替换为恶意版本，删除原有合法文件，将恶意文件重命名为 pyenv，并删除原有命令入口，重新创建符号链接并启动 zsh。

这种隐蔽性使得用户在使用熟悉命令时，背后程序已被替换，从而让攻击者成功进入员工工作电脑。