假招聘到冷钱包失守：朝鲜黑客 60 亿美元渗透链

据 Woofun AI 消息，朝鲜黑客组织对加密行业的系统性渗透已演变为一种常态化的安全威胁，其行动模式从早期的技术漏洞利用，全面转向针对人员、供应链及内部权限的社会工程学攻击。美国联邦调查局（FBI）近期将多起巨额资产失窃案归因于朝鲜相关行为体，特别是拉撒路（Lazarus Group）及其子集 TraderTraitor，标志着这一国家级网络力量已将加密资产视为其核心资金来源。

这种渗透并非孤立的技术突破，而是通过精心设计的招聘陷阱、身份伪造以及内部人员操控，逐步瓦解交易所与钱包服务商的安全防线，导致数十亿美元资产流失。值得注意的是，攻击者不再仅仅依赖代码漏洞，而是深入嵌入加密行业的日常工作流程，利用人类信任机制与系统权限管理的盲区，实现了对冷钱包、跨链桥及核心运维系统的实质性控制。

这种从'技术对抗'向'人与流程对抗'的转变，使得传统的安全防御体系面临前所未有的挑战，也迫使行业重新审视开放协作模式下的潜在风险边界。

2024 年 3 月，一起看似普通的招聘接触，最终演变为日本钱包软件公司 及其客户 DMM 的重大安全灾难。一名 Ginco 员工在领英（LinkedIn）上收到了一位自称'招聘人员'的私信，对方提供了一份入职测试，要求该员工处理一段 Python 代码。

这一场景对于寻求职业发展的程序员而言极具吸引力，招聘网站、代码托管平台以及技术测试构成了他们日常工作的熟悉环境。然而，按照美国联邦调查局（FBI）与日本警察厅随后公布的调查结果，这次接触实际上是攻击者精心策划的入侵起点。攻击者通过这段看似无害的代码，成功侵入了该员工的个人设备，并窃取了关键的登录会话信息。两个月后，攻击者利用这些窃取的凭证，冒充该员工进入 Ginco 的内部通信系统，并进一步渗透至其客户 的交易流程中。攻击者很可能借此篡改了 DMM Bitcoin 的一项正常交易请求，导致 4,502.9 枚（）被非法转移。按案发时的市场价格计算，这笔损失高达 3.08 亿美元。

这一案件深刻揭示了社会工程学攻击的隐蔽性与破坏力：攻击者并非以蒙面劫匪的形象出现，而是伪装成潜在的雇主或职业伙伴，通过建立信任关系，逐步获取对关键系统的访问权限。

这种攻击路径表明，即使拥有先进的安全技术，若缺乏对人员交互环节的有效管控，整个安全体系仍可能因单点突破而全面崩溃。

2026 年 10 月 31 日，FBI 再次发布公告，将（Binance）发生的逾 60 亿美元虚拟资产失窃案归因于朝鲜黑客组织，并沿用'TraderTraitor'这一行动标签。币安此前公布的初步调查结果显示，一名开发运维工程师的电脑可能遭到入侵，攻击者随后利用这一入口获取了服务容器的访问权限，并提交了未经授权的提现交易。

值得注意的是，币安当时表示，尚未发现钱包私钥泄露的直接证据，这意味着攻击者可能通过操控内部系统逻辑或伪造交易指令，而非直接窃取私钥，实现了资产的转移。这一案件与 DMM Bitcoin 案有着惊人的相似性：攻击者均通过入侵员工设备或内部系统，进而操控交易流程。FBI 的归因进一步证实，朝鲜黑客组织已具备针对大型交易所内部运维体系进行精准打击的能力。他们不再满足于攻击外部接口或智能合约漏洞，而是深入交易所的核心运营环节，利用员工的权限和设备作为跳板，实现对巨额资产的非法控制。