朝鲜黑客组织20分钟盗取币安63亿美元，创史上最大交易所攻击纪录

币安Binance

币安交易所是全球加密货币交易所龙头，在手机上即可买卖比特币等数字货币！

官网注册  APP下载

上周，据称由朝鲜关联的黑客组织在短短20分钟内从币安（Binance）盗取了63亿美元资产，成为有记录以来规模最大的加密货币交易所黑客攻击事件。这一事件不仅刷新了行业安全警戒线，也凸显出高级持续性威胁行为体在技术手段与社会工程学上的深度融合。

虚假招聘与深度伪造：新型入侵路径

近年来，朝鲜背景的黑客组织在渗透加密企业方面展现出极强的隐蔽性和策略性。他们常通过伪造身份伪装成求职者参与招聘流程，其中最典型的方式是使用深度伪造（Deepfake）技术，在视频面试中实时改变外貌与语音特征，以规避身份识别。

币安首席安全官Jimmy Su指出，朝鲜行为体是公司长期面对的最具威胁对手之一。尽管每天都会过滤大量疑似来自朝鲜的简历，但仍有个别恶意申请人进入关键环节。由于网络延迟或音质异常，常暴露出其依赖翻译软件和变声器的痕迹。

Su强调：“几乎所有涉及朝鲜的重大黑客事件，都伴随着以虚假身份入职的内部人员协助。”部分攻击者甚至能长期扮演“优秀员工”，利用多人员轮岗机制在不同时区运作，逃避监控。

水蜜桃组织：跨国渗透与大规模数据窃取

一个代号为WaterPlum（又称Contagious Interview）的黑客组织，在2025年12月至2026年7月期间，针对全球超过100个国家的3万余台设备发起攻击。该组织通过伪装成AI、加密货币或NFT公司，诱导潜在雇员下载含有恶意代码的作业文件，最终窃取了7,000多个加密钱包凭证，并转移1,071万美元至朝鲜。

在最近一起案例中，一名币安工程师通过正规渠道接收到一份看似真实的职位邀约。第一阶段由所谓人力资源代表发送社交媒体内容作为背景验证；第二阶段则要求下载包含隐藏后门的文档，从而绕过安全检测，实现对内部钱包签名服务的非法访问。

被污染代码库与基础设施漏洞

除了社交工程手段，朝鲜威胁行为体还频繁污染开源项目和开发者工具。2025年，网络安全机构ReversingLabs发现两个名为colortoolsv2和mimelib2的Node Package Manager（NPM）包，它们表面上是用于加密交易的机器人工具，实则通过以太坊智能合约分发恶意程序，成功绕开主流安全审查。

NPM是广泛使用的JavaScript包管理平台，攻击者正是利用其高覆盖率来传播恶意代码。此类攻击表明，威胁方已从直接入侵转向利用信任链进行间接渗透。

此次币安事件还牵涉到被篡改的Homebrew安装程序——一款主流开发者工具。类似手法也曾导致2025年初Bybit遭受14亿美元损失，当时攻击者将恶意脚本注入Safe钱包提供商的第三方基础设施。

人工智能加速攻击演进

人工智能正在重塑网络安全格局。谷歌与币安均确认，朝鲜关联组织已开始应用AI技术，用于生成更具欺骗性的钓鱼邮件、自动化深度伪造面试流程以及简化恶意软件构建过程。

以太坊联合创始人Vitalik Buterin警告，未来两年内AI可能对现有加密算法构成实质性威胁，尤其在数学计算与密码破解领域已取得突破。尽管目前尚无证据显示朝鲜已成功破解加密体系，但其快速采纳前沿技术的行为已引起业界高度警觉。

安全专家呼吁加强员工反诈培训、强化代码贡献审核机制，并建立跨机构威胁情报共享平台，以应对日益复杂的攻击形态。