币安每月对员工开展“红队”测试以防范黑客入侵

币安Binance

币安交易所是全球加密货币交易所龙头，在手机上即可买卖比特币等数字货币！

官网注册  APP下载

币安首席安全官吉米·苏表示，该交易所正在积极对员工进行模拟钓鱼测试，并将反复失败与雇佣结果挂钩。苏透露，内部“红队”每月开展一次钓鱼演练，以评估员工的安全意识是否有所提升。

据苏介绍，未通过测试的员工并非仅接受一次再培训。币安会对未达标者进行补救性培训，而持续反复失败最终可能影响其在公司内的地位，这反映出社会工程学在真实网络安全事件中所扮演的角色。

关键要点

币安每月对员工进行模拟钓鱼攻击，作为持续内部安全计划的一部分。模拟攻击由币安红队执行，该团队专注于道德黑客攻击和漏洞发现。未通过测试的员工接受补救培训，而反复失败则可能对绩效评估乃至工作结果产生负面影响。币安表示该计划已运行三至四年，苏称员工的安全素养在此期间显著提升。公司采用多种真实诱饵——如虚假招聘人员联系和其他“信息收集”策略——来测试员工的抵御能力。

币安为何测试员工

苏说，币安进行钓鱼模拟“只是为了了解我们的安全素养是否在提升”，并将此举视为一种实际的衡量手段，而非理论上的意识宣传活动。据苏描述，红队的职责是尝试模拟真实攻击路径的入侵和互动，然后将结果反馈到培训中。币安因其用户基础和市场规模常被描述为加密货币领域的大型目标。苏在采访中未提供更多内部数据，但背景凸显了风险：币安报告拥有3.23亿注册用户，而据估算该交易所持有1377亿美元资产。

对投资者和交易者而言，关键启示在于大型交易所将人类行为视为其威胁模型的一部分。企业越依赖运营流程——如客户支持、账户访问、身份验证和内部工具——社会工程学就越成为技术防御无法完全消除的风险因素。

社会工程学仍是常见的入侵途径

苏的评论背景是行业普遍报道社会工程学是加密货币安全事件的主要驱动因素。据估算，2025年65%的加密货币安全事件由社会工程学驱动。此外，此前报道指出，一起长期的社会工程学攻击曾导致某协议遭受2.85亿美元黑客攻击。苏还表示，模拟攻击已实施三至四年。他认为，自该计划启动以来，安全素养已大幅提升：“起初，安全素养很不理想。但经过这段时间，公司已显著改善。”

这之所以重要，是因为它凸显了一项具体的运营变革：币安并未将意识培训视为一次性任务，而是将其作为持续的反馈循环。对组织而言，关键转变在于从“教完就忘”转向“测试、衡量、执行”。

模拟攻击形式：招聘诱饵与数据收集场景

币安使用的一种场景是冒充招聘人员。苏表示，红队会伪装成招聘人员——这种方式模仿了各行各业钓鱼事件中常见的模式，即“听起来合法的”联系成为进一步操纵的入口。苏还描述了另一种诱饵：虚假的“免费会议邀请”，旨在收集个人信息并测试有多少员工上当。他强调，求职面试过程只是币安红队使用的多种场景之一。

这些细节很重要，因为加密货币领域的社会工程学攻击并不总是以明显的“点击此链接”形式出现。它们可能被构建成合法的职业联系、日程请求或后续跟进——这些渠道对员工而言可能显得正常，而他们本可能接受过识别传统钓鱼邮件的培训。采访中提到的另一种知名技术是“Zoom会议攻击”，攻击者诱骗受害者安装伪装成视频会议更新的恶意软件。许多此类攻击始于虚假的工作机会，但也可能使用其他专业诱饵，如项目融资或合作提案。

失败处理：补救、评估与潜在解雇

币安的方法并非止于模拟测试。苏表示，未通过钓鱼模拟的员工需接受补救培训。他还描述了与结果挂钩的激励措施，指出绩效评估会反映测试结果。苏直言：“如果有人反复未通过钓鱼模拟攻击，那将对其评级产生负面影响。这就是保持警惕的激励。”他进一步表示，反复严重失败可能导致绩效评级“跌至谷底”，甚至可能被解雇。虽然苏在采访中未明确说明解雇的具体标准或时间线，但原则是明确的：币安将反复受到社会工程学影响视为人员风险，而不仅仅是培训缺口。

在中心化交易所之外，类似的社会工程学动态也在DeFi生态系统中造成了重大损失。例如，此前报道提及一起事件：某协议用户据称因恶意Zoom客户端入侵电脑，导致攻击者控制其账户，损失约1300万美元。该协议随后暂停并启用紧急治理投票以追回资产，最终向受害者返还了价值1140万美元的头寸。

这些例子强化了币安内部测试背后的更广泛观点：即使攻击者针对的是个人而非系统，其后果仍可能大规模地造成灾难性影响。读者接下来应关注的是，随着监管机构和利益相关方越来越关注代码和基础设施之外的运营安全，币安的方法——每月红队钓鱼测试、补救培训以及与绩效挂钩的后果——是否会成为大型加密货币企业的更标准模式。