用逼真的 HR、社交账号、CEO面试获取信任，借技术考题掉包pyenv，杀毒软件识别不出，从一台开发机慢慢横向渗透，最后卷走巨额资产 先说第一层感受：最高级… · @Jackie1101081 · TwKit

@Jackie1101081

用逼真的 HR、社交账号、CEO面试获取信任，借技术考题掉包pyenv，杀毒软件识别不出，从一台开发机慢慢横向渗透，最后卷走巨额资产 先说第一层感受：最高级的黑客攻击，从来不是炫技术，是利用人的职业本能 第二层：很多公司把安全当成 “技术部门的事”，边界划在服务器、网关、钱包，但这次攻击面是员工的个人职业社交身份；所以不要也不能简单归责于那个工程师！ 别指望员工靠眼力防骗。我们核心工程师、支付、链上开发，本身就是靶标；开发机追求效率、随意跑外部代码，是巨大隐患 重点不是骂工程师大意，而是硬性隔离：工作机严禁跑外来面试代码，环境基线哈希校验、内网分段熔断，还要常态化演练这类社工陷阱。用完善的机制代替对人的要求！ 攻防里防守方必须永远零失误，对手只要一次得手；至于币安这种全球线上办公怎么应对，面临的问题之多不少！ 大表哥 @cz_binance 技术出身，这一块应该有更靠谱的方案和架构！

曝光 78 · 评论 4 · 点赞 0 · 书签 0