又是面试背锅！ 朝鲜黑客用了四年前的老套路，从币安搞走了63.4亿美元。 最荒诞的是，整个故事居然从一场求职面试开始。 币安昨天公布了初步调查报告。 今年9… · @gimcall · TwKit

@gimcall

又是面试背锅！ 朝鲜黑客用了四年前的老套路，从币安搞走了63.4亿美元。 最荒诞的是，整个故事居然从一场求职面试开始。 币安昨天公布了初步调查报告。 今年9月，一位币安软件工程师在求职平台上，被一名自称“项目总监”的人主动搭讪，说有个岗位想聊聊。 第一轮，HR 真人视频面试。为了取得信任，对方还主动分享自己的社交账号，里面有生活照、视频，看起来就是个真实存在的人。 第二轮，换到聊天软件上，跟这家公司的 CEO 面试。 当然，公司是假的，CEO 也是假的。 快结束时，CEO 发来一道代码题，让工程师下载运行。 工程师照做了，而且用的是币安的工作电脑。 木马就这么进去了，伪装成正常开发工具，连币安的安全软件都没认出来。 10月20日，黑客借这台电脑和内部 AI 工具，进一步控制了两名钱包工程师的设备，拿到了部署权限。 10月29日，黑客侵入钱包签名系统，63.4亿美元资产受到影响。 看到这里，我突然觉得这剧情怎么这么熟悉。 妈的，2022年3月，Axie Infinity 的 Ronin 网络被盗约6亿美元，几乎就是同一个剧本。 当时也是一位高级工程师，在 LinkedIn 上被一家不存在的公司主动联系。 经过好几轮面试，对方给了一份薪酬极其优厚的 offer。 offer 是个 PDF，里面藏着木马。 四年过去，两起攻击的核心套路几乎没变： 假猎头搭讪 → 多轮正式面试 → 虚构公司 → 下载恶意文件 → 控制工作电脑 → 盗取巨额资产。 2022年，6亿美元。 2026年，63.4亿美元。 四年过去，黑客连剧本都懒得换，战绩倒是翻了十倍。

曝光 449 · 评论 5 · 点赞 4 · 书签 0