一位软件工程师收到了来自招聘人员的看似普通的联系。招聘人员拥有可信的身份，进行了现场视频面试，并在下一轮提出了技术作业。
该作业包含恶意软件。
币安表示，在 2026 年 10 月 29 日攻击者从其钱包中移走约 63.6 亿美元之前，虚假招聘流程是几个疑似的入口点之一。此后，FBI 将此次盗窃归咎于朝鲜，并将相关活动识别为 TraderTraitor。
此次事件被描述为有记录以来最大的加密货币盗窃案。其重要性超越了被盗金额。它表明朝鲜的行动者正在利用就业市场的两面：一方面冒充开发人员进入科技公司，另一方面冒充招聘人员来攻击公司内部的员工。
币安黑客事件发生了什么？
根据区块链情报公司 TRM Labs 的数据，攻击者从币安钱包跨越 10 个区块链转移了约 63.6 亿美元。大部分资金在约 20 分钟内被转移。
据报道，受影响的资产包括比特币、以太坊、Solana、XRP、Arbitrum 等网络上的代币。币安证实其连接的一个热钱包涉及其中，但同时表示大部分客户资产仍存放在离线冷存储中。
币安表示已预留超过 63.4 亿美元的公司资金来弥补损失。该交易所及其区块链合作伙伴还冻结了约 30 亿美元的受影响资产。
冻结可以阻止某些资产在参与网络的网络、发行方或服务中移动。这并不一定意味着资金已被追回和返还。攻击者仍可能控制已被兑换、跨链或移出参与组织范围的资产。
为何 FBI 将责任归咎于朝鲜
FBI 将此次攻击归咎于朝鲜，并将其与 TraderTraitor 联系起来，TraderTraitor 是用于与该国网络行动相关的恶意活动的标签。
该局警告称，预计攻击者将继续通过去中心化金融协议和即时兑换服务洗钱被盗资产。这些工具允许用户在代币或网络之间兑换资产，可能会使资金追踪更加复杂。
区块链交易仍然可见，但可见性并不保证追回。调查人员必须连接不同网络上的钱包，确定使用了哪些服务，并识别控制这些地址的个人。一旦资产到达不配合制裁执行或身份请求的平台，追回将变得更加困难。
TRM Labs 表示，此次攻击的特征与早期的朝鲜相关盗窃案相似。Chainalysis 也评估认为 TraderTraitor 可能是罪魁祸首。尽管完整的法证记录尚未公开，但 FBI 的归因赋予了这一说法官方分量。
虚假面试是其中一个入口点
币安表示，其一名工程师于 9 月份通过一个合法的求职平台，被一个自称代表一家虚构公司的人联系。
在第一次面试中，一个冒充人力资源代表的人出现在了现场视频通话中。该个人资料包含足够多的个人信息和职业历史，看起来很可信。
第二轮包括一项技术作业。工程师被要求下载一个被修改以交付恶意软件的代码存储库。
币安还发现了一起独立的事件，另一名工程师在尝试设置 AI 编码工具时下载了一个被篡改的软件安装程序。安全团队检测到了该安装，更换了设备并轮换了凭证。该公司后来表示，该员工和同事可能仍暴露在外。
币安确定了多个疑似的攻击点。因此，证据不支持将整个盗窃案归结为一次面试或一名员工。招聘方式似乎是更广泛活动的一部分，该活动花费数月时间针对拥有有价值系统访问权限的人员。
为何求职面试能成为攻击手段
技术面试为攻击者提供了一个普通网络钓鱼邮件所不具备的优势：一个可信的理由要求目标运行代码。
软件工程师通常会克隆存储库、审查软件包和安装开发工具。围绕这些操作构建的面试作业可以被视为正常的招聘实践。攻击者不需要制造恐慌或承诺不切实际的回报。该请求符合情境。
在就业市场困难的情况下，求职者也可能对新的联系更加 receptive。一个令人信服的招聘人员、一个逼真的公司资料和几轮对话可以在下载任何文件之前降低怀疑。
这是针对开发人员的社会工程学。攻击者没有直接索要凭证，而是创造了一个情境，让目标自愿将恶意软件引入受信任的环境。
朝鲜正在利用远程招聘的两面
虚假招聘只是行动的一部分。
朝鲜的 IT 工作人员还利用被盗身份和伪造的就业历史，在科技和金融公司获得了真实的工作。然后，他们的工资可以通过账户、加密货币钱包和中介机构转移，最终到达与朝鲜政府有关联的组织。
美国财政部于 10 月 28 日采取行动，制裁了与这些计划有关的 10 名个人和 1 个实体。两名俄罗斯国民被指控为朝鲜 IT 工作人员网络转换了约 550 万美元的加密货币。
Chainalysis 追踪了一条从显示类似工资的稳定币支付的钱包流向被制裁的整合地址，然后流向一名俄罗斯中介。最终，这些资金被发送到被制裁的俄罗斯交易所 Garantex 进行兑换。
Chainalysis 的调查表示，更广泛的 IT 工作者网络可能每年为朝鲜带来 2.5 亿至 6 亿美元的收入，引用了联合国专家小组的估计。
没有公开证据表明 10 月 28 日被制裁的俄罗斯人参与了币安盗窃案。这些案件揭示了同一更广泛战略的不同部分，而不是一个已证实的被告团体。
AI 使虚假身份更具说服力
据报道，朝鲜的行动者利用生成式 AI 准备简历、撰写求职信和练习技术面试。AI 生成的个人资料图片和经过处理的视频可以在远程通话中帮助申请人隐藏真实身份。
同样的工具也可以支持虚假招聘人员。攻击者可以创建一个公司身份，制作专业的个人资料，并在没有语言错误的情况下进行令人信服的书面对话，而语言错误曾是欺诈容易被发现的原因。
深度伪造视频不必完美。在通过压缩视频流进行的简短面试中，轻微的视觉问题可能看起来像普通的网络问题。候选人或招聘人员也可以将背景模糊归咎于摄像头质量、带宽或隐私问题。
AI 并没有创造出根本的计划。它降低了维护多个虚假身份的成本，并使基本筛选的可靠性降低。
早前的制裁案件解释了金融管道
10 月 28 日的制裁为理解朝鲜行动者收到加密货币付款后的情况提供了有用的背景。
美国财政部指控俄罗斯国民 Ilya Aleksandrovich Boykov 为与朝鲜 IT 工作者有关联的被制裁公司 Alis 转换了约 350 万美元的加密货币。Vitold Viktorovich Obertas 被指控为朝鲜官员转换了近 200 万美元的加密货币，并处理了至少 125 万美元的其他货币交易。
财政部还制裁了在俄罗斯运营的朝鲜控制的组织 First Financial and Technical Development Center。据称，与该组织有关联的六名工作人员自 2025 年以来已产生超过 75 万美元的收入。
这些指定表明，该行动需要的不仅仅是能够通过技术面试的人。它还需要经理、身份提供者、笔记本电脑操作员、钱包控制者和能够将数字资产转化为可用资金的中介。
制裁一个钱包可能会扰乱一条路线。该网络可以通过更改地址、链、中介或兑现服务来应对。这就是为什么交易监控必须检查关系和行为，而不是仅仅依赖静态黑名单。
为何加密货币公司成为有吸引力的目标
加密货币公司结合了远程工作和对可转移价值的直接访问。
开发人员可能拥有源代码、部署工具、云基础设施或内部钱包系统的访问权限。安全工程师可能使用保护多个网络的凭证。攻击者如果攻破了一个端点，就可以寻找进入持有可以随时移动的资产的系统的途径。
传统的金融转账通常需要经过清算系统、银行和工作时间控制。加密货币交易可以在几分钟内跨国结算。这种速度有利于合法用户，但也缩短了阻止盗窃的时间。
币安事件表明了问题的规模。尽管据报道区块链合作伙伴冻结了近一半的被盗资产，但在协调响应生效之前，已有数十亿美元被转移。
热钱包仍然是关键的安全边界
热钱包连接到在线系统，以便交易所处理提款。这种可用性使其比冷钱包更容易暴露，冷钱包将签名凭证保存在离线状态。
美联社的报道引用了一位外部安全专家的话，他质疑被盗用的授权是否可能为受影响的钱包提供了过于广泛或持久的访问权限。币安尚未公布完整的技术说明，其调查仍在进行中。
相关问题不仅仅在于交易所是否使用热钱包。每个活跃的交易平台都需要某种方式来处理客户提款。问题在于在线存储了多少价值、交易限额是如何执行的，以及不寻常的转账需要多少独立的批准。
安全的冷存储系统可以限制总损失，但它无法保护已经转移到操作钱包中的资产。在此边界上，检测和交易控制仍然很重要。
冻结 30 亿美元并非恢复的终点
据报道冻结约 30 亿美元是重要的。但仍有大量未解决的问题。
一些区块链发行方可以在合约层面冻结代币。交易所可以阻止与已识别地址相关的存款。验证者、桥接服务和分析公司可以在被盗资产开始移动时快速分发警报。
其他资产则更难阻止。攻击者可能通过去中心化池兑换代币，跨链转移，使用隐私工具，或将资金通过位于不配合美国当局管辖区的服务进行路由。
FBI 特别警告称，DeFi 和即时兑换服务可能出现在洗钱过程中。该警告并不意味着这些服务是知情参与的。无许可的工具可以被合法客户和被制裁的行动者使用。
恢复将取决于调查人员识别新地址的速度以及剩余资金有多少能够到达能够阻止它的服务。
公司应从此次攻击中学到什么
币安的案例表明，为什么招聘安全不能只属于人力资源部门。
一个看起来可信的工作联系人可以成为进入生产系统的途径。面试中收到的代码应被视为不受信任的软件，即使它来自一个知名的招聘平台。在隔离的设备或临时环境中对其进行测试，可以防止一次普通的职业对话导致公司凭证泄露。
身份验证在招聘后也需要继续。一家公司如果在第一天验证了文件，但忽略了不寻常的远程访问、设备位置或付款变更，可能会错过有人接管账户的迹象。
FBI 关于朝鲜 IT 工作者的指导建议独立核实就业历史，检查身份不一致之处，并密切关注发送到第三方地址的公司设备。它还警告未经授权的远程访问软件以及用于隐藏工人真实位置的美国“笔记本电脑农场”。
对于加密货币公司而言，招聘控制、设备安全、钱包权限和制裁筛查必须作为一个整体系统协同工作。攻击者已经这样做了。
Tapbit 为关注数字资产市场发展趋势的读者提供市场分析和加密货币教育。通过 Tapbit 探索最新报道，通过 Tapbit 登录访问现有账户，或 注册 Tapbit 以了解更多关于该平台的信息。
常见问题解答
谁在 2026 年 10 月黑了币安？
FBI 将此次盗窃归咎于朝鲜，并将其与 TraderTraitor 联系起来。TRM Labs 和 Chainalysis 基于攻击行为和与早期事件的联系得出了类似的评估。
币安被盗了多少钱？
约 63.6 亿美元的加密资产从币安钱包跨越 10 个区块链被转移。这被描述为有记录以来最大的加密货币盗窃案。
币安是否损失了客户资金？
币安表示已预留超过 63.4 亿美元的公司资金来弥补损失，并承诺保护用户。该公司报告称，大部分客户资产仍存放在离线冷存储中。
