币安Initial报告复盘：假面试+木马pyenv窃取60多亿美元全链条
xiaohu · x · 2026-11-04
币安发布 10 月 29 日安全事件的初步调查报告，还原了朝鲜黑客窃取 60 多亿美元的完整攻击链：
- 切入点是求职陷阱：一位币安软件工程师在求职网站挂简历，被自称「项目总监」的人主动联系，对方安排真人露脸的「HR」视频面试，并给出带生活照和视频的社交账号以取得信任。
- 第二轮面试下毒：面试后期切换到常用聊天软件与假 CEO 沟通，对方以技术测试为由让工程师在工作电脑上下载运行一份「代码题」。
- 木马化 pyenv：该代码在安装环节悄悄把正常的开发工具 pyenv 替换为带木马的版本，回连黑客服务器并自动清理痕迹，当时连币安的杀毒软件都没查出来。
- 后果：黑客从这台电脑逐步渗透内部，一个多月后摸进交易所钱包系统，酿成 60 多亿美元失窃。
报告还警告：领英上仍有一批币安在职员工信息公开可查，都是朝鲜黑客的潜在社工对象。对普通开发者最大的启示是：永远不要在工作设备上运行来历不明的「面试代码题」。
「安全」频道最新
- Pass-ta-key 金攻击：从 Chrome 进程内存提取 Google 密码管理器域密钥 — jedisct1 · 2026-11-04
- TheZvi 深度对比 OpenAI 新版 Model Spec：新旧哲学相近，但新示例回避真正的难题 — TheZvi · 2026-11-04
- Zvi 逐条拆解 OpenAI 新版 Model Spec：五大价值观与风险分类重构 — Don't Worry About the Vase (Zvi) · 2026-11-04
- 开源 worldinmotion MCP：跨机器 Agent 会话互发消息，并解释为何不做审批工具 — distronode · 2026-11-04
- Google DeepMind 规划 AI 试点：官员评估时间减少 58%，70% 报告免修改被采纳 — nukebuddy · 2026-11-04
- Google 允许学校关闭 AI 工具,但代价是连搜索一起失去 — TechCrunch AI · 2026-11-04