比特币安全警报:朝鲜关联黑客已入侵1,640家企业

加密快讯

比特币(BTC)托管及更广泛的加密基础设施正面临新一轮安全审视。一项历时22个月的调查发现,与朝鲜存在关联的攻击者通过伪造招聘对话,已渗透进57个国家的1,640家企业。网络安全公司Kumio首席技术官Vangelis Stykas详细披露了这场行动的运作机制:开发者和远程技术承包商收到看似合理的职位邀约、技术测试或示例项目文件,一旦打开或执行这些文件,恶意软件便在目标环境中建立初始立足点。研究强调,这并非针对大量邮箱地址的普通钓鱼攻击,而是一场高度聚焦的社会工程行动,利用了人们对招聘流程的天然信任。一旦得手,攻击者便锁定数字资产团队最核心的凭证:服务器管理员权限、Amazon Web Services访问权限,以及控制比特币(BTC)、山寨币或AI加密钱包的私钥。调查结果显示,约700至800家机构遭受了严重入侵,攻击者能够在系统间横向移动、检查云基础设施,并有可能直接转移资金。对比特币而言,风险尤为严峻——链上交易一经确认便不可逆转,私钥一旦暴露,相关资产即可被转走且无法追回,这使得预防性托管控制远比事后补救更为关键。调查还指出,外包人员权限过度是一个反复出现的薄弱环节:外部开发者往往持有超出其任务所需的广泛访问权限,导致一个被感染的账户即可成为通往关键系统的入口。招聘渠道中的职业社交消息、代码仓库邀请和面试文件都应被视为不可信输入。企业应强制实施多因素认证,将外包人员设备与生产环境隔离,并在授予密钥或云角色访问权限之前进行定期权限审计。对交易所、托管机构和区块链初创公司而言,安全审查必须覆盖招聘流程、终端卫生和最小权限原则的执行,而非仅关注区块链层本身。

Black Hat大会上的披露揭示了第二层隐忧:商用AI工具正在大幅降低经验不足的攻击者的入门门槛。Stykas表示,他之所以能够深入调查该行动,是因为入侵者意外感染了他自己的一个系统,这使他得以进入对方的命令与控制服务器、私有Slack和Discord频道,以及近5TB的内部资料。从这一独特视角观察,该组织使用主流AI服务来编写恶意代码、美化虚假招聘网站,并自动化部分入侵流程——其运作逻辑类似于AI交易机器人自动化市场决策。恶意代码中嵌入的英文注释和表情符号等可见痕迹指向了AI生成文本,而针对代号为UNC2970的威胁集群的独立情报研究则描述了其利用Gemini来研究目标并识别国防和科技领域的高薪职位。受影响名单中包括多家知名加密企业。Coinbase声明称,此事涉及一名外包人员,已在30天内完成调查并终止合作,未暴露客户数据。Uniswap Labs同样被点名。波士顿儿童医院则表示,问题涉及一名前外包人员的个人设备,而非医院核心系统。自由职业模式放大了损害面:一名同时服务于多个客户的开发者可以成为跨越多家组织的单点故障。研究人员发现,个别被入侵的机器无意中同时为多达30家企业提供了访问路径。随研究一同发布的链上分析数据估计,朝鲜关联行为者在4月占加密资产被盗价值的约76%,涉及约5.77亿美元的两起重大盗窃事件。自2017年以来,归因于朝鲜加密行动的累计盗窃金额估计已超过60亿美元。这些数据将此次事件从单一研究警报升级为对所有持有比特币(BTC)、山寨币或稳定币库存团队的结构性警告。

COINOTAG的评估认为,此次事件的根本原因在于身份与访问管理的失败,而非比特币(BTC)或任何底层区块链协议本身的缺陷。目前最接近事后复盘的材料是受影响企业的事件声明和链上分析,而非协议层面的技术披露。该研究未公布任何攻击者交易哈希或被清空地址的明细,这限制了对资金流向的确定性追踪。即便市场并未处于追逐历史最高价的阶段,托管卫生仍然是决定性变量。修复路径清晰明确:将招聘文件视为不可信输入,执行最小权限原则,隔离外包人员终端,强制多因素认证,并持续审计密钥访问事件。不可逆的结算特性意味着,预防而非追回,始终是唯一可靠的防线。