朝鲜黑客数据揭露以太坊钱包威胁波及1,640个组织

加密货币新闻

以太坊(ETH)是此次事件中最直接受到威胁的资产。希腊安全研究员、安全公司Kumio首席技术官Vangelis Stykas在拉斯维加斯Black Hat大会上披露,他在朝鲜指挥控制服务器内部持续潜伏了22个月,最终确认了分布在57个国家的1,640个受害组织。这一数字直接来源于攻击者自身的记录而非外部估算,因此具有罕见的精确性。Stykas表示,他共收集了约5TB的数据,涵盖开发者密钥、私有源代码以及Slack和Discord上的内部通信。他评估认为,其中700至800个组织遭受了严重入侵,即攻击者获得了服务器root权限、AWS管理控制权或加密货币钱包密钥。这意味着任何与受损密钥关联的资产都处于风险之中——从比特币到交易所、基金或开发者持有的各类山寨币余额。此次披露还揭示了为何一次人为失误即可引发大规模盗窃:一旦攻击者控制了特权设备,区块链层可能依然安全,但托管层已经失守。对以太坊而言,风险尤为突出,因为智能合约授权、签名密钥和基础设施账户均可被滥用,而无需篡改底层协议本身。本周公布的发现描述的是一场持续性的情报收集行动而非一次性入侵,随着被扣押数据的进一步审查,可能还会有更多受害者浮出水面。数据集还包含了攻击团队的工具和通信记录,为防御者提供了从初始入侵到持久控制的完整攻击链视角。Stykas警告称,许多组织在收到通知后从未做出响应,这使得更广泛的社区不得不依赖共享威胁情报而非仅靠个体修复,该披露因此成为一个正在进行中的事件响应问题,尤其对持有签名密钥或云凭证的团队而言。

披露的第二层核心在于攻击手法:不是利用软件漏洞,而是通过虚假招聘实施渗透。开发者被以高级职位和优厚薪酬为诱饵接触,随后被要求完成内嵌隐藏恶意软件的编程测试。Palo Alto Networks研究人员于2023年11月将这一模式命名为「Contagious Interview」(传染性面试),微软随后描述了被放置在GitHub、GitLab和Bitbucket上的恶意软件包。当开发者在Visual Studio Code中打开这些包并接受信任提示时,编辑器便会执行攻击者的代码。由此产生的后门程序会搜索API令牌、云登录凭证、签名密钥、钱包文件和密码管理器数据。这对以太坊(ETH)构成尤为严重的威胁,因为被入侵的开发者账户或签名环境可以在不触发任何可见协议漏洞的情况下授权交易和合约审批。风险覆盖所有托管模式——无论是标准交易所账户还是与算法稳定币相连的基础设施。一名外包人员的受感染笔记本电脑可能暴露多达30家公司的凭证,将单一终端转化为多个突破口。波士顿儿童医院被关联到一名前外包人员的个人设备,但该医院表示凭证在数小时内即被撤销,系统未显示任何入侵痕迹。在加密领域,Coinbase和Uniswap Labs在收到警告后采取了响应措施。Consensys还发现了一名秘密为MetaMask代码工作了约一个月的朝鲜开发者。财务规模凸显了事态的紧迫性:与朝鲜相关的团队据称在2025年窃取了20.2亿美元的加密资产,同比增长51%。4月份Drift Protocol遭受的2.85亿美元损失与涉及朝鲜中间人的线下会面有关,而仅两起事件就贡献了2026年损失的76%,且仅占案件总数的3%。自2017年以来,该国的累计盗窃金额已超过60亿美元。威胁情报数据标记了代号GOLDEN CHOLLIMA的组织利用招聘诱饵渗透金融科技云环境的行为,表明招聘管控已成为安全边界的一部分。

COINOTAG的分析将两层披露归结为同一主题:最薄弱的环节是人的托管,而非区块链本身。链上盗窃记录——包括链上可见的Drift Protocol 2.85亿美元资金流失——以及事后各方的公开声明,均指向社会工程学攻击路径。企业层面的披露则显示,通过凭证撤销、内部人员筛查以及Crypto ISAC框架下的威胁情报共享实现了修复。对于以太坊(ETH)、比特币或任何关联山寨币的持有者而言,实际教训是更严格地隔离签名环境,并对招聘相关代码进行验证。现有主要证据并未指向协议层故障,而是指向被攻破的人员和设备。即便市场远未触及历史最高价,运营安全仍然是决定性的风险控制手段。