众所周知，朝鲜黑客在窃取加密货币方面非常有效，据估计，去年所有损失的 60% 归因于与朝鲜有关的组织。这些黑客采用了多种不同的攻击方式，使得在活动中发现他们变得更加困难。

上周，据称朝鲜黑客仅用了 20 分钟就从币安平台盗走了 63 亿美元，这是有记录以来最大的加密货币黑客攻击事件。该交易所表示，攻击者通过虚假的求职面试破坏了币安工程师的工作计算机，使用内部人工智能工具控制其他工程师的计算机，然后使用窃取的凭据劫持内部钱包签名服务。

https://t.co/sU9dUqLQDH

— 币安 (@binance) 2026 年 11 月 3 日

过去，众所周知，朝鲜黑客以虚假身份受雇于加密货币公司，通过第三方基础设施进行攻击，并毒害广泛使用的代码库。最近，他们开始使用人工智能来让一切变得更有说服力。

以下是朝鲜黑客在加密攻击中使用的已知方法的一些示例。

假员工

币安首席安全官吉米·苏 (Jimmy Su) 于 2025 年 8 月告诉 ，该交易所每天都会丢弃可疑的朝鲜简历，并且当时“几乎所有大型朝鲜黑客攻击”都涉及一名帮助促成攻击的假冒员工。

苏表示，简历中有迹象表明申请人来自朝鲜，但交易所不愿透露危险信号的具体细节。但有时，恶意行为者会进入采访阶段，攻击者使用深度伪造来改变他们的面孔和声音。

“唯一真正好的检测是他们几乎总是有一个缓慢的互联网连接，”他告诉 。 “发生的情况是，翻译和变声器在通话期间正在工作……这就是他们总是延迟的原因。”

那些被录用的人往往对这份工作的擅长程度令人怀疑。苏说，朝鲜工人往往是公司表现最好的员工之一，可能是因为几个人可能跨时区分担一个角色。

威胁并未减弱。币安表示，其安全团队在 2026 年发现并阻止了 57 起疑似与朝鲜有关的网络威胁案件，使用的技术包括欺诈性工作面试和虚假视频会议应用程序等。

虚假工作面试

攻击者还翻转骗局，冒充招聘人员，瞄准已经在知名加密货币公司工作的人。通常，攻击者会声称在采访期间存在视频或音频问题，并向受害者发送更新 Zoom 的链接，这会用恶意软件感染他们的设备

“朝鲜组织还将尝试与面向外部的员工安排通话，”Su 告诉 。 “无论是作为 DeFi 项目还是投资公司。最糟糕的是，他们会招聘他们担任高级职位，支付两倍、三倍的费用，只是为了让他们参加面试。”

据交易所称，币安攻击就是这样开始的。 9 月，一名冒充项目总监的人通过合法的求职平台找到了一名币安软件工程师，并安排了两次面试。在第一个案例中，一名所谓的人力资源代表通过实时视频通话建立了信任，通过分享充满个人照片和视频的社交媒体帐户，币安称这种方法“比以前看到的更先进和具有欺骗性”。

第二次是在聊天应用程序上进行的，工程师被告知将“作业”下载到他的工作计算机上。该代码存储库包含以前未知的恶意软件，这些恶意软件在安装过程中运行，将合法的开发人员工具替换为恶意版本，并连接到攻击者控制的服务器，从而规避了币安的安全工具。

大约在 2025 年 12 月至 2026 年 7 月期间，一个与朝鲜有关的组织使用类似的方法感染了 100 多个国家的至少 30,000 台设备。它从 7,000 多个加密钱包中获取资金或凭证，并将约 1,071 万美元转移到朝鲜。

该组织被称为 WaterPlum 或 Contagious Interview，冒充人工智能、加密货币或 NFT 公司，为候选人安排技术面试或编码任务，要求下载充满恶意软件的文件。一些人在面试时使用人工智能换脸软件，然后剪掉视频并要求候选人也这样做，并指责网络连接不好。

图书馆中毒

币安的 Su 还告诉 ，朝鲜黑客毒害了公共代码库，将其列为第二常见的攻击方法，仅次于假冒员工。

节点包管理器 (NPM) 包是开发人员经常使用的可重用开源代码的集合。攻击者可以克隆这些软件包并插入一小行恶意代码，同时保留其原始功能。这意味着受害者可能会在没有注意到的情况下使用这个中毒的代码库，随着时间的推移，随着更多的代码构建在其之上，恶意代码会嵌入得更深。

2025 年 9 月，软件安全公司 ReversingLabs 发现了两个使用以太坊智能合约下载恶意软件的 NPM 软件包，该公司表示以前从未见过这种情况。这些软件包与更广泛的 GitHub 存储库网络相关联，大多数被标记为加密货币交易机器人，其中有数千个提交和星星，ReversingLabs 认为这些大多是伪造的。

哪些公司将在2027年之前IPO？

该策略是恶意行为者试图通过有毒的区块链相关公共代码库攻击用户的“复杂活动”的一部分，币安此前将这一攻击媒介归咎于朝鲜黑客。

Su 表示，为了应对这一威胁，币安让员工仔细浏览 NPM 库。

被篡改的开发者工具也在币安黑客事件中发挥了作用。交易所表示，6 月，币安钱包 DevOps 团队的一名成员在尝试安装他通过搜索引擎找到的 AI 编码工具时，下载了流行软件安装程序 Homebrew 的被篡改安装。其安全团队发现了问题，更换了设备并轮换了他的凭据，但该事件将钱包基础设施团队的工程师和他的同事暴露给了攻击者。

基础设施攻击

在币安之前，最大的加密货币黑客攻击记录属于 Bybit，该公司在 2025 年 2 月损失了 14 亿美元。网络安全公司透露，朝鲜黑客通过将恶意代码植入该交易所使用的加密钱包提供商 Safe 的基础设施中来完成这次攻击。

安全公司表示，恶意 JavaScript 代码被直接注入 Safe 的在线基础设施中。不过，目前尚不清楚攻击者是如何做到这一点的。

该交易所告诉 ，Bybit 的基础设施“没有受到损害”，此次黑客攻击纯粹是因为第三方遭到利用。

币安网的攻击针对的是该交易所自己的系统。 10 月 29 日，攻击者使用窃取的凭据部署容器，并获得对内部钱包签名服务的未经授权的访问，从而使其能够在币安正常提款流程之外发起交易。在以太坊上，它使用签名服务来利用 EIP-7702，这是一种让账户将执行权委托给智能合约的机制，从而使攻击者控制的合约能够部分控制币安热钱包。

即使在币安暂停提款之后，这些链上授权仍然有效。该交易所表示，由于热钱包使用多方计算，因此币安无法使用单个私钥来快速撤销它们。

人工智能驱动的诈骗

上述每一种攻击媒介都可以通过人工智能工具进行增强。

今年早些时候，谷歌警告称，一场针对朝鲜加密货币公司的人工智能恶意软件活动。同样，币安的 Su 也提到，人工智能工具可以用来提高攻击的有效性。

近几个月来，人们对人工智能黑客攻击的担忧有所增加，以太坊联合创始人维塔利克·布特林 (Vitalik Buterin) 在 10 月份表示，“看似合理”的人工智能可能会在未来两年内破解加密。在此背景下，人工智能驱动的数学出现了爆炸式增长，OpenAI 声称在几天内就解决了一个有 90 年历史的数学问题。专家敦促业界为人工智能驱动的加密攻击做好准备。

目前还没有关于朝鲜黑客使用人工智能破解加密的证实报告。但考虑到他们在其他地方采用人工智能的速度有多快，该行业下一步可能必须为此做好准备。