Chainalysis将过去18个月内超过1430万美元的加密货币损失归因于后来被用于攻击币安的朝鲜假招聘面试手法。根据这家区块链分析公司的调查结果，这些较小规模的盗窃案是为针对该交易所63亿美元的盗窃进行的演练。

这些损失源于与朝鲜关联的假面试和恶意软件计划，受害者范围涵盖个人加密货币持有者、私人钱包、协议以及去中心化自治组织（DAO）。

数十起假招聘面试导致钱包被攻破

Chainalysis高级情报分析师Tom McLouth表示，他们“已发现数十起其他在个人层面导致钱包被攻破的假面试入侵事件”。个人损失从数万美元到数百万美元不等。

他表示，朝鲜团伙在这些攻击中不断“完善和演进其手法”。McLouth说：“这就是他们最终制造出史上最大盗窃案的原因。”

据Chainalysis评估，币安攻击可能是数月甚至数年演练的顶点。Cryptopolitan此前报道称，币安将其入侵追溯到9月发给一名工程师的面试邀请。在与一家假公司进行两轮接触后，这名工程师下载了植入恶意代码的面试任务。

Chainalysis全球服务高级经理Alec Zebrick将这种策略称为“传染性面试”，其目标是拥有特权访问权限的员工，以便将其凭证用于攻击其雇主。

Chainalysis还指出，多起事件中私钥在恶意面试后从云存储中被盗。一些受害者表示，他们的助记词从未存储在被感染的设备上，该公司称这可能表明云登录凭证或浏览器会话被盗。这一细节说明，钱包安全如今已不仅限于单一设备：用于存储或同步凭证的云账户和浏览器会话本身也可能成为入侵点。

今年3月，微软记录称，其Defender Experts团队追踪到一场至少自2022年12月以来一直活跃的“传染性面试”攻击行动。在该行动中，冒充加密货币交易公司或AI公司员工的假招聘人员诱使求职者运行恶意代码包。微软表示，其中的恶意软件会搜寻钱包助记词、KeePass和1Password存储库以及加密密钥。随着假招聘人员在加密货币和AI领域冒充雇主，招聘流程本身实际上已成为攻击面。

区块链死投攻击一年内激增至五倍

Chainalysis还报告称，基于区块链的网络攻击在过去12个月中增加了五倍。该公司将这种技术称为Blockchain Dead Drops，并将激增归因于民族国家行为者以及开源权重AI模型的潜在使用。

朝鲜行为者于2025年初开始使用这种被称为“Etherhiding”的方法。它将通过假招聘面试感染机器连接到攻击者的命令与控制服务器，因为区块链记录比中心化托管的基础设施更难被执法部门查获。

其中一个朝鲜设置将指令分布在TRON和Aptos两条链上。两条链都保存着指向托管在BSC上的载荷的指针，被感染的设备会被重定向到该载荷；如果TRON失效，Aptos将作为后备。较新的“null receiver”变体将指令嵌入一个经过特殊构造的地址中，该地址不受控制且并非用于持有加密货币；被感染的机器会将该地址解读为一条命令。在Etherhiding于2025年初首次出现后如此之快便有新变体出现，表明这一攻击手册仍在被积极完善。

今年9月，美国联邦调查局（FBI）、日本国家警察厅以及澳大利亚和德国的相关机构公开指责一个名为WaterPlum的朝鲜团伙实施了约1071万美元的加密货币盗窃案。WaterPlum也被称为“传染性面试”组织，其行动影响了约7000个加密货币账户的敏感数据。四国当局的联合归因表明，这一策略在国际上引发的执法反应规模之大。

FBI将币安被盗案归于朝鲜组织TraderTraitor，但平壤否认参与其中。Chainalysis预计被盗资金在未来几天仍将持续转移。