涉嫌的北韓駭客上週從幣安竊取63億美元，創下史上最大規模的加密貨幣竊案紀錄，而其背後的技術反映出一套廣泛且不斷演變的手法：以假身分滲透企業、污染廣泛使用的程式碼庫、入侵錢包基礎設施，並且日益運用人工智慧讓每一步更具說服力。

威脅規模相當可觀。據一項估計，去年所有加密貨幣損失中有60%與朝鮮民主主義人民共和國（DPRK）相關的組織有關。這些行為者同時使用多種攻擊途徑，使其更難在作案時被當場察覺。

上週，涉嫌的北韓攻擊者僅花了20分鐘就從幣安竊走63億美元，這是史上最大的加密貨幣駭客事件。據交易所說明，他們透過一場假的工作面試入侵一名幣安工程師的工作電腦，利用內部AI工具控制其他工程師的電腦，接著以竊得的憑證劫持內部錢包簽章服務。

— Binance (@binance) November 3, 2026

過去，北韓駭客以假身分受僱於加密貨幣公司、透過第三方基礎設施發動攻擊，以及污染廣泛使用的程式碼庫而聞名。近來，他們開始使用AI讓這一切更具說服力。以下是已知的北韓駭客在加密貨幣攻擊中使用的手法。

假冒員工

幣安資安長Jimmy Su於2025年8月告訴Decrypt，交易所每天都會剔除疑似北韓的求職履歷，而當時「幾乎所有大型DPRK駭客事件」都有假冒員工協助促成攻擊。

Su表示，履歷中有一些跡象可判斷應徵者來自北韓，但交易所不願透露這些危險信號的細節。有時惡意行為者仍會進入面試階段，此時攻擊者會使用深度偽造技術改變自己的臉部與聲音。

「唯一真正有效的偵測方式，是他們幾乎總是網路連線速度很慢，」他告訴Decrypt。「因為在通話過程中，翻譯與變聲軟體正在運作……所以他們總是有延遲。」

成功受僱者往往在工作上表現出令人起疑的優異。Su表示，北韓工作者常常是公司裡的頂尖表現者，原因可能是多人跨越不同時區共享同一個職位。

威脅並未減緩。幣安表示，其資安團隊在2026年偵測並阻止了57起疑似與北韓相關的網路威脅事件，手法包括假的工作面試到假冒的視訊會議應用程式。

假面試

攻擊者也會反過來將騙局倒轉，假扮招聘人員，鎖定已在知名加密貨幣公司任職的人。攻擊者常常會聲稱面試中出現視訊或音訊問題，並寄給受害者一個更新Zoom的連結，使其裝置感染惡意軟體。

「DPRK組織也會嘗試與對外接觸的員工安排通話，」Su告訴Decrypt。「可能假扮成DeFi專案或投資公司。更糟的是，他們會以兩倍、三倍的薪水招募對方擔任高階職位，只為了讓對方進入面試。」

據交易所說明，幣安攻擊事件正是這樣開始的。9月，一名幣安軟體工程師透過正規求職平台被一名自稱專案總監的人接觸，對方安排了兩場面試。在第一場中，一名自稱HR代表的人透過即時視訊通話分享充滿個人照片與影片的社群媒體帳號來建立信任，幣安稱這種手法「比以往所見更進階、更具欺騙性」。

在第二場於聊天應用程式進行的面試中，工程師被要求在其工作電腦上下載一份「作業」。該程式碼儲存庫含有前所未見的惡意軟體，會在安裝過程中執行，將一個正當的開發者工具替換為惡意版本，並連線到攻擊者控制的伺服器，避開了幣安的資安工具。

類似手法也在其他地方被大規模使用。一個與北韓相關的組織在約2025年12月至2026年7月間，以類似方法感染了超過100個國家的至少3萬台裝置，從逾7,000個加密貨幣錢包竊取資金或憑證，並將約1,071萬美元轉往北韓。

該組織名為WaterPlum或Contagious Interview，假扮成AI、加密貨幣或NFT公司，要求應徵者進行技術面試或編碼任務，過程需下載含有惡意軟體的檔案。有些攻擊者在面試中使用AI換臉軟體，之後以連線不佳為由先關閉自己的視訊，並要求應徵者照做。

程式碼庫污染

Su也告訴Decrypt，北韓駭客會污染公開的程式碼庫，他將其列為第二常見的攻擊手法——僅次於假冒員工。

Node Package Manager（NPM）套件是開發者經常使用的可重複使用的開源程式碼集合。攻擊者可以複製這些套件，在保留原有功能的情況下塞入一小段惡意程式碼。這意味著受害者可能在不知情的情況下使用這個被污染的程式碼庫，而惡意程式碼會隨著更多軟體在其上建構而愈陷愈深。

2025年9月，軟體資安公司ReversingLabs發現兩個利用以太坊智慧型合約下載惡意軟體的NPM套件，該公司表示前所未見。這些套件與一個更廣大的GitHub儲存庫網路有關，大多以加密貨幣交易機器人為品牌，擁有成千上萬的提交與星標，ReversingLabs認為大部分都是偽造的。

這種手法是惡意行為者透過污染的區塊鏈相關公開程式碼庫試圖駭入使用者的「精密行動」的一環——幣安先前曾將此攻擊途徑歸因於北韓駭客。為因應此威脅，Su表示，幣安要求員工以極嚴謹的方式逐一檢視NPM程式碼庫。

遭篡改的開發者工具也在幣安駭客事件中扮演了角色。據交易所說明，6月，幣安錢包DevOps團隊的一名成員在嘗試安裝透過搜尋引擎找到的AI編碼工具時，下載了一個被篡改的Homebrew安裝檔，Homebrew是一款流行的軟體安裝工具。其資安團隊發現問題後更換了裝置並輪替其憑證，但該事件仍使這名工程師與錢包基礎設施團隊的同事暴露於攻擊者面前。

基礎設施攻擊

在幣安之前，最大規模加密貨幣駭客事件的不光彩紀錄屬於Bybit，該交易所在2025年2月損失14億美元——不到幣安失竊金額的四分之一。資安公司揭露，北韓駭客是透過在Safe（該交易所使用的加密貨幣錢包供應商）的基礎設施中植入惡意程式碼完成攻擊。

資安公司表示，惡意的JavaScript程式碼被直接注入Safe的線上基礎設施，但攻擊者如何做到仍不清楚。Bybit的基礎設施「未遭入侵」，該交易所告訴Decrypt——駭客事件純粹是因為第三方遭利用所致。

相較之下，幣安攻擊事件則針對交易所自身的系統。10月29日，攻擊者利用竊得的憑證部署了一個容器（在企業自身基礎設施內運行服務的隔離軟體環境），並未經授權存取內部錢包簽章服務，使其能在幣安正常提款流程之外發起交易。在以太坊上，攻擊者利用該簽章服務濫用EIP-7702——一種讓帳戶可將執行權限委託給智慧型合約的機制——使攻擊者控制的合約取得幣安熱錢包的部分控制權，熱錢包是交易所賴以處理客戶提款的連網錢包。

據交易所說明，即使幣安暫停提款後，這些鏈上授權仍然有效。由於熱錢包採用多方運算——一種將金鑰控制權分散給多方、使任何單一參與者都不持有完整金鑰的方式——幣安無法用單一私鑰快速撤銷這些授權。

AI驅動的詐騙

上述每一種攻擊途徑都可以透過人工智慧工具大幅強化。

今年年初，Google警告來自北韓、針對加密貨幣公司的AI惡意軟體攻擊行動。幣安的Su同樣指出，AI工具可以被用來提升攻擊的效力。

近幾個月來，對AI驅動駭客攻擊的疑慮不斷升高，以太坊共同創辦人Vitalik Buterin在10月表示，AI在兩年內破解加密技術是「有可能的」。此言論正值AI驅動的數學能力爆發之際，OpenAI宣稱在幾天內破解了一道有90年歷史的數學難題，專家們也敦促產業為AI對加密技術的攻擊做好準備。

目前沒有經證實的報導指出北韓駭客使用AI破解加密技術。但鑒於他們在其他領域採用AI的速度之快，產業接下來可能也必須為此做好準備。