圈小蛙
在网络安全领域，通常有一种令人窒息的讽刺：哪怕你部署了全球最复杂的加密算法和离线多重签名机制，只要你的人员管理出现漏洞，整个防御体系就会像纸糊的一样一触即溃。
2026 年 11 月 3 日，币安（Binance）联席首席执行官 Richard Teng 对外披露了那场 63 亿美元窃案的惨痛细节，此前FBI已经证实是朝鲜黑客操盘币安63亿美元大案，而币安内部的初步调查也显示，黑客并没有通过量子计算机破解复杂的公钥体系，而是利用了两名毫无戒心的钱包团队工程师作为突破口，这也是朝鲜黑客组织的惯用伎俩。
工程师 A：倒在“付费钓鱼”下的 Homebrew
第一名受害工程师的遭遇，简直是每一个程序员的噩梦。黑客在主流搜索引擎上投放了竞价广告，将一个高度伪造的“钓鱼版” Homebrew 安装脚本推送到了搜索结果的前列。当这名工程师在维护钱包基础设施时，由于疏忽，直接点击了付费广告并安装了篡改版的开发工具。
据 路透社报道显示，这一木马化的工具在安装瞬间便获取了该工程师的本地权限，并同步将钱包团队内部的敏感工作信息、临时凭据泄露给了黑客组织。对于一名专门负责核心钱包资产的专业人员而言，竟会在执行关键命令时忽略源地址检查，这本身就是极大的职业失职。
工程师 B：深陷“招聘面试”的精心布局
如果说第一名工程师的中招源于对工具链的不严谨，那么第二名工程师的遭遇则展现了黑客极其精湛的社工手法。
据 《财富》杂志披露的细节，攻击者在 LinkedIn 上打造了一套完美的“正规高科技公司”人设，主动联系了这名工程师，并抛出了诱人的职位诱饵。在进行虚假远程视频面试后，黑客以“技术测评”为名，要求工程师从一个指定的代码仓库下载测试项目并编译运行。工程师执行了该指令，导致工作电脑瞬间沦为黑客的“肉鸡”。
这一套路在近年来早已是朝鲜黑客组织的“常规操作”，针对开发者的恶意代码仓库、带有后门的面试代码测试，早已成了窃取大厂内网权限的通行证。然而，如此经典、如此低级的骗局，竟然能够接连绕过币安内部的合规审计和终端管控，这不禁让人怀疑币安在内部研发流程的权限把控上究竟存在多大的盲区。
企业文化的灾难：安全培训形同虚设
Richard Teng 在报告中提到的这些事实，字里行间透露出的不是黑客技术有多么高超，而是企业安全文化的崩塌。
这些骗局在行业内其实非常常见，任何稍微关注网络安全动态的团队都会对“搜索广告陷阱”和“虚假招聘”提高警惕。从实际情况来看，币安这次事故暴露了其内部安全培训不仅是严重不到位，简直就是形同虚设。当核心研发人员连基本的网络来源信任机制都未建立时，即便币安拥有再多的储备金来填补损失，其品牌信誉也已经在这次事件中被彻底透支。
对于整个加密货币生态来说，这是一次惨痛的警告：在 AI 时代，黑客可以利用 LLM 构建更真实的人设、更逼真的钓鱼网站，但人类面对诱惑时那点可怜的防范意识，却似乎还停留在二十年前。
本报道由 圈小蛙（qxwa.com） 科技资讯站特约撰稿。🐸️