Binance表示，2026年已发现并阻止57起疑似与朝鲜有关的网络攻击，但一名工程师仍因虚假招聘面试下载恶意代码，导致攻击者逐步取得内部权限，并最终接触钱包签名基础设施。Binance在11月3日发布的安全报告披露了攻击过程；美国联邦调查局（FBI）则于10月31日将10月29日发生的约63.4亿美元加密资产失窃事件归因于朝鲜TraderTraitor行动。事件显示，已识别的威胁并未完全转化为有效防护，招聘流程和开发环境仍可能成为进入加密平台内部系统的入口。
从恶意安装程序到钱包签名基础设施
Binance报告称，最早发现的相关活动发生在6月。一名负责钱包基础设施的工程师在安装一款热门AI编程工具时，下载了被篡改的Homebrew安装程序。安全团队发现异常后更换了该员工的设备，并轮换相关凭证。不过，攻击者已经接触到有关其职责及同事的信息。
9月，攻击者通过正规招聘平台联系另一名软件工程师，冒充一家虚构公司的项目负责人。随后，一名自称人力资源代表的人士进行实时视频面试，并提供包含个人照片和视频的社交媒体账号，以建立可信度。第二轮面试中，另一名人士又自称是该公司的首席执行官。
面试接近结束时，工程师被要求在工作电脑上下载一份编程测试。代码仓库表面上像正常的开发项目，但恶意程序在安装过程中执行，替换了合法开发工具组件，并连接到攻击者控制的服务器。Binance称，该恶意软件此前未知，既躲过终端安全软件，也隐藏了入侵痕迹。
到10月20日，攻击者利用已受影响的电脑和一款内部AI工具，进一步控制了两名工程师的设备，其中包括6月事件中被盯上的员工。之后，攻击者获取了容器部署权限令牌。9天后，他们使用窃取的凭证部署恶意容器，进入Binance的钱包签名基础设施。
Binance称，攻击者绕过正常提现流程发起未经授权的转账，资产涉及多个区块链网络。公司没有在这份披露中说明57起被阻止的威胁中有多少涉及虚假面试，也未披露哪些案件与10月攻击者直接相关。
Binance公布的补救措施
Binance联合首席执行官何一表示，公司安全团队在2026年发现并阻止了57起疑似与朝鲜有关的网络威胁。她列举的手法包括虚假招聘面试、伪装成常用开发工具的恶意软件、被篡改的软件包和浏览器扩展、假冒视频会议应用，以及窃取凭证或部署远程访问恶意软件的社会工程攻击。她承认，虽然许多攻击已被拦截，但未能挡住其中一次造成了严重后果，并表示这不应发生。
事发后，Binance更换了受影响员工的设备，撤销暴露的凭证，并重建受影响的钱包基础设施。公司还表示，将加强开发环境防护，并扩大基于人工智能的行为监测。报告未说明这些措施如何具体应对本次攻击中被利用的招聘面试环节。
招聘骗局与朝鲜网络行动的既有手法相似
此次攻击与安全研究人员和美国执法部门多年来追踪的朝鲜网络行动有相似之处。FBI在2024年9月曾警告，朝鲜黑客会利用高度个性化的工作机会、精心构造的虚假身份和持续沟通，渗透加密货币企业；即使技术能力较强的员工，也可能受到针对其职业背景设计的骗局影响。
2026年6月，Kudelski Security研究人员记录了名为“Contagious Interview”的行动：攻击者在LinkedIn、WhatsApp和Discord上冒充招聘人员，再诱导开发者运行恶意代码。9月，Atlassian研究人员则发现，虚假的技术测评会托管在成熟的开发平台上，将恶意指令隐藏在看似正常的软件项目中。
这些案例表明，攻击者持续利用招聘流程和开发者工具建立信任，再将访问权限扩展至企业内部系统。Binance披露的细节还显示，6月发生的设备感染并未阻止后续攻击者借助员工关系和内部工具扩大控制范围。公司尚未公布57起拦截事件的构成，也未说明哪些防护环节在这次攻击中失效；目前披露的信息确认，攻击最终触及钱包签名基础设施，并导致多条区块链网络上的资产遭到未经授权转移。