Binance表示，2026年已發現並攔截57起疑似與朝鮮有關的網路攻擊，但一名工程師仍因參加虛假的招聘面試而下載惡意程式，讓攻擊者逐步取得內部權限，最終接觸到錢包簽章基礎設施。這起事件凸顯，即使威脅已被辨識，招聘流程與開發環境仍可能成為入侵加密貨幣平台內部系統的途徑。
Binance於11月3日發布的安全報告詳述攻擊經過。美國聯邦調查局（FBI）則在10月31日將10月29日發生、約63.4億美元加密資產遭竊的事件，歸因於朝鮮的TraderTraitor行動。
攻擊從開發工具延伸至錢包簽章系統
Binance稱，最早發現的相關活動發生於6月。一名負責錢包基礎設施的工程師安裝熱門AI程式設計工具時，下載了遭竄改的Homebrew安裝程式。安全團隊察覺異常後，為該員工更換設備並更新相關憑證；不過，攻擊者當時已取得與其職務及同事相關的資訊。
9月，攻擊者透過合法招聘平台接觸另一名軟體工程師，冒充虛構公司的專案負責人。接著，一名自稱人資代表的人士進行即時視訊面試，並提供附有個人照片與影片的社群媒體帳號，藉此增加可信度。第二輪面試時，另一名人士則自稱是該公司的執行長。
面試接近尾聲時，工程師被要求在工作電腦下載一份程式設計測驗。程式碼儲存庫看似一般開發專案，但安裝過程會執行惡意程式，取代合法開發工具元件，並連線至攻擊者控制的伺服器。Binance表示，這款此前未曾發現的惡意軟體躲過端點安全軟體，也掩蓋了入侵痕跡。
至10月20日，攻擊者利用已遭入侵的電腦及一款內部AI工具，進一步控制兩名工程師的設備，其中包括6月事件中曾被鎖定的員工。攻擊者隨後取得容器部署權杖。9天後，他們利用竊得的憑證部署惡意容器，進入Binance的錢包簽章基礎設施。
Binance指出，攻擊者繞過正常提款流程，發起未經授權的轉帳，涉及多個區塊鏈網路。公司未說明57起遭攔截的威脅中，有多少涉及假招聘面試，也未披露哪些案件與10月的攻擊者直接相關。
Binance更換設備並重建受影響系統
Binance聯合執行長何一表示，公司安全團隊在2026年發現並阻止57起疑似與朝鮮有關的網路威脅。她列舉的攻擊手法包括假招聘面試、偽裝成常用開發工具的惡意軟體、遭竄改的軟體套件與瀏覽器擴充功能、假冒視訊會議應用程式，以及藉由社交工程竊取憑證或安裝遠端存取惡意軟體。
何一表示，雖然許多攻擊已被攔截，但這次未能阻止的攻擊造成嚴重後果，並指出這種情況不應發生。事後，Binance更換受影響員工的設備、撤銷暴露的憑證，並重建受影響的錢包基礎設施。公司也表示將加強開發環境防護，並擴大運用AI進行行為監測；報告未具體說明這些措施將如何處理本次事件中遭利用的招聘面試環節。
假招聘面試與朝鮮網攻手法相似
這次攻擊與安全研究人員及美國執法部門多年來追蹤的朝鮮網路行動有相似之處。FBI於2024年9月曾警告，朝鮮駭客會以高度個人化的工作機會、精心安排的假身分及持續溝通，滲透加密貨幣企業；即使技術能力強的員工，也可能遭遇依其職涯背景量身設計的騙局。
2026年6月，Kudelski Security研究人員記錄了名為「Contagious Interview」的行動。攻擊者在LinkedIn、WhatsApp及Discord上冒充招聘人員，再誘使開發者執行惡意程式。9月，Atlassian研究人員則發現，假技術測驗託管在成熟的開發平台上，並將惡意指令藏在看似正常的軟體專案裡。
這些案例顯示，攻擊者持續利用招聘流程與開發者工具建立信任，再逐步擴大對企業內部系統的存取權限。Binance披露的細節也顯示，6月的設備感染並未阻止攻擊者其後利用員工關係及內部工具擴大控制範圍。公司尚未公布57起攔截事件的具體構成，也未說明本次攻擊中哪些防護環節失效；目前已確認，攻擊者最終接觸到錢包簽章基礎設施，並在多個區塊鏈網路上發起未經授權的資產轉移。