通过面试的加密开发者如何成为安全威胁

一名开发者可以完成面试、交付有用的代码并赢得团队的信任，然后才利用随工作而来的访问权限来对付雇主。美国的起诉和安全调查显示，朝鲜特工利用这条途径进入加密货币企业。FBI的最新警告描述了一个更大的支持网络，该网络可以提供身份、面试替身和本地设备，而实际从事工作的人则在别处。

美国检察官于2025年6月宣布的起诉书描述了受雇于亚特兰大一家区块链研究企业和一家塞尔维亚代币公司的开发者。根据指控，雇主并不知道这些工人的真实身份。

这些工人后来收到了使他们能够访问加密货币资产的项目。检察官指控，其中一起盗窃涉及对两份智能合约的更改，另一起则利用了雇主委托的访问权限。当时涉嫌损失总额超过90万美元。

这些事件处于一种可能看起来像成功招聘的威胁的核心。该工人身处正常的项目流程之中，接收任务并建立关系。当组织将已完成工作的历史视为授予代码、基础设施或资金权限的理由时，危险点就可能到来。

申请人和操作者可能是不同的人

FBI的10月13日警告描述了一个帮助朝鲜IT工作者显得符合工作资格的人际网络。一些协助者提供身份、托管设备或参加面试和会议。

这可以将一段正常的雇佣关系分散到多个人身上。申请上的名字可能属于一个人。镜头前的参与者可能是另一个人。实际执行工作并操作雇主笔记本电脑的人可能在别处。

招聘人员可能会分别看到每一部分。身份证明可能看起来合理，面试可能产生技术性回答，交付地址可能是本地的。问题在于，这些部分是否在整个关系期间描述的是同一个人。

FBI还描述了通过软件和外部硬件的远程访问。雇主发放的设备可以留在当地住所，而有人远程操作它。因此，该设备出现在预期国家并不能确定是谁在使用它。

该技术利用了远程工作的一个实际特性。公司需要员工从家中和分布式办公室连接。仅检查设备位置的管控可能会漏掉其背后的第二个连接。

该工人不必在分配的工作上失败，该计划就能运作。有用的工作可以产生工资并建立信任。雇主可能恰恰因为开发者交付了团队所需的东西而更愿意授予访问权限。

被指控的盗窃发生在获得信任之后

检察官称，佐治亚州案件中的两名开发者分别于2020年和2021年被聘用。被指控的盗窃行为发生在2022年。这一时间间隔很重要，因为访问权限是通过雇佣和项目获得的，而非一次短暂的外部入侵。

起诉书描述了虚假和被盗的身份信息。起诉书还指控，一名员工的推荐导致这家塞尔维亚公司使用化名聘用了另一个人。因此，在公司内部形成的关系可能成为另一名申请人的途径。

Crypto.news对起诉书的报道将此案带入了该行业的招聘讨论。这些指控仍只是指控。它们对雇主的意义在于检察官所陈述的从招聘、职责到访问权限之间的先后顺序。

雇主在一个项目成功后合理地给开发者更多工作。安全问题是随之而来的是哪些额外权限。阅读源代码、合并变更、部署合约和转移资产是各自独立的权限。

被指控的源代码修改说明了这种关联。如果一个人能够改变组织所部署的逻辑，那么他不一定需要钱包的备份就能影响资金的去向。确切的权限取决于项目的审查和部署流程。

因此，此案超越了身份验证的范畴。据称入职是通过欺骗手段实现的，而后续的机会则取决于雇主授予的访问权限。每个阶段都可以在不假定每个开发者账户拥有相同权限的情况下进行审查。

Kraken在申请成为雇佣之前就阻止了它

Kraken公开发布的关于一次招聘企图的说明描述了一名该交易所与朝鲜行动相关联的候选人。行业合作伙伴此前已就该可疑申请人向该公司发出警告。

该交易所报告了过程中出现的矛盾之处，并进行了调查，而非将面试视为一个孤立事件。Crypto.news关于此次渗透企图的报道描述了其观察到的身份异常和技术异常的组合。

该案与被指控的盗窃案形成了有用的对比。申请人无需被授予生产权限，公司就能发现问题。整个行业可获取的信息帮助了雇主解读该申请。

当共享标识符与先前的调查相关联时，它可能提供更多信息。雇主仍需结合背景评估证据。否则，从受害者处复制的姓名或电子邮件可能造成错误匹配，从而伤害一个合法的人。

FBI的最新指南明确指出了这一风险。它警告说，单一指标不可靠，过于激进的筛选可能会排除合格的申请人。该机构转而描述了贯穿整个雇佣生命周期的分层评估。

技术面试对于判断某人能否胜任工作仍然有用。它回答的是一个比“连接背后是谁”或“聘用后谁来操作笔记本电脑”更窄的问题。将这些问题分开处理，可以防止出色的编码表现终结身份调查。

在任何钱包被触碰之前，薪水本身就可以是目标

朝鲜IT工作者计划也是一项创收行动。工作者可以以虚假身份领取工资，并通过其他账户转移资金。即使没有客户钱包被掏空，雇主也可能面临制裁和欺诈风险。

司法部2025年6月的没收投诉涉及据称通过此类安排洗钱的超过774万美元。政府描述了就业收入被转换并通过加密货币转移的情况。

这与被盗国库资产是不同的资金流向。两者都可能是国家创收行动的一部分，但记录必须确定这些资金是工资、被挪用的付款还是另一起盗窃的所得。

这一区别对雇主的应对很重要。国库检查可能找不到丢失的币，而工资单和身份问题依然存在。代码审查可能找不到恶意变更，而该账户仍被用于以虚假身份接收资金。

公司还需要了解该员工是否推荐了其他候选人或供应商。在普通业务中，这种推荐可能是合法的。在欺诈性操作中，它可以将访问权限或直接付款扩散到同一网络的其他部分。

当资金流向与雇佣记录相对应时，案件就变得更加清晰。合同、发票和付款指令说明了雇主付款的原因。交易所和钱包记录则可以显示收益是如何转移的。

本地地址的笔记本电脑可能是一个中继

远程员工通常会收到一台受管理的设备，因为雇主希望控制软件和访问权限。如果协助者将其保持连接以供他人使用，公司可能在不知情的情况下管理着硬件，而实际操作者另有其人。

FBI描述了可提供访问权限的远程软件和外部设备。特定工具也可能有合法用途。当其与工作需求、身份记录以及连接行为方式相结合时，其存在才变得有意义。

开发者可能合法地使用远程环境、虚拟机或共享测试系统。将所有此类使用标记为可疑的规则会干扰正常工作。重要的问题是，该设置是否与获批的角色相符，以及谁有权访问它。

本地主机也可能是欺骗的受害者或主动参与者。FBI表示，协助者是通过看似简单的付费任务招募的，包括接收设备或加入通话。同意该任务的人可能只看到雇佣计划的一部分。

这种分工有助于该操作持续存在。更换投递地址或协助者可以改变可见的基础设施，而不改变实际从事工作的人员。因此，仅寻找先前使用过的地址的公司可能会错过同一安排的新版本。

普通开发者访问权限可能触及财务权限

开发者账户可能从代码仓库开始，随后获得云访问权限、部署权限或支付服务的凭据。每一次增加都可以由项目来证明其合理性。合在一起，它们可以使一个账户接近企业的资金。

源代码仓库可能包含的不仅仅是代码。配置、部署历史或存储不当的凭据可能指向其他系统。拥有读取权限的人甚至可以在能够更改之前就了解应用程序如何转移价值。

部署路径增加了另一层。经过审查的更改可以通过拥有自己凭据的构建系统和发布工具。能够更改该路径的人可能会影响进入生产环境的内容，即使主仓库需要审查。

内部账本可能同样重要。交易所或支付企业可能在签署提款之前将客户余额记录在数据库中。更改财务记录的权限可以影响哪些请求到达钱包系统。

谷歌的2026年上半年云威胁地平线报告描述了另一起与朝鲜有关的入侵事件，该事件侵入了某加密货币组织的云系统和财务逻辑。这是一条不同的访问途径，但它说明了为什么部署和会计环境应与钱包一起纳入同一安全讨论。

相关边界是授予账户的权力。硬件签名策略可以保护一个步骤，而被入侵的应用程序则提供误导性的付款请求。组织必须了解每个先前的系统如何决定签名者被要求批准的内容。

代码审查必须了解更改控制的是什么

恶意更改相对于项目其余部分可能很小。其重要性来自它所影响的路径。地址、权限检查或提款条件可以决定价值的去向，即使周围的代码是普通的。

审查者需要将变更与该业务功能联系起来。一个显示应用程序成功启动的测试可能会遗漏资金接收方的变更。一个检查预期支付路径的测试仍可能遗漏另一个角色或异常情况。

招聘威胁使这一点更加困难，因为作者是同事。审查者可能通过数周的有用工作认识这个人，并假设变更背后的意图。流程必须保持能够在信任建立后检查后果的能力。

这同样适用于紧急修复。一个了解系统的开发者可能在事件期间成为所有人依赖的人。授予临时访问权限可能是必要的，但它恰恰在其他员工承受压力的时候改变了账户的权力。

记录谁批准和部署了变更有助于日后重建那一刻。它还可以区分恶意篡改与错误或另一个受损账户采取的行动。身份、审查和部署记录成为同一时间线的一部分。

数据可能在雇主发现盗窃之前离开

拥有访问权限的员工可以在使用信息之前或雇主终止关系之前复制信息。源代码和业务数据即使在账户被禁用后仍可能保留价值。这给公司带来了另一个压力来源。

Google威胁情报组的2025年4月报告描述了向欧洲的扩张以及更多涉及前雇主敏感数据的勒索。它将这一威胁与一系列技术项目中看似合法的工作联系起来。

Crypto.news对欧洲扩张的报道将区块链开发列为目标工作之一。地理变化很重要，因为美国以外的公司可能面临相同的身份和访问问题。

FBI十月的警报补充说，工作记录本身可能成为数据外流的途径。远程操作员可能在距离雇主笔记本电脑多个连接之外的设备上创建记录。因此，受管理的设备可能显示的活动比雇主预期的要少。

这使得离职处理成为一个关于账户能读取什么以及能更改什么的问题。移除访问权限阻止了这些凭据的未来使用。它不会取回已经制作的副本，也不会使该人看到的每一个机密失效。

公司可能需要更改已暴露的凭据并审查它们打开了哪些系统。范围取决于账户的实际权限和活动。一份关于该员工不再在那里工作的笼统声明给出的情况不够完整。

薪资、招聘和安全各自掌握部分答案

人力资源部门看到文件和就业历史。财务部门看到发票和银行或钱包详细信息。IT部门看到设备和远程访问。经理看到任务表现和更多权限的请求。

一个将其可见活动分散到这些团队的行动，孤立地看对每个团队都可能显得合理。一个变更的支付账户可能看起来是行政性的。通话中的不同人可以被解释为连接问题。一个设备请求可以关联到一个项目。

FBI的指导要求将这些观察结果综合评估。目的是识别一个值得审查的模式，同时避免仅凭合法员工共有的一个特征得出结论。

这种方法也保护了身份被盗的人。一份欺诈性申请可以使用属于他人的真实记录。文件中指名的人可能是受害者而非操作者。

同样的谨慎适用于国籍和口音。威胁是虚假身份、隐藏的操作者和滥用访问权限。基于种族而非行为的决策可能错过该行动，同时伤害合法员工。

实际的调查单位是雇佣关系及其涉及的系统。问题是同一个经授权的人是否控制着公司批准的工作、设备、凭据和支付路径。

终止并不能关闭所有途径

离职员工可能在主账户之外留下访问权限。代码托管令牌、云凭据、供应商账户或已部署的服务如果在工作期间创建，可能仍然可用。审查必须追踪该人实际担任的角色。

雇主还需要知道哪些内容被更改了。禁用某个用户并不会自动回滚已部署的合约，也不会移除授予其他账户的权限。某些链上更改可能需要单独的交易或治理流程。

涉及敲诈的事件会带来法律和运营层面的决策。组织必须保存证据，确定哪些数据外泄，并确定哪些义务适用于受影响的人员或客户。技术响应和法律响应依赖相同的事实，但服务于不同的目的。

Crypto.news 报道了一起十月份的案件，涉及被指控的美国协助者。此类起诉显示了该员工周围支持网络的作用。移除一个员工账户可能会留下其他参与者和支付渠道有待调查。

雇主剩下的担忧是，此人是否在公司内部引入了另一条途径。推荐、共享承包商和服务账户可能比单一雇佣关系存续得更久。谁授予了访问权限以及出于何种目的的记录有助于界定这一审查。

追踪资金与识别员工是不同的阶段

一个地址可以接收工资或被盗资产，并通过多个服务将其转出。追踪可以将交易与案件联系起来，而识别控制每一步的人则需要额外的证据。

冻结或扣押可以保全余额，但无法解决与之相关的所有主张。没收诉状是向法院提出的请求。命令和实际追回的资产是后续事件。

Crypto.news 的关于约 212,700 美元稳定币没收的报道将该金额与涉及超过 774 万美元的更大行动区分开来。这一差异说明了为什么请求金额和保全金额需要各自的日期。

对于损失了资产的公司而言，追回还需要将资金与受害者联系起来，并确定返还资金的流程。地址已被识别这一事实有助于这项工作，但资金仍不在公司的直接控制之下。

对于以虚假身份支付工资的公司而言，即使没有遭受资产流失，问题也可能包括制裁和合同风险。同一网络可能给不同雇主带来不同的损失和义务。

面试只是更长权力转移过程中的一个决策

成功的申请打开了大门。项目和有用的工作随后可以提升该员工在公司内部的地位。每一项新权限都为雇主创造了另一个机会，以核实该权限是否仍然适合该人员和任务。

这些案例说明了为什么这一威胁同时属于招聘和运营环节。一个团队可以在招聘前发现虚假申请，正如 Kraken 所描述的那样。另一个团队可以雇用此人，并在之后授予检方所称被用于盗窃的访问权限。

十月份的 FBI 警告将这一序列置于一个更大的身份和协助者网络之中。公司可能正在面试一个人，而最终却将访问权限授予另一个人。其最有力的记录将所授权的员工与其后的工作、设备、凭证和付款联系起来。

虚假申请人与虚假招聘者是两条独立的途径

公司可能面对一个寻求合法工作的虚假申请人。开发者也可能被虚假招聘者接触，后者提供别处的工作机会。第二条途径旨在说服现有员工运行测试、打开文件或使用会危及其设备的服务。

两者可以在同一商业环境中交汇。一种操作通过成为员工来获取访问权限。另一种则通过已经在那里工作的员工获取访问权限。由此产生的账户可能看起来是经过授权的，尽管控制它的人并非如此。

当雇主调查开发者的活动时，这一区别很重要。可疑行为可能来自使用虚假身份的員工，也可能来自设备被入侵的真实员工。访问日志识别账户，而身份和端点调查则确定是谁在操作它。

谷歌的云报告描述了一起涉及被入侵端点和进入企业系统的加密入侵事件。该案例应作为其自身的攻击路径来解读。更广泛的教训是，一旦攻击者控制了开发者环境，该环境可以承载多少访问权限。

因此，公司需要将雇佣记录和技术记录放在一起。一份记录可以证明该人员是被合法聘用的。另一份记录则可以显示该账户后来从事了超出其获批角色范围的活动，或通过意料之外的控制路径进行了操作。

承包商可以将访问权限带到多个客户

服务提供商可能让同一名开发人员为多个客户工作。客户可以在未与所有将执行任务的人员见面的情况下批准该提供商。提供商的人员配置和身份核查便成为客户风险敞口的一部分。

访问权限也可能通过项目账户或共享开发环境被共享。这会使识别究竟是哪个人执行了某项变更变得更加困难。合法的承包安排仍然需要一份将工作与权限同使用这些权限的人员联系起来的记录。

如果一名承包商在同一设备上持有多个客户的凭据，风险就会增大。即使每个客户只授予了为其自身工作所需的访问权限，一次入侵也可能波及不止一个项目。提供商的终端便成为共享的依赖项。

FBI对雇佣生命周期的强调同样适用于这种安排以及直接聘用。关键在于随着职责和团队的变化，了解是谁在做这项工作。在原始合同日期成功完成的核查，并不能识别后来被加入项目的每一个人。

第一份报告可以保留进入公司的路径

当员工发现异常时，最有用的记录可能是普通证据：面试邀请、被更改的付款请求或设备支持工单。这些材料为调查人员提供了可与技术活动进行比对的日期和关系。

一家在聘用前就发现欺诈未遂的公司仍然掌握着可能帮助另一家雇主的信息。Kraken的账户说明了行业警告如何能让一个标识符变得更有意义。通过适当的安全渠道进行共享，可以将在一个招聘团队内部看似孤立的案件联系起来。

报告还需要保留未遂尝试与已完成入侵之间的区别。被拒绝的申请人并未被证明拥有与被分配生产项目的员工相同的访问权限。这种区分使后果与实际的记录保持关联。

当叙述逐步跟随访问权限的路径时，威胁就更容易解释。申请创造了机会，雇佣关系创造了权限，而后续活动则显示了这些权限是如何被使用的。佐治亚州涉嫌盗窃案为这一最终转变提供了一个具体例子。

记录必须在员工离职后仍然保留

一家在承包商离开后发现可疑活动的公司，需要一份关于该账户能够触及哪些内容的可靠记录。该记录包括已授予的权限、代码审查、发布以及恢复方式的变更。如果这些记录随着员工的访问权限一同消失，调查就会从雇主自身程序所造成的空白开始。

离职也不仅仅是关闭一个公司电子邮件地址。员工可能曾使用单独的账户进行代码托管、云服务和部署。一个活跃的令牌可以在该人员失去对内部聊天系统的访问权限后继续工作。相关问题是，进入生产环境的每条路径是否都已被撤销或审查。

同样的工作有助于确定哪些事情并未发生。公司可能会发现该人员拥有测试环境的访问权限，但无权更改生产合同。它可能会发现一项扩大访问权限的请求被审查者拒绝了。这些区分影响事件的真实范围，并防止将可疑身份视为已完成盗窃的证明。

对客户而言，一份可信的说明会解释受影响的系统、访问的时间段以及由此采取的行动。仅凭国籍无法提供任何这些信息。证据来自雇佣记录和与该账户相关的活动，以及调查人员能够证实的任何发现。

关注要点

• 雇佣记录：身份、付款信息以及工作互动中出现的人员变化，在综合评估时可能具有意义。
• 权限增长：代码仓库、部署、云和支付权限显示了该角色在入职后如何扩展。
• 共享基础设施：本地设备仍可被远程操作，因此经批准的访问途径很重要。
• 离职范围：在主账户关闭后，凭证、已部署的变更和复制的信息仍可能具有相关性。
• 法院结果：指控、没收请求、命令和返还资产描述了执法记录的不同阶段。

常见问题