面試過關卻成安全威脅：揭開加密貨幣開發者的真實身分

開發者可以完成面試、交付有用的程式碼並贏得團隊的信任，之後才利用這份工作所帶來的存取權限來對付僱主。美國的起訴與安全調查顯示，北韓特工正利用這條途徑滲透加密貨幣企業。FBI 最新的警告描述了一個更龐大的支援網絡，該網絡能提供身分、面試替身以及本地裝置，而實際從事工作的人則身處他處。

美國檢察官於 2025 年 6 月宣布的起訴書描述了受僱於一家亞特蘭大區塊鏈研究企業與一家塞爾維亞代幣公司的開發者。根據指控，僱主並不知道這些工作者的真實身分。

這些工作者後來接到了可讓他們存取加密資產的專案。檢察官指控，其中一起竊案涉及對兩份智慧合約的變更，另一起則利用了僱主所託付的存取權限。據稱當時的損失總計超過 90 萬美元。

這些事件正處於一種看似成功招募的威脅核心。工作者身處正常的專案流程之中，接收任務並建立關係。危險的時刻可能出現在組織將過往完成工作的紀錄視為授予程式碼、基礎設施或資金權限的理由之時。

申請人與操作者可能是不同的人

FBI 的 10 月 13 日警示描述了一個協助北韓 IT 工作者顯得符合工作資格的網絡。部分協助者提供身分、託管裝置，或參與面試與會議。

這可能使一段正常的僱傭關係分散到數個人身上。申請表上的姓名可能屬於一個人。鏡頭前的參與者可能是另一個人。實際執行工作並操作僱主筆記型電腦的人則可能身處他處。

招募人員可能分別看到每一個片段。身分證明可能看似合理，面試可能產生技術性回答，而收件地址可能位於本地。問題在於，這些片段是否在整段關係中始終描述同一個人。

FBI 亦描述了透過軟體與外部硬體的遠端存取。僱主配發的裝置可能留在本地住所，而由他人在遠端操作。因此，該裝置出現在預期國家的境內，並不能確定實際使用它的人是誰。

此手法利用了遠端工作的一項實際特性。企業需要員工從住家與分散的辦公室連線。僅檢查裝置位置的控管措施，可能會漏掉其背後的第二層連線。

工作者不必在指派的任務上失敗，該計畫也能運作。有用的工作可以產生薪資並建立信任。正因為開發者交付了團隊所需的成果，僱主可能更願意授予存取權限。

涉嫌盜竊發生在授予信任之後

檢察官表示，喬治亞州案件中的兩名開發人員分別於2020年和2021年被聘用。涉嫌盜竊發生在2022年。這一時間間隔很重要，因為權限是透過僱傭關係和專案獲得的，而非一次短暫的外部入侵。

起訴書描述了虛假和被盜用的身份資訊。起訴書還指控，一名員工的推薦導致這家塞爾維亞公司使用化名聘用了另一人。因此，在公司內部形成的關係可能成為另一名申請人的途徑。

Crypto.news對起訴書的報導將此案帶入了該行業的招聘討論。這些指控目前仍只是指控。它們對僱主的相關性在於檢察官所陳述的聘用、職責與權限之間的先後順序。

僱主在一個專案成功後合理地給予開發人員更多工作。安全問題在於隨之而來的是哪些額外權限。閱讀原始碼、合併變更、部署合約和轉移資產是各自獨立的權限。

涉嫌的原始碼修改說明了這種關聯。如果一個人能夠改變組織所部署的邏輯，他並不一定需要錢包的備份來影響資金的去向。確切的權限取決於專案的審查和部署流程。

因此，此案超越了身份驗證的範疇。據稱進入是透過欺騙手段實現的，而後來的機會則依賴於僱主所授予的權限。每個階段都可以在不假設每個開發人員帳戶擁有相同權限的情況下進行審查。

Kraken在申請成為僱傭關係之前就予以阻止

Kraken公開發布的招聘嘗試記錄描述了該交易所與一名北韓行動相關聯的候選人。行業合作夥伴此前已就可疑申請人向該公司發出警告。

該交易所報告了過程中出現的不一致之處，並進行了調查，而非將面試視為一個孤立事件。Crypto.news關於此次滲透嘗試的報導描述了其所觀察到的身份和技術異常的組合。

該案與涉嫌盜竊案形成了有用的對比。申請人無需被賦予生產權限，公司就能發現問題。整個行業可獲得的資訊幫助僱主解讀了該申請。

當共享的識別資訊與先前的調查相關聯時，它可以提供更多資訊。僱主仍需結合具體情境評估證據。否則，從受害者處複製的姓名或電子郵件可能造成錯誤匹配，從而傷害一個合法的人。

FBI的最新指引明確涉及了這一風險。它警告說，單一指標不可靠，過於激進的篩選可能排除合格的申請人。該機構轉而描述了貫穿僱傭生命週期的分層評估。

技術面試對於判斷某人能否勝任工作仍然有用。它回答的是一個比「連接背後是誰」或「聘用後誰將操作筆記型電腦」更狹窄的問題。將這些問題分開處理可以防止出色的編碼表現掩蓋了身份調查。

薪水可能在任何錢包被觸及之前就是目標

北韓IT工作者計畫也是一項創收行動。一名工作者可以以虛假身份領取工資，並將資金透過其他帳戶轉移。即使沒有客戶錢包被盜空，僱主也可能面臨制裁和欺詐風險。

司法部2025年6月的沒收申訴涉及據稱透過此類安排洗錢的超過774萬美元。政府描述了僱傭收入被兌換並透過加密貨幣轉移的情況。

這與被盜的國庫資產是不同的資金流向。兩者都可能是國家創收行動的一部分，但記錄必須確定這些資金是工資、被挪用的付款還是另一起盜竊的所得。

這一區別對僱主的應對很重要。國庫核查可能找不到缺失的幣，而薪資和身份問題仍然存在。程式碼審查可能找不到惡意變更，而該帳戶仍被用於以虛假身份接收資金。

公司還需要知道該員工是否推薦了其他候選人或供應商。在一般業務中，這種推薦可能是合法的。在欺詐性操作中，它可能將存取權限或直接付款擴散到同一網絡的另一部分。

當資金流向與僱傭記錄相對應時，案件就變得更加清晰。合約、發票和付款指示說明了僱主為何付款。交易所和錢包記錄隨後可以顯示資金如何流動。

本地地址的筆記本電腦可能是一個中繼

遠程員工通常會收到一台受管理的設備，因為僱主希望控制軟件和存取權限。如果協助者為他人保持其連接，公司可能在不知實際操作者的情況下管理著硬件。

FBI 描述了可以提供存取權限的遠程軟件和外部設備。特定工具也可能有合法用途。當它與工作需求、身份記錄以及連接行為方式結合時，其存在就變得有意義。

開發人員可能合法地使用遠程環境、虛擬機或共享測試系統。將所有此類使用標記為可疑的規則會干擾正常工作。重要的問題是該設置是否與批准的職位相符，以及誰有權存取它。

本地主機也可能是欺騙的受害者或積極參與者。FBI 表示，協助者是通過看似簡單的付費任務招募的，包括接收設備或加入通話。同意該任務的人可能只看到僱傭計劃的一部分。

這種分工有助於該操作持續進行。更換送貨地址或協助者可以改變可見的基礎設施，而不改變從事工作的人。因此，僅尋找先前使用過的地址的公司可能會錯過同一安排的新版本。

普通的開發人員存取權限可能觸及財務權限

開發人員帳戶可能從一個代碼庫開始，後來獲得雲端存取權限、部署權限或支付服務的憑證。每一項增加都可以由項目證明其合理性。它們合在一起可以使一個帳戶接近企業的資金。

源代碼庫可能包含的不僅僅是代碼。配置、部署歷史或不當存儲的憑證可能指向其他系統。擁有讀取權限的人可以在能夠更改應用程序之前就了解它如何轉移價值。

部署路徑增加了另一層。經過審查的變更可以通過擁有自己憑證的構建系統和發布工具。能夠更改該路徑的人可能會影響到達生產環境的內容，即使主代碼庫需要審查。

內部帳本可能同樣重要。交易所或支付業務可能在簽署提款之前將客戶餘額記錄在數據庫中。更改財務記錄的權限可以影響哪些請求到達錢包系統。

Google 的 2026 年上半年雲端威脅地平線報告 描述了另一起與北韓有關的入侵加密組織的事件，該事件觸及雲端系統和財務邏輯。這是一條不同的存取途徑，但它說明了為什麼部署和會計環境應與錢包處於同一安全討論中。

相關邊界是授予該帳戶的權力。硬件簽名策略可以保護一個步驟，而被入侵的應用程序則提供誤導性的付款請求。組織必須了解每個先前的系統如何決定簽名者被要求批准什麼。

代碼審查必須了解變更控制什麼

惡意變更相對於項目的其餘部分可能很小。其重要性來自它所影響的路徑。一個地址、權限檢查或提款條件可以決定價值的去向，即使周圍的代碼是普通的。

審查者需要將變更與該業務功能連結起來。一個顯示應用程式成功啟動的測試，可能會遺漏資金接收者的變更。一個檢查預期付款路徑的測試，仍可能遺漏另一個角色或例外情況。

招聘威脅使這更加困難，因為作者是同事。審查者可能透過數週的有用工作認識這個人，並假設變更背後的意圖。流程必須在信任建立之後仍能檢查後果。

同樣適用於緊急修復。一個了解系統的開發者可能在事件期間成為所有人依賴的人。授予臨時存取權限可能是必要的，但它恰恰在其他員工承受壓力時改變了帳戶的權限。

誰批准和部署了變更的記錄有助於日後重建那一刻。它也可以區分惡意篡改與錯誤或由另一個受損帳戶採取的行動。身分、審查和部署記錄成為同一時間線的一部分。

資料可能在僱主注意到盜竊之前就離開

有存取權限的員工可以在使用資訊之前或僱主終止關係之前複製資訊。原始碼和業務資料即使在帳戶被停用後仍可能保留價值。這對公司造成了另一個壓力來源。

Google Threat Intelligence Group 的2025年4月報告描述了向歐洲的擴張以及更多涉及前僱主敏感資料的勒索。它將該威脅與一系列技術專案中看似合法的工作聯繫起來。

Crypto.news 的歐洲擴張報導將區塊鏈開發列為目標工作之一。地理位置的變化很重要，因為美國以外的公司可能面臨相同的身份和存取問題。

FBI 十月的警報補充說，工作記錄本身可以成為資料外流的途徑。遠端操作者可能在距離僱主筆記型電腦數個連線之外的設備上建立記錄。因此，受管理的設備可能顯示的活動比僱主預期的少。

這使得離職處理成為一個關於帳戶能讀取什麼以及能改變什麼的問題。移除存取權限會阻止未來使用這些憑證。它不會取回已經製作的副本，也不會使該人看過的所有機密失效。

公司可能需要更改已暴露的憑證並審查它們開啟了哪些系統。範圍取決於帳戶的實際權限和活動。一個關於員工不再在那裡工作的籠統聲明提供的畫面較不完整。

薪資、招聘和安全各自掌握部分答案

人力資源部門看到文件和僱傭歷史。財務部門看到發票和銀行或錢包詳情。IT 部門看到設備和遠端存取。經理看到任務績效和更多權限的請求。

一個將可見活動分散到這些團隊的行動，對每個團隊單獨來看可能顯得合理。變更的付款帳戶可以看起來是行政性的。通話中的不同人可以解釋為連線問題。設備請求可以與專案相關聯。

FBI 的指導方針要求將這些觀察一起評估。目的是識別值得審查的模式，同時避免從合法工作者共有的一個特徵得出結論。

這種方法也保護了身分被盜用的人。欺詐性申請可以使用屬於他人的真實記錄。文件中指名的人可能是受害者而非操作者。

同樣的謹慎適用於國籍和口音。威脅是虛假身分、隱藏的操作者和存取權限的濫用。基於種族而非行為的決定可能遺漏該行動，同時傷害合法員工。

實際的調查單位是僱傭關係及其觸及的系統。問題在於同一個授權人員是否控制公司批准的工作、設備、憑證和付款路徑。

終止並不能關閉每一條路徑

離職員工可能不僅在主帳戶中留下存取權限。如果在工作期間建立，程式碼託管權杖、雲端憑證、供應商帳戶或已部署的服務可能仍然可用。審查必須追蹤該人實際擔任的角色。

僱主也需要知道哪些內容被更改了。停用使用者並不會自動回滾已部署的合約，也不會移除授予其他帳戶的權限。某些鏈上變更可能需要單獨的交易或治理流程。

涉及勒索的事件會增加法律與營運上的決策。組織必須保存證據、確定哪些資料外流，並判定哪些義務適用於受影響的人員或客戶。技術回應與法律回應依賴相同的事實，但服務於不同的目的。

Crypto.news 報導了一起十月案件，涉及據稱的美國協助者。此類起訴顯示了圍繞該工作者的支援網絡所扮演的角色。移除一個員工帳戶可能留下其他參與者和支付途徑有待調查。

僱主剩下的擔憂是，該人是否引入了另一條進入公司的途徑。推薦、共享承包商和服務帳戶可能比單一僱傭關係存續得更久。誰授予了存取權以及出於何種目的的記錄，有助於界定該審查。

追蹤資金流向與識別工作者是不同階段

一個地址可以接收薪資或被盜資產，並透過多項服務將其轉出。追蹤可以將交易與案件聯繫起來，而識別控制每一步的人則需要額外的證據。

凍結或扣押可以保全餘額，而無需解決與之相關的每一項主張。沒收申訴是向法院提出的請求。命令和實際追回的資產是後來發生的事件。

Crypto.news 的關於約 212,700 美元穩定幣沒收的報導將該金額與涉及超過 774 萬美元的更大行動區分開來。這一差異說明了為何所求金額與所保全金額需要各自的日期。

對於損失資產的公司而言，追回還需要將資金與受害者聯繫起來，並確定返還資金的流程。地址已被識別這一事實可以幫助該工作，同時使資金仍處於公司無法直接控制的範圍之外。

對於以虛假身分支付薪資的公司而言，即使沒有遭受資產流失，問題也可能包括制裁和合約風險。同一網絡可能為不同的僱主造成不同的損失和義務。

面試只是更長權限轉移過程中的一個決策

成功的申請打開了大門。專案和有用的工作隨後可以提升該工作者在公司內的地位。每一項新權限都為僱主創造了另一個機會，以核實該權限是否仍然適合該人員和任務。

這些案件顯示了為何該威脅同時屬於招聘和營運環節。一個團隊可以在招聘前就偵測到虛假申請，正如 Kraken 所描述的那樣。另一個團隊可以僱用該人，並隨後授予檢察官據稱被用於盜竊的存取權。

十月的 FBI 警告將該序列置於一個更大的身分和協助者網絡之中。公司可能正在面試一個人，而最終卻將存取權授予另一個人。其最有力的記錄將其所授權的員工與隨後的工作、裝置、憑證和付款聯繫起來。

虛假申請人與虛假招募者是兩條不同的途徑

公司可能面對尋求正當工作的虛假申請人。開發者也可能被虛假招募者接觸，後者提供其他地方的工作機會。第二條途徑旨在說服現有員工執行測試、開啟檔案或使用會危害其裝置的服務。

兩者可以在同一商業環境中交會。一個行動透過成為員工來獲取存取權。另一個則透過已經在那裡工作的員工來獲取存取權。由此產生的帳戶可能看起來是經授權的，即使控制它的人並非如此。

當僱主調查開發者的活動時，這一區別很重要。可疑的行動可能來自使用虛假身分的工作者，也可能來自裝置遭入侵的真正員工。存取日誌識別帳戶，而身分和端點調查則確定是誰在操作它。

Google 的雲端報告描述了一起涉及遭入侵端點並移動進入企業系統的加密貨幣入侵事件。該案件應被視為其自身的攻擊路徑來解讀。更廣泛的教訓是，一旦攻擊者控制了開發者環境，它能承載多少存取權。

因此，公司需要同時掌握僱傭記錄與技術記錄。前者可以確認該人員是合法受僱的。後者則能顯示該帳戶後來在核准職務之外，或從意料之外的控制路徑進行了活動。

承包商可以將存取權限帶過多個客戶

服務供應商可能讓同一位開發人員為多個客戶工作。客戶可以核准該供應商，卻不必與所有將執行任務的人員見面。供應商的人員配置與身分查核，便成為客戶曝險的一部分。

存取權限也可能透過專案帳戶或共用開發環境而共享。這會使辨識究竟是哪個人執行了變更變得更加困難。合法的承包安排仍然需要一份記錄，將工作與權限和實際使用它們的人連結起來。

若一名承包商在同一裝置上持有多個客戶的憑證，風險就會升高。即使每個客戶只授予了自身工作所需的存取權限，一旦遭到入侵，影響仍可能超出單一專案。供應商的端點便成為共同的依賴點。

FBI 對僱傭生命週期的強調，同樣適用於這種安排以及直接僱用。重點在於隨著職責與團隊變動，了解究竟是誰在做這項工作。在原始合約日期成功完成的一次驗證，並不能辨識後來才加入專案的每一個人。

第一份報告可以保留進入公司的路徑

當員工發現不一致之處時，最有用的記錄可能是普通證據：面試邀請、變更過的付款請求或裝置支援工單。這些項目為調查人員提供了日期與關係，可與技術活動相互比對。

一家在僱用前就發現詐騙未遂的公司，仍握有可能幫助其他僱主的資訊。Kraken 的帳戶說明了業界警告如何能讓某個識別碼更具意義。透過適當的安全管道分享，可以將在單一招募團隊內看似孤立的案件連結起來。

舉報時也需要保留未遂嘗試與已完成入侵之間的區別。被拒絕的申請人並未被證明擁有與被指派生產專案的員工相同的存取權限。這種區別使後果與實際記錄保持連結。

當敘事逐步沿著那條存取路徑展開時，威脅就更容易解釋。申請創造了機會，僱傭關係創造了權限，而後續活動則顯示這些權限是如何被使用的。據稱發生在喬治亞州的竊案，為那最後的轉變提供了具體例子。

記錄必須在員工離職後仍然留存

一家在承包商離開後才發現可疑活動的公司，需要一份關於該帳戶能觸及哪些範圍的可靠記錄。該記錄包括已授予的權限、程式碼審查、發布以及復原方式的變更。如果這些記錄隨著員工的存取權限一併消失，調查就會從僱主自身程序所造成的缺口開始。

離職也不只是關閉一個公司電子郵件地址。員工可能曾使用分別的帳戶來進行程式碼託管、雲端服務與部署。一個有效的權杖可能在該人員失去內部聊天系統存取權後仍繼續運作。相關問題在於，進入生產環境的每一條路徑是否都已被撤銷或審查。

同樣的工作有助於確認哪些事情並未發生。公司可能會發現該人員有測試環境的存取權，但無權變更生產合約。也可能發現一項要求更廣泛存取權的嘗試，但被審查者拒絕了。這些區別影響事件的實際範圍，並防止一個可疑身分被當成已完成竊盜的證明。

對客戶而言，一份可信的說明會解釋受影響的系統、存取的期間以及由此採取的行動。單憑國籍無法提供上述任何資訊。證據來自僱傭記錄與該帳戶相關的活動，以及調查人員能夠證實的任何發現。

觀察重點

• 僱傭紀錄：身分、付款細節以及工作互動中出現的人員若有變動，綜合評估時可能具有重要意義。
• 權限增長：儲存庫、部署、雲端與付款權限顯示該職位在入職後如何擴張。
• 共用基礎設施：本地裝置仍可被遠端操作，因此經核准的存取途徑至關重要。
• 離職範圍：憑證、已部署的變更與複製的資訊，在主要帳戶關閉後仍可能具有相關性。
• 法院結果：指控、沒收請求、命令與返還資產描述了執法紀錄的不同階段。

常見問題