驚爆內幕：Consensys 竟誤僱北韓駭客！區塊鏈資安的大漏洞曝險了

你以為區塊鏈公司很安全？這起事件可能讓你改觀

老實說，大多數人聽到「區塊鏈資安」，第一個想到的不是智慧合約漏洞，就是交易所被盜。但最近 Consensys 爆出的這則新聞，可能比任何合約bug都還要令人不安——他們不小心聘到了一名北韓駭客，而且這個人還能直接접觸公司系統。

這不是科幻情節，而是真的發生在 2024 年的區塊鏈產業。Consensys 是以太坊生態系最重要的公司之一，旗下管理著 MetaMask、Infura 等百萬人使用的產品。當這樣的公司都能被滲透，可見問題的嚴重性。

一切從一個「名聲良好的第三方」開始

根據報導，這名開發者使用化名 Tyler Knapp，是透過一個「名聲良好的第三方服務提供商」介紹進來的。注意，重點在於「名聲良好」——沒有人會想到這麼正規的管道會引進問題人物。

Consensys 的法務長 Matt Corva 對外說明：「Knapp 是透過既有合作關係的第三方服務提供商介紹來的，他從來沒有被正式錄用為員工，而是以顧問身份合作。我們在很快發現威脅後，立即啟動資安通報程式，終止了他的所有存取許可權，並展開全面調查。」

調查結果顯示，沒有資產或資料被盜用、沒有部署惡意程式碼、使用者的安全也沒有受到影響。聽起來像是虛驚一場？但背後隱藏的問題，可能比你想的更深。

北韓駭客的「求職滲透」手法：區塊鏈產業的惡夢

如果你以為這只是單一事件，那你就太低估北韓駭客組織的厲害程度了。根據資安研究機構的報告，北韓近年來有一個非常積極的策略：透過假求職滲透區塊鏈公司。

他們的做法通常是這樣的：

• 製作精美的履歷，假裝是經驗豐富的軟體工程師
• 透過人力銀行或外包平臺應徵區塊鏈公司的遠端職位
• 一旦獲得錄取，就能接觸到公司的程式碼庫、智慧合約、甚至錢包許可權
• 找機會植入後門、竊取私鑰，或是將資金轉出

這種手法特別難防，因為應徵者可以遠端工作，而且履歷看起來完全正常。很多區塊鏈公司為了省成本，會把開發工作外包給第三方，卻沒有足夠的審查機制。

為什麼區塊鏈公司這麼容易被盯上？

答案很殘酷：因為錢。北韓駭客組織每年的網路犯罪收益，估計高達數十億美元，其中很大一部分來自加密貨幣盜竊。區塊鏈專案的智慧型手機應用、DeFi 協議、NFT 平臺——只要能轉成錢，都是目標。

再加上區塊鏈產業的人才荒，很多公司急著找人，審查流程能省則省。這就給了北韓駭客可乘之機。

Consensys 事件的啟示：我們學到了什麼？

雖然 Consensys 宣稱這次事件沒有造成任何損失，但暴露的問題可不小：

問題點	風險說明
第三方外包審查不足	只靠「名聲良好」的介紹，沒有深入調查開發者背景
系統存取許可權過寬	新進人員就能直接接觸核心系統，風險極高
遠端工作難以驗證身份	在網路上應徵的人，可能是任何人

Matt Corva 表示，Consensys 未來會重新評估外包工程和開發工作的流程。但老實說，整個產業需要一起面對這個問題。

區塊鏈公司該如何自保？

如果你是在區塊鏈產業工作，或者是相關公司的使用者，以下是你可以關注的重點：

• 背景調查不能省：即使是透過第三方介紹，也要進行完整的身份驗證和背景審查
• 最小許可權原則：新進人員應該從最低許可權開始，逐步開放
• 程式碼審查加倍：所有外來程式碼都應該經過多人審查，尤其是智慧型合約
• 員工資安培訓：讓團隊瞭解最新的滲透手法，提升警覺

結語：資安沒有僥倖

Consensys 這次是幸運的——他們及時發現並阻止了進一步的損失。但不是每家公司都有這麼好運。當你在選擇區塊鏈產品時，除了看功能和使用者體驗，也別忘了問一句：這家公司的資安做得怎麼樣？

區塊鏈的核心精神是去中心化和信任，但如果你用的產品連基本的開發者審查都做不到，那這份信任遲早會被擊碎。

FAQ 常見問題

Consensys 是如何聘用到北韓開發者的？

這名開發者使用化名 Tyler Knapp，透過一個與 Consensys 有合作關係的「名聲良好的第三方服務提供商」介紹進來，以顧問身份合作，而非正式員工。直到調查後才發現他與北韓有關聯。

區塊鏈公司如何防止北韓駭客滲透？

關鍵在於強化外包開發者的審查流程，包括身份驗證、背景調查、程式碼審查，並遵循最小許可權原則。同時要對員工進行資安培訓，瞭解最新的滲透手法。

這次事件對區塊鏈產業有何影響？

這起事件再次暴露了區塊鏈產業在外包資安管理上的漏洞。預計會有更多公司重新檢視其開發者僱用流程，並加強對第三方供應商的審查標準。