虚假加密货币职位编程测试中的恶意软件
虚假加密货币职位编程测试中的恶意软件如何运作，招聘人员消息和居家测试代码仓库中的危险信号，安全运行测试的方法，以及感染后该怎么做。
虚假加密货币职位编程测试是一种恶意软件攻击：虚假的招聘人员或公司向求职者发送一个暗藏恶意代码的居家项目或技术任务；求职者一旦安装或运行，代码就会窃取钱包、密码和凭据，或安装后门。职位、公司，往往连面试官都是捏造的——编程测试只是投递手段。
开发者是很有吸引力的目标，因为他们的电脑通常存有加密货币钱包、私钥、云服务凭据以及雇主系统的访问权限。安全研究人员已公开将其中一些攻击活动与资源雄厚、与国家有关联的组织联系起来，因此这些诱饵可能看起来非常专业。本指南将解释这种攻击如何运作、一个贴近现实的版本是什么样子，以及如何保护自己。
攻击如何运作：分步解析
- 1初次接触。 招聘人员通过职业社交网络、即时通讯应用或招聘网站联系你，提供某加密货币初创公司颇具吸引力的职位——通常是远程、高薪且急招。
- 2建立可信度。 你会收到一份精心编写的职位描述、一个公司网站，有时还会与一位友善的“招聘经理”进行简短通话。这些资料可能是盗用的，也可能是 AI 生成的。
- 3测试。 你收到一个代码仓库链接或 ZIP 文件，被要求修复一个 bug、添加一个功能，或者“直接运行一下，评估架构”。
- 4执行。 当你安装依赖或启动应用时，恶意部分就会运行。它可能是一个 post-install 脚本、一个被篡改的软件包，或者配置文件中会下载并执行第二阶段载荷的一行代码。
- 5窃取。 恶意软件会搜索浏览器钱包扩展、钱包文件、已保存的密码、Cookie、SSH 密钥和环境变量文件，把它们发送给攻击者，还可能安装远程访问工具。
- 6套现。 你钱包里的资金被转走，有时是在几天之后；被盗的工作凭据还可能被用来攻击你现在的雇主。
另一种变体干脆不用代码仓库：面试官声称自己的会议软件出了问题，然后发来一个“已修复”的视频通话应用或驱动程序的链接，而那正是恶意软件。我们的文章针对加密货币用户的虚假浏览器更新和验证码恶意软件对此有更深入的介绍。
综合示例
以下是结合常见模式的假设场景，并非真实案例。
设想一位后端开发者 Sam，收到招聘人员的联系，对方为一家新的 DeFi 初创公司招聘“高级区块链工程师”。一番愉快的交流后，Sam 收到一个“质押仪表盘”的私有代码仓库，并被要求在 24 小时内修复一个未通过的测试。Sam 把它克隆到自己日常使用的笔记本电脑上，并运行了安装命令。软件包文件中有一个看似构建步骤的 post-install 脚本，实际上却会拉取一个隐藏的载荷。测试顺利通过，Sam 提交了修复，招聘人员随后便杳无音讯。一周后，Sam 的浏览器钱包被清空，他的工作云账户也出现了来自海外的登录记录。
这个故事里，Sam 根本不需要“点击恶意链接”。运行代码就足够了。想深入了解，请参阅在加密货币领域冒充监管机构和警方的骗子。
危险信号清单
| 危险信号 | 为什么重要 |
|---|---|
| 主动找上门、薪资异常高且催得很急的工作邀约 | 压力会削弱仔细核查 |
| 招聘人员或公司的网络存在感薄弱、刚刚建立或前后不一 | 伪造身份的成本很低 |
| 测试必须在本地快速运行，并且要先执行“npm install”之类的命令 | 目的是让代码运行，而不是你的代码审查 |
| 代码仓库提交记录很少、只有一个贡献者或包含混淆文件 | 恶意代码常藏在压缩或编码过的代码行中 |
| 异常的 install、pre-start 或 post-install 脚本 | 这些脚本会自动运行 |
| 要求安装特殊的会议、测评或驱动软件 | 典型的恶意软件投递手法 |
| 面试官回避视频，或“公司”邮箱域名属于免费邮箱服务商 | 真正的公司通常使用自己的域名 |
我们关于虚假加密货币职位和任务骗局的指南介绍了其他与求职相关的欺诈，而LinkedIn 上的加密货币骗局则解释了在职业社交网络上冒充招聘人员的手法。另见：虚假加密货币慈善与灾难捐款骗局。
如何保护自己
运行任何东西之前
- 独立核实公司。 自己查找公司的官方网站，确认该职位确实列在上面，并通过公开的渠道与对方联系。参见如何核实一个网站是否为项目官方网站。
- 先读再运行。 打开软件包或构建文件，查找安装脚本、陌生的依赖项和很长的编码字符串。
- 禁用自动脚本：如果你的包管理器支持，就将其关闭，防止依赖项在你不知情的情况下于安装时运行代码。
隔离运行环境
- 使用一次性的虚拟机、容器或云端开发环境。
- 确保其中没有钱包、助记词、密码管理器、SSH 密钥、云服务凭据或已登录的浏览器会话。
- 测试完成后立即删除。
把工作和资金分开
把加密资产存放在硬件钱包中，避免在任何用于开发的电脑上保存助记词或私钥。准备一台专门用于加密货币的设备，与你做实验的设备分开，可以大大限制单次感染所能波及的范围。我们关于供应链攻击的指南解释了为什么即使在正规项目中，恶意依赖项也很危险。
如果运行了可疑测试该怎么办
- 1断开设备的网络连接，不要再用它处理任何敏感事务。
- 2用干净的设备转移资金，转入使用全新助记词的新钱包。任何曾在受感染电脑上输入或保存过的助记词都不要再使用。
- 3修改密码并注销会话，包括邮箱、交易所、代码托管平台和云账户，先从邮箱开始。同时更换 API 密钥和 SSH 密钥。
- 4如果设备上有工作凭据或代码，通知雇主的安全团队。
- 5再次使用电脑前，先彻底清除并重装操作系统。
- 6举报。 向平台举报虚假招聘人员的资料，并向当地执法部门报案。你也可以通过我们的提交请求页面举报诈骗项目或域名。
我们的清单钱包被盗后应立即采取的措施更详细地介绍了恢复步骤。
总结
虚假的加密货币职位编程测试会把你自己的双手变成攻击者的投递工具：一旦你安装或运行该项目，隐藏的代码就可能窃取你电脑上的一切。请把每一个主动找上门的居家测试都视为不可信的代码，独立核实雇主身份，只在干净的一次性环境中运行测试，并把加密货币密钥存放在一台单独的专用设备上。
常见问题
编程测试怎么会安装恶意软件？
居家测试项目是会在你电脑上运行的真实代码。攻击者会把恶意代码藏在依赖项、安装脚本、配置文件或项目中某一行经过混淆的代码里。当你安装依赖或启动应用时，这段代码就会以你的用户权限运行，可能窃取钱包数据、密码和会话 Cookie，或安装后门。
虚假的加密货币求职面试针对哪些人？
主要是软件开发者，尤其是有加密货币或 Web3 经验的开发者，因为他们的电脑里往往存有钱包、私钥、API 密钥以及公司系统的访问权限。设计师、社区经理和其他求职者也会通过虚假的会议应用或文档成为目标。
在虚拟机里运行编程测试安全吗？
只要虚拟机或云端工作区里没有钱包、已保存的密码、SSH 密钥或公司访问权限，并且用完就删除，这比在主力电脑上运行要安全得多。但这并不能让这份工作邀约变得可信；它只是在代码有恶意时限制损失。
如果我运行了可疑的编程测试，该怎么办？
断开设备的网络，然后用另一台干净的设备把资金转移到使用新助记词的新钱包，修改密码，注销会话并吊销 API 密钥；如果工作账户可能已泄露，要通知雇主。之后在再次使用前，彻底清除受感染的电脑并重装系统。