Darcy 链上调查⛑️

🚨11月9日，黑客组织声称具有 @coinbase ，@binance 等交易所中持有五至七位数资产的目标名单，以及劫持登录会话的钓鱼工具

并且持续发布，系统性针对加密货币持有者的岗位招募，帮助其筛选高价值目标，要求合作方具备来电伪装、邮件及短信发送能力

目前证据仍限于公开招募和本人自述，尚不能证实其实际持有相关数据库

币安被盗资金中的约3600 枚 SOL，于 11 月 3 日 16:51（UTC+8）流入 HitBTC 热钱包，相关资金经多条路径转移，采用自动化脚本，层层剥离的方式，进行逃逸，HitBTC 再一次出现于特大案件的洗钱链路

据我们此前披露，截至今年 7 月，已有约 2,200 万美元非法资金流入 HitBTC。在 Bybit 14 亿美元被盗案中，至少约 368 万美元与朝鲜相关洗钱网络有关的资金也流入了该平台，此后 Bybit 的调查请求遭到冷处理

黑客洗钱往往要借助嵌套服务（nested service），而 HitBTC 已在多起案件中，处在这类结构里，常常作为朝鲜黑客洗钱的重要一环。所谓嵌套服务，是即时兑换、小型交易所、OTC 等机构通过 API 接入大平台，借用它的流动性。链上只能看到平台地址，平台账本只记到合作机构，真正的终端用户藏在下一层

我们曾在过去的案件中向 HitBTC 寻求调证配合。HitBTC 方的调证也不总尽人意，回应时有时无，常把请求转给嵌套合作方，调查成本和周期随之上升。我们甚至还遇到自称 HitBTC 内部工作人员索要'调证服务费'的情形

FATF 自 2021 年起就要求交易所对嵌套关系做尽职调查，并在执法机构要求时提供终端客户资料。我们呼吁 @hitbtc 就上述币安被盗资金配合执法请求

在我们作案子的过程中，发现不少钱都进了币安，尤其是小众的代币，但找币安调证过后，调证结果只是其他服务商借用币安的流动性，通常去找这些服务商再做调证的时候也很困难😕

从币安的初步通报来看，DevOps 工程师终端遭入侵并非罕见的攻击入口，单台终端失陷，为什么能突破后续的权限控制，最终发起未经授权的提款交易

从红蓝对抗视角拆解这起攻击的三个可能实现的核心技术点：

高阶免杀：针对 DevOps 终端的攻击极少用公开载荷。攻击者大概率结合了开发环境投毒（恶意依赖包/插件）与白加黑（Dylib/DLL 劫持）、间接系统调用（Indirect Syscalls）及内存休眠混淆，在不触发本地 EDR 告警的情况下静默驻留

隐蔽横向：不做任何内网扫描，直接复用工程师本地缓存的活跃会话（劫持 SSH Agent Socket、窃取云端 STS Token 或 kubeconfig），顺着合法的运维通道直接切入目标服务容器，完美绕过 MFA 与边界防火墙

权限绕过：现代交易所普遍采用 HSM/MPC 保护私钥，私钥本身无法导出。但攻击者拿下上游“服务容器”后，相当于控制了向签名机发号施令的大脑——直接复用容器自身的 mTLS 证书或高权限服务凭证，在内存或消息队列中伪造“已通过风控审批”的提款请求，驱使底层签名节点自动完成签名上链

Web3 机构的核心防御必须彻底打破“内网即信任”假设，在三个关键节点做阻断：

终端零信任与无凭证化：针对 DevOps 笔记本被攻破的入口风险，严禁办公终端本地明文落盘 kubeconfig、SSH 私钥或长效云端凭证，强制使用硬件密钥（如 YubiKey）绑定单次高危运维鉴权，从源头废除木马的会话劫持能力

生产容器 JIT 隔离与运行时监控：针对攻击者顺着运维通道切入服务容器的路径，切断办公网到生产集群的常驻网络权限，仅开放即时按需（JIT）临时审批通道，并配合 eBPF 容器运行时监控实时熔断异常指令

签名层独立校验与带外审批（OOB）：针对未碰触私钥却能提交未授权提款的逻辑绕过，底层 MPC/HSM 节点绝不能盲目信任内部服务容器发来的指令，必须独立校验不可篡改的端到端业务原始签名，并对大额异常提款强制触发脱离生产网的硬件多签带外确认与链上速率熔断

Axis或许是和我们长期追踪的一个诈骗项目是关联的，部分证据可能考虑在近期发出