从大规模定制化钓鱼到入侵交易签名系统……利用AI变得更具威胁性的朝鲜黑客犯罪团伙
每当我们接触到黑客攻击造成的损失时，首先确认的都是有多少钱消失了。但更应受到关注的是攻击方式的变化。如果人工智能（AI）正在减少攻击准备所需的时间和精力，那么，以过去的人力与速度为前提设计的防御体系就可能被削弱。
根据微软（MS）的分析，在其调查的8个朝鲜黑客组织中，有3个已经达到将AI整合进日常攻击工作的阶段。研究还确认了面向韩国用户大规模制作定制化PDF诱导文件的案例。这表明，未来的钓鱼信息可能不再是向所有人发送千篇一律、措辞生硬的消息，而是以符合收件人工作和兴趣的自然提议出现。
过去，人们可以通过钓鱼邮件不自然的句子和粗糙的格式识别出来。如今，不能仅仅因为句子流畅、符合工作语境就予以信任。即使是投资提案、招聘作业、面试邀请、合作文件等日常收发的资料，也必须养成单独确认发件人及传递路径的习惯。
接连发生的大规模虚拟资产窃取事件，展现了这类威胁可能造成的破坏力。区块链分析公司TRM Labs近期分析称，币安相关钱包约有63.6亿美元被转出，其中大部分资金流动发生在约20分钟内。其指向的幕后黑手是朝鲜黑客组织“TraderTraitor”。
与此次黑客事件相关的担忧在于攻击尝试的增加。如果攻击者减少撰写文件和修改代码所需的时间，就有机会接触更多目标，并迅速调整失败的尝试。防御企业和用户也必须相应识别更多可疑接触。无论攻击成功率提高了多少，防御负担都会比过去大得多。
交易所必须避免一次入侵演变为大规模提现
交易所和虚拟资产企业首先应检查的，是从工作账户与设备一直延伸至资产转移权限的路径。即使一名员工的笔记本电脑或账户遭到入侵，也必须设计成让攻击者无法立即访问核心系统和交易签名权限。
为此，应分离开发、办公环境与资产运营环境的访问权限，并且只向有需要的人授予必要范围、必要时长的权限。对于大额提现和重要设置变更，应设置独立的审批流程，审批人必须能够确认实际收款地址和交易内容。即使采用多人审批结构，如果依赖同一设备或相同的管理权限，也可能暴露于共同漏洞之下。
还必须一并管理存放在热钱包中的资产规模和提现限额。安全的目标并不止于阻止入侵，还应包括在入侵发生时限制攻击者能够转移的范围和金额。
检测也不能仅依赖文件标题或是否与已知恶意软件相匹配。应关注实际行为的变化，例如不同于平时的管理员登录、突然的权限变更、异常的签名请求和资金转移等。还应事先确定警报响起时由谁暂停提现，以及通过何种渠道通知有关机构和其他业务方。
个人核验习惯与协同应对体系的必要性
个人用户也应提高安全标准。对于来自交易所或钱包服务的信息，与其点击消息中的链接，不如通过官方应用和自行保存的地址访问并确认。即使是因工作收到的文件，如果要求进行预料之外的登录或安装程序，也应通过此前知晓的独立联系渠道确认请求的真实性。
如果直接保管虚拟资产，重要原则是不要在线输入恢复短语，也不要将其交给他人。即使使用硬件钱包，确认自己批准的内容仍然是用户的责任。交易所托管和自行托管各自具有不同风险，因此需要结合自身的管理能力作出选择。
企业和政府的应对也不应停留在各自组织的围墙之内。应迅速共享用于攻击的地址、域名及入侵迹象，并在平时就让交易所、安全公司和调查机构之间的紧急联系体系运转起来。同时，还应支持那些安全人员和预算不足的合作企业提升防御水平。
在AI提高攻击准备速度的时代，不能期待所有用户每次都作出完美判断。还需要能够帮助用户保持警惕的认证流程、限制一次失误影响范围的权限结构，以及发现异常迹象后可以立即停止的应对体系。
虚拟资产行业若要维护信任，就不能把安全视为服务的附加功能。行业的任务不仅是警告攻击者变得多么复杂，更要建立即使实际发生入侵也能保护用户资产的结构。这正是此次币安黑客事件后，行业必须回答的课题。