加密货币开发者轻信虚假 LinkedIn 通话，失去代码管道控制权

一个名为 JINX-0164 的黑客组织一直通过 LinkedIn 联系加密货币开发者，邀请他们参加虚假会议，导致其机器感染定制 macOS 恶意软件。

该恶意软件窃取登录凭据并劫持开发者用于构建和部署软件的管道。云安全公司 Wiz 于 2026 年 5 月 27 日发布了其调查结果。

虚假会议链接在开发者机器上投放 AUDIOFIX 恶意软件

Wiz 的事件响应团队将该组织与至少追溯到 2025 年中的攻击联系起来。

攻击者使用看似合法的配置文件联系开发者，建议进行商务通话，并发送一个指向伪造网站的链接，该网站看起来像 Microsoft Teams 或类似的视频会议工具。

AUDIOFIX 是 macOS 病毒，当受害者点击他们认为的会议 URL 时，它会静默开始安装。它在 Intel 和 Apple Silicon Mac 上运行，并通过存储在伪造 Apple 网站上的脚本交付。该病毒设置自身以便在重启后继续运行，伪装成系统音频组件，并通过 HTTPS 与攻击者交互。

一旦进入机器，它会收集 macOS Keychain 中保存的密码、浏览器凭据、SSH 密钥、AWS、GCP 和 Azure 的云访问令牌以及加密钱包数据。此外，Wiz 发现攻击者直接钓鱼获取密码并将其存储在编码文件中。

JINX-0164 与其他信息窃取者不同，因为它针对内部代码存储库和开发基础设施。

在 2026 年初的一项案例研究中，Wiz 记录了攻击者如何使用被盗的 GitHub 令牌，通过一个名为 nord-stream 的开源工具从 CI/CD 管道中提取机密。然后，他们将 AUDIOFIX 恶意软件注入内部存储库，通过伪造 Git 提交元数据冒充合法开发者，并将恶意代码推送到主分支或劫持现有分支。

其他从这些被污染的存储库拉取并构建的开发者也自动感染了。该组织自己的开发工作流程成为了分发机制。GitHub 的 Vigilant Mode（标记缺乏经过验证的 GPG 签名的提交）在至少一种情况下捕获了这种冒充行为。

该组织还对一个公共 npm 包实施了确认的供应链攻击。2026 年 4 月 7 日，JINX-0164 特洛伊化了 @velora-dex/sdk 的 4.9.1 版本，注入了一条 base64 编码的命令，该命令获取并执行了一个远程脚本，部署了 MINIRAT。这是一种轻量级的基于 Go 的后门，专注于持久化和远程命令执行。

攻击者针对加密货币开发者的现金和代码

AUDIOFIX 和 MINIRAT 共享命令与控制域，如 datahub[.]ink、cloud-sync[.]online 和 byte-io[.]us。攻击者 通过 Mullvad VPN、Astrill VPN 和 ExpressVPN 路由其活动，以隐藏其真实位置。

Wiz 发现其与朝鲜威胁集群 UNC1069 和 Sapphire Sleet 有一些战术相似之处，但未发现直接的基础设施重叠。他们称 JINX-0164 为一个独立的、以财务动机驱动的威胁行为者。

5 月，黑客入侵了 170 多个 npm 和 PyPI 包，包括官方的 Mistral AI Python 库。这次攻击暴露了加密货币和 AI 开发者拥有的 GitHub 令牌和云凭据。这也是首次记录到恶意包携带有效的 SLSA Build Level 3 来源证明，破坏了旨在验证构建完整性的加密信任模型。

黑客攻击加密货币和 AI 开发者通常会导致现金和有价值代码的损失。加密实验室/公司应加强网络安全措施，并审查其 CI/CD 管道是否存在任何未经授权的访问或恶意活动。未经授权的 GitHub 操作、带有未验证签名的提交以及异常的 VPN 连接都是警告信号。通过 LinkedIn 加入会议的开发者应扫描其计算机上的病毒。