随着区块链技术和加密货币市场的迅猛发展，网络安全威胁随之日益突出。尤其是涉及加密资产的平台和相关企业，正成为黑客组织重点攻击的目标。最新研究显示，朝鲜黑客组织已开发出一种针对苹果macOS系统的新型恶意软件“尼姆门（NimDoor）”，并通过精巧的社交工程手段发起攻击，给加密货币行业带来紧迫风险。尼姆门的出现不仅代表该组织技术水平的提升，也揭示了未来网络攻击的发展趋势。尼姆是一种相对冷门的编程语言，其代码执行方式极具隐蔽性，使得恶意程序更难被传统安全工具检测和分析。攻击者利用这一优势，将恶意代码与运行时逻辑融合在一起，生成复杂的二进制文件。
这种混合式的编译技术加剧了逆向工程的难度，也让防御方难以迅速识别威胁。此次的攻击活动最早被网络安全公司SentinelLabs于2025年4月发现，目标主要锁定在加密货币初创企业。调查显示，攻击者利用典型的社会工程策略，通过Telegram冒充受害者联系人，诱导其预约Zoom视频会议。随后受害者会收到包含“Zoom SDK更新”指令的电子邮件，邮件中的链接指向一个域名与Zoom官方极为相似的钓鱼网站，借助AppleScript脚本下载并执行第二阶段恶意负载。这种分阶段攻击模式使得初期恶意代码隐藏性更强，真正具破坏力的负载则通过远程服务器按需投递，实现精准打击。攻击的第一阶段会在macOS的临时文件夹内部署两个恶意Mach-O二进制文件。
第一个采用C++语言编写，负责注入进程并启动木马程序；第二个由Nim语言编译，名为安装程序（installer），用于建立持久性，以保证恶意软件在系统重启或程序终止后依然持续存在。此外，安装程序还会释放另外两个Nim编写的关键组件，分别命名为GoogIe LLC和CoreKitAgent，这两者配合执行长期监控和数据窃取任务。数据窃取脚本针对用户多款主流浏览器（如谷歌Chrome和Firefox）以及Telegram通信软件，能够提取登录凭证、浏览历史和消息记录等敏感信息。所有窃取数据经过压缩处理后，被秘密上传至伪装成安全上传门户的恶意服务器。该攻击链条的高度隐蔽、持久化和针对性，使其在加密货币和Web3行业中尤为危险。分析人士指出，朝鲜黑客近年来频繁使用冷门的编程语言来规避传统安全防护，例如之前的Golang、Rust以及近期的Crystal语言攻击代码，这反映出其不断演进的网络武器库和策略调整。
朝鲜黑客通过注册假冒公司如Blocknovas LLC、Softglide LLC等，展开多样化的网络钓鱼和木马传播活动，借此窃取大量加密货币资产。据联合国和区块链分析公司Chainalysis数据显示，自2019年以来，朝鲜黑客相关团伙已累计盗取逾数十亿美元的数字货币，其中2024年单年度盗窃金额就达13亿美元以上。近期美国司法部也对四名朝鲜籍黑客提出指控，指控他们假扮区块链企业远程IT工作人员，通过伪造身份和篡改智能合约窃取资金，为朝鲜武器计划提供资金支持。这些事件表明，朝鲜网络犯罪活动不仅规模庞大，且与国家层面的战略意图紧密相关。面对日益严峻的威胁，加密货币行业及相关企业需要严格提高安全意识和防范能力。首先，加强对macOS系统的安全检测，特别关注通过邮件和即时通讯工具传播的更新请求，慎重验证链接和附件的真实性。
其次，企业应采用先进的威胁检测工具，涵盖对冷门编程语言编译样本的识别能力，提升威胁发现的准确率和响应速度。再者，建议用户和员工接受定期网络安全培训，熟悉社会工程攻击的特征与防御措施。政府和国际组织也正加强合作，尤其是韩国与欧盟在网络安全领域的联合行动，针对朝鲜网络犯罪活动展开协同打击，阻断其资金链条并限制技术扩散。上文所述的尼姆门事件再次警示全球网络安全形势的复杂化和动态变化。科技的发展带来巨大机遇的同时，也成为网络犯罪分子进化武器的温床。加密货币行业作为新兴且价值密集的领域，理应承担起更高的防护责任，构建多层次、全覆盖的安全防线。
只有通过技术创新、制度完善与国际协作相结合，才能有效遏制包含朝鲜黑客在内的高级持续性威胁，保障数字资产和用户隐私安全，推动区块链生态健康有序发展。
