招聘方发来的『测试任务』：加密行业开发者收到的定向钓鱼自查清单

过去几年，加密行业反复出现一种针对开发者的定向攻击：伪装成 HR 或猎头，投来一份面试测试任务——一个代码仓库、一个桌面小程序、一个需要安装依赖的示例工程。装完之后，钱包助记词、交易所接口密钥、云凭据被静默打包外流，甚至被植入持续访问。这篇文章拆攻击链，给一份开发者自查清单。不构成投资建议。

为什么开发者是高价值目标：一台开发机上通常躺着钱包私钥、接口密钥、云服务凭据和包管理器发布令牌；而开发者的职业习惯是装依赖、跑脚本，对陌生代码的容忍度天然偏高。攻击剧本利用的正是这个信任差——求职等于安全的错觉：你正需要这份工作，对方掌握着评价你的权力，拒绝安装显得不合群，这正是社会工程里权威加紧迫的经典配方。已公开报道过的这类行动里，常见手法有几个层次：仓库里直接放恶意依赖；用名称相近的包名做混淆安装；工程自带的安装脚本在安装时执行任意命令；更进一步走依赖混淆——诱导环境去攻击者控制的源拉取看似内部名称的包。对求职者来说，危险的不是代码本身难不难，而是你从没读过的那几行安装钩子：依赖装得越多，逐行读完的意愿越低，钩子就藏在没人读的地方。

四条纪律。第一，环境隔离：测试任务一律在虚拟机或容器里跑，不挂载真实家目录，不带真实浏览器配置；看不到你的钥匙，攻击面就小一个数量级。第二，先读后跑：任何依赖安装之前，翻工程里的安装钩子与构建脚本，检查依赖总数和新增来源；不确定就用不执行安装脚本的模式先装依赖清单，读完再决定是否执行构建步骤。第三，凭据隔离：签名相关的私钥、接口密钥、发布令牌，不跑测试任务的机器上就不该有全量；实在要在同一环境验证功能，用最小权限、设过期、事后立即吊销的临时凭据，并确认环境变量不会顺路带出钱包目录。第四，保留退路：对方催促你关掉安全提示、绕过风险提示、先装再说，或者安装包走网盘和邮件附件而不是可审计的渠道，都是红旗信号；可以坚持只接受仓库邀请制查看代码、或在线环境运行——任何坚持你必须本地安装某个工具才能面试的流程，本身就值得怀疑。

已经装过的处置顺序：立即断网隔离这台机器，不要先删文件毁现场；检查包管理器钩子、git 配置、启动项、计划任务与陌生凭据引用；从干净设备开始逐系统吊销——云端访问密钥、交易所接口、包发布令牌、签名相关服务，钱包私钥一经怀疑即迁移到新地址，不做保留尝试；之后重装开发环境而不是清理残余。

还有一个提前画线的办法：在简历和社交主页上写明你的协作边界——测试任务只接受仓库邀请查看或在线运行环境，不接受带可执行安装包的投递。正规团队会欣赏这种专业自觉，只有别有用心的流程会被这句话直接筛掉。另外保留一份自己的投递记录：投了哪些岗位、收到过哪些仓库链接，一旦发现同款任务在圈子里流传，你的记录就是同行预警的素材。投递前花两分钟反向背调也值得：查这家公司是否有可核实的官网、代码组织、真实在职员工，猎头账号是否有历史活动轨迹；新开的小号、措辞模板化、只催你装东西不聊技术的，直接放弃沟通。定向钓鱼最怕的不是防御技术，而是被公开命名——当”某某公司的笔试装后门”成为社区共识，这个剧本就作废了。