幣安披露「史上最大加密竊案」：一場假面試偷走63億

按：11月4日，幣安發布《10月29日安全事件初步調查結果及應對措施更新》報告，披露約 63 億美元資產被盜的攻擊過程。報告稱，一名錢包運維團隊工程師於 2026 年 6 月搜尋並安裝一款 AI 編程工具時，下載了搜尋結果中被篡改的 Homebrew 安裝包。安全團隊發現異常後更換了相關設備，但仍暴露了錢包基礎設施權限。

攻擊者此後持續潛伏。9 月，攻擊者以項目總監等身份，通過招聘平台聯繫另一名軟體工程師，先後進行影音面試和社交軟體面試，並發送代碼倉庫作為作業。該軟體工程師將倉庫下載到工作電腦並按說明進行設置。其中一份 3414 字節的文件繞過終端安全防護，並利用內部 AI 工具找到與錢包運維團隊工程師相關的痕跡。

報告稱，10 月 30 日，攻擊者登錄另一名員工的電腦並轉走 63 億美元。幣安稱約 63.4 億美元資產受影響，已凍結或攔截約 28.5 億美元，損失由 SAFU 基金及公司資金承擔，截至 10 月 31 日受影響代幣 98% 已補充。

以下為幣安安全事件調查報告全文：

2026 年 10 月 30 日，幣安遭遇一起性質嚴重、技術高度複雜的安全事件。本次事件本不該發生，幣安對事件給用戶、合作方以及整個行業帶來的擔憂、業務擾動與不確定性深表歉意。

保護用戶是我們的首要責任。本次被盜資金帶來的全部財務損失將由幣安自行承擔，用戶不會蒙受損失。我們已經預留了超過損失全額的資金用於賠付。截至 2026 年 10 月 31 日，98% 受影響代幣資產已完成補足，可在儲備證明頁面核驗。剩餘流動性較差的資產，我們正在籌措資金完成庫藏股補足。

本次事件波及約 63.4 億美元數字資產。截至本次更新，已有約 28.5 億美元資產被凍結或攔截，最終金額有待對賬結算，同時會受市場價格波動影響。

我們已第一時間採取措施控制事態、加固相關係統：已關閉本次攻擊所使用的全部入口；攻擊鏈路中被觸及的系統均已重建或替換；同時收緊設備管控、升級錢包服務風控，並擴充基於 AI 的行為異常檢測能力。

本文為初步報告，內容僅涵蓋當前已掌握的事實以及已經落地的整改措施。調查仍在持續推進，相關結論還將接受獨立覆核。部分技術細節將予以保密，避免不法分子利用資訊策劃新攻擊。我們已聘請獨立安全機構開展後續核查。

美國聯邦調查局（FBI）最新披露資訊顯示，本次事件由朝鮮方面實施。

我們發布這份初步報告，是因為行業共同復盤，才能推動整體安全水平提升。

10月30日安全事件經過

攻擊在多條公鏈上快速鋪開。攻擊者非法獲取內部錢包簽名服務權限，繞開正常提幣流程發起交易。

UTC 時間 20:05–20:09，幣安 5 個熱錢包向攻擊者控制地址轉出 2.3346 億枚 XRP。部署在 Solana 與 Optimism 鏈上的幣安熱錢包，分別轉出約 970,500 枚 SOL、4420 萬枚 OP 至攻擊者地址。

隨後幣安收到大額轉賬內部告警，立刻啟動排查。幣安熱錢包向攻擊者地址轉出 18,270 枚 BTC。

攻擊者接着利用簽名服務，濫用以太坊 EIP-7702 授權機制。EIP-7702 允許帳戶在不泄露私鑰的前提下，將部分執行權限委託給智能合約。本次攻擊中，攻擊者藉助該機制，讓一個由其控制的智能合約獲得幣安熱錢包的部分執行權限。

幣安當即啟動多項處置手段：暫停提幣以阻斷資金外流、聯動合作方凍結涉事代幣、撤銷非法授權，合計凍結 28.5 億美元資產。

但僅暫停提幣，無法阻止全部非法資產轉移。惡意 EIP-7702 授權記錄上鏈生效，獨立於幣安常規提幣體系。攻擊者一共發送 50 筆簽名交易，操縱帳戶隨機數（nonce），建立惡意委託授權。授權一旦生效，攻擊者就可以脫離幣安正常提幣鏈路持續劃轉資產；幣安需要額外發送鏈上交易，才能撤銷這些已經上鏈的授權。

處置過程存在額外技術難點：涉事熱錢包採用多方計算（MPC）方案，不存在單一私鑰，無法一鍵撤銷惡意 EIP-7702 授權。因此安全團隊專門開發並執行一套特殊流程來清除授權，這消耗了額外時間。此外，暫停提幣、關停熱錢包服務，也不會自動讓已經上鏈的授權失效。

上述難點拉長了完全阻斷非法轉賬的時間。我們正在復盤事件響應流程、簽名權限策略、熱錢包管控機制，尋找優化方向，提升未來應對威脅的響應速度。

最後一筆非法轉賬為 2961.9 枚 ETH，於 UTC 時間 23:56 在鏈上確認。這筆交易此前已經廣播，處於待確認狀態，之後才最終上鏈。自此之後，再未監測到新增非法轉賬。

UTC 時間 2026 年 10 月 30 日 00:10，幣安從 Binance14 熱錢包向零地址發起一筆新授權，清除 EIP-7702 委託邏輯。

攻擊籌備過程

根據現有調查結論，這是一場精心設計、分多階段實施的攻擊，並非單次簡單入侵或是普通釣魚。攻擊者疊加多種手段：虛假招聘面試實施社會工程、誘導下載惡意軟體、入侵內部 AI 工具、攻陷終端設備，搭配這套高級交易授權攻擊方案。

• 2026 年 6 月：供應鏈攻擊。錢包 DevOps 工程師 A 在搜尋引擎檢索一款熱門 AI 編碼工具，下載了被篡改的 Homebrew 安裝包。我方安全團隊當時監測到異常，更換設備、輪換全部相關密鑰，主動處置風險。但工程師 A 以及錢包基礎設施團隊其他同事的資訊，已經暴露給駭客。

• 2026 全年，幣安安全團隊累計發現並處置 57 起疑似關聯朝鮮的網路威脅。這類攻擊說明，國家支持的駭客組織持續瞄準加密行業。攻擊手段包括虛假面試、偽裝成主流開發工具的惡意程序、被篡改的軟體包與瀏覽器插件、虛假影音會議軟體，以及以竊取憑證、植入遠控木馬為目的的社會工程。

• 9 月：社會工程攻擊。軟體工程師 B 在正規求職平台收到一名偽裝成項目總監人員的聯繫。工程師 B 的簡歷頁面標註了他在幣安的任職經歷。這名假冒人員安排第一輪 HR 面試，第二輪則由一名自稱虛構公司 CEO 的人員面試。

• 第一輪，假冒 HR 與工程師 B 影音面試，向對方分享社交媒體賬號，附帶照片、影音，以此建立信任；這套欺騙手段比以往的社會工程更加複雜隱蔽。

• 第二輪面試在主流社交聊天軟體進行，面試尾聲，對方要求工程師 B 在辦公電腦下載一份 「作業文件」，內含惡意代碼倉庫。倉庫中的惡意代碼會在安裝階段執行，觸發一系列未授權操作。

• 該惡意軟體採用複雜的混淆與規避技術，替換正版開發工具組件，以此執行指令、和攻擊者控制的外部服務器建立通信。這是一款零日惡意程序，事發時終端防護工具未能檢出。攻擊者還刻意掩蓋惡意行為、清除入侵痕跡，加大事後排查取證難度。

• 腳本通過混淆規避安全檢測，執行操作如下：

• 創建 /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_

• 修改 pyenv_ 文件 → 大小 3414 字節

• 刪除 .../libexec/pyenv（3344 字節）—— 移除原版 pyenv

• 將 pyenv_ 重命名為 pyenv（3414 字節）—— 替換為惡意版本

• 刪除 /opt/homebrew/bin/pyenv（3414 字節）

• 創建軟鏈接 + 拉起 zsh 終端

• 10 月 20 日：以內網 AI 工具作為跳板攻擊者拿下工程師 B 被入侵的電腦後，藉助內部 AI 工具，橫向控制錢包 DevOps 工程師 A 以及另一名錢包軟體工程師 C。隨後攻擊者發現，工程師 A 電腦上存有容器部署權限令牌。

• 10 月 29 日：侵入錢包簽名鏈路10 月 29 日 17:15–19:56（世界協調時間），攻擊者登錄工程師 C 的電腦，使用從工程師 A 處竊取的憑證，部署容器並運行惡意腳本，發起攻擊。

已採取處置動作（截至 2026年11月3日）

• 在全新環境中重建受波及的錢包系統；

• 重建遭入侵的內部 AI 工具以及訪問權限管控體系；

• 更換所有受入侵設備；

• 註銷涉事工程師對應的全部賬號憑證與令牌；

• 完成全員設備增強安全掃描；

• 升級基於 AI 的行為異常檢測能力；

• 強化錢包服務風控規則；

• 聯動執法機構、鏈上情報公司與行業夥伴，追蹤、凍結涉事資產，

調查推進期間，我們會持續加碼防護措施。部分安全方案將不對外披露，防止攻擊者找到突破路徑。

後續行動計劃

我們將立刻落實以下舉措：

後續如有新進展，幣安官方會第一時間主動同步資訊。

來源：金色財經

發佈者對本文章的內容承擔全部責任
在投資加密貨幣前，請務必深入研究，理解相關風險，並謹慎評估自己的風險承受能力。不要因為短期高回報的誘惑而忽視潛在的重大損失。