币安详述其63.4亿美元遭黑客攻击背后的六个月行动及成功拦截的57项威胁

Disclaimer: Content does not constitute investment advice. Trading involves risks—please invest with caution!

币安披露2026年遭受朝鲜关联黑客攻击详情：63.4亿美元资产被盗，98%已追回

币安安全团队在2026年全年共发现并阻止了57起疑似与朝鲜相关的网络威胁。然而，其中一次攻击行动成功突破了防线。在11月3日发布的初步调查结果报告中，该交易所重构了一起历时六个月、分多阶段进行的入侵事件。该事件始于6月份的一个被篡改的软件安装程序，并于10月29日以未经授权的钱包签名行为告终，涉及约63.4亿美元的数字资产转移，创下了加密货币行业记录的最大规模盗窃案。

这是币安首次完整披露攻击路径，并做出了罕见的范围性承认。“目前的调查表明，这是一次复杂的多阶段活动，”交易所写道，“它并非单一的孤立漏洞或简单的钓鱼事件。”截至10月31日，受影响资产的98%已得到补充，币安预留了超过100%的资金以吸收损失，确保不将风险转嫁给用户。

2026年10月29日，币安发生了一起严重且高度复杂的网络安全事件。这不应该发生，我们为用户、合作伙伴以及更广泛的行业所引发的担忧、干扰和不确定性表示歉意。
—— 币安 (@binance) 2026年11月3日

四阶段六个月的攻击行动

第一次入侵发生在盗窃发生前的数月。2026年6月，钱包DevOps团队的一名工程师在尝试设置通过搜索引擎找到的流行AI编程工具时，下载了一个被篡改的Homebrew安装程序。币安安全团队发现了异常，替换了设备并轮换相关凭证，但此时攻击者已经了解了该工程师的角色及其在钱包基础设施团队同事的身份。

第二阶段发生在9月，也是引起最多关注的细节。一名软件工程师通过合法的求职平台联系到了一名伪装成项目总监的人。该工程师的个人资料中提到了他在币安的工作经历，这使他成为了目标。假总监安排了一轮由所谓人力资源代表参与的面试，以及第二轮由声称是一家不存在公司的首席执行官参与的面谈。

在第一轮视频直播面试中，假HR代表分享了一个带有个人照片和视频的社交媒体账户以建立信任。“这比之前见过的社会工程学方法更加先进且具有欺骗性，”币安写道。在第二轮聊天应用程序面试接近尾声时，工程师被指示在工作电脑上下载一个包含恶意代码存储库的“作业”。该存储库包含在安装过程中执行的恶意代码，引发了一系列未经授权的活動。

恶意软件使用混淆技术，将一个合法的开发组件替换为中毒版本，用3,414字节的恶意pyenv二进制文件替换了有效的3,344字节文件，仅70字节的差异足以执行命令并打开一条通往攻击者控制服务器的通道。币安表示，当时的端点保护工具未能检测到这种零日恶意软件。

第三阶段出现在10月20日。利用被入侵的电脑和内部AI工具，攻击者控制了另外两名工程师，其中一人机器上持有容器部署权限令牌。该令牌成为了通往钱包签名服务的桥梁。

10月29日夜：逐分钟回顾

在10月29日UTC时间17:15至19:56之间，攻击者登录到第二名工程师的电脑，使用之前窃取的凭证部署了一个容器并运行恶意脚本。资金的实际移动在几分钟后开始。UTC时间20:05至20:09之间，五个币安热钱包向攻击者控制的地址发送了2.3346亿XRP，Solana和Optimism上的热钱包分别发送了约970,500 SOL和4,420万OP。随后，另一个热钱包转移了18,270 BTC。

币安收到了大额转账的内部警报并立即开始调查，这与它在10月30日首次披露漏洞时描述的遏制序列相同。交易所暂停了提款并与合作伙伴协调冻结资金，这一步骤最终冻结了28.5亿美元。最后一笔未经授权的2,961.9 ETH转账于UTC时间23:56在链上完成，而在10月30日UTC时间00:10，交易所清除了其Binance14热钱包中的委托代码。

为何EIP-7702使遏制变得更加困难

这次事件区别于传统热钱包 drained（耗尽）的原因在于攻击者在提款暂停后继续转移资金所使用的机制。攻击者利用了以太坊的EIP-7702授权功能，该功能允许账户将执行权委托给智能合约，而无需暴露私钥。这使得攻击者控制的合约能够持有对币安热钱包的部分执行权，并且攻击者提交了50个签名交易来操纵账户nonce并锁定这些授权。

“恶意的EIP-7702授权存在于链上，并独立于币安正常的提款基础设施运作，”交易所写道。由于热钱包使用了多方计算（MPC），没有单个私钥可以被简单地撤销。币安必须开发并运行一个专门的过程来撤销链上授权，这延长了完全遏制资金流动所需的时间。这就是从UTC时间20:05的第一笔XRP转账到UTC时间23:56的最终ETH转账之间出现约三小时差距的结构化解释。

被阻止的57起威胁

报告中最具说明力的对比点是那些未发生的事件。在整个2026年，币安安全团队在威胁触及钱包之前就发现并阻止了57起疑似与朝鲜相关的网络威胁案例。“这些尝试反映了国家支持的行为体针对加密货币行业的持续威胁，”交易所写道。它编目记录的技术包括虚假求职面试、伪装成流行开发者工具的恶意软件、被篡改的软件包和浏览器扩展、伪造的视频会议应用程序，以及旨在窃取凭证或部署远程访问恶意软件的社会工程学活动。

美国联邦调查局（FBI）已将10月29日的事件归因于朝鲜民主主义人民共和国，这一发现被币安在其报告中引用。这一归因与币安描述的模式一致，尽管随着调查的进行，交易所自身的措辞仍将活动的作者身份保持在“疑似”威胁的层面。

初步报告留下的未解之谜

币安明确表示，这是一份第一手报告，而非最终报告。整体财务状况仍在厘清中：受影响的约63.4亿美元中，约有28.5亿美元已被冻结或拦截，这意味着目前约有45%的价值已被恢复或限制，具体取决于对账和市场价格的波动。98%的补充比例意味着交易所账面上已恢复约62.1亿美元，剩余余额则绑定在流动性较低的资产中，交易所表示仍在购买这些资产。

仍有几个问题悬而未决。交易所尚未提及求职平台、虚构的公司名称或内部AI工具的名称，并表示出于防止模仿攻击的目的，某些技术细节将保持机密。币安正在聘请独立的第三方安全公司审查其调查结果，并已承诺设立一个专注于区块链环境中AI安全的网络安全研究基金。“我们分享这份初步报告是因为当行业共同学习时，安全性会得到提升，”币安写道，同时将独立审查作为下一步检查点，以验证这一说法是否成立。