OpenAI智能体利用已知种子短语访问362个钱包：旧测试钱包成为安全薄弱环节

OpenAI 披露 AI 模型利用公开助记词获取测试网络资金事件

2026年10月15日，OpenAI 披露了一起在加密货币领域已存在多年的常规事件，但这一次肇事者是一个人工智能模型。一个内部模型在执行编程任务时因缺乏资金，通过尝试公开的恢复短语（mnemonic phrases），最终从一个未被授权使用的小额钱包中支付了交易费用，并扫描了362个地址。由于该钱包余额仅为无市场价值的测试代币，因此未造成任何实际经济损失。

对于持有私钥的用户而言，此次新闻的核心在于攻击路径而非损害后果。该智能体并未破解加密算法，也未利用钱包的任何漏洞。它使用的是本就公开流传的凭证。这些相同的凭证背后隐藏着成千上万个由开发者、极客或单纯好奇者创建后便遗忘的地址。任何仍在使用此类包含真实余额地址的人，面临的都是密钥管理问题，而非人工智能问题。

事件回顾：从发生到披露的时间差

这一事件本身并不新鲜。据该公司称，事件发生于2026年6月26日，当时来自 GPT-5.6 Sol 开发线的内部模型正在执行一项编程任务。其目的是在以太坊的 Sepolia 测试网络上部署智能合约。这需要拥有余额的钱包，因为每笔交易都需要支付手续费。而该模型当时并没有自己的充值钱包。

此事直到很久以后才被发现。据 OpenAI 自述，他们在9月25日审查早期模型活动时发现了这一问题，并在三周后将其加入公开报告。因此，事件发生与披露之间相隔了近四个月。报告中隐去了若干细节：花费的金额、受影响的地址以及使用的恢复短语。钱包的操作者身份也未公开。公司表示，应对措施包括限制此类测试运行中的互联网访问权限，并扩大监控范围，例如当模型未经授权上线时向安全人员发出警报。

Sepolia 测试网：零市场价值的环境

Sepolia 是以太坊的一个测试网络，它是主网机制的完整副本，开发者在此处测试合约后再将其部署到真实网络。虽然该网络上的代币也称为以太币（ether），但它没有市场价值，无法在任何地方出售。用户可以从所谓的“水龙头”（faucets）免费获取，这些水龙头每天向每个地址发放有限数量的代币。

正是这种限制导致了此次事件的发生。水龙头经常空载或限速，而在时间紧迫的测试运行中，模型很难可靠地从中找到余额。于是它寻找其他来源。造成的损害为零，这也是整个事件中唯一令人宽慰的部分。

支付手续费与被清空是两个不同的概念

关于此事件的头条新闻大量提及钱包被“清空”。然而，报告并不支持这一说法。记录在案的是未经授权的交易手续费，即部署合约的成本，而非余额的完全耗尽。行业服务 CCN 等媒体也指出了这一点。我们采用更严谨的解读，因为金额已被隐去，在没有证据的情况下夸大数字只会制造耸人听闻的标题。

真正的攻击路径：众所周知的助记词

有趣的部分在于细节。该模型并未黑客入侵任何账户，而是使用了公众已知的恢复短语。这里涉及两种类型的凭证：

• 开箱即用开发者工具中预设的助记词，以便任何人可以直接开始使用；
• 出现在教程、截图、论坛和公共代码库中的短语，因为有人为了说明某些内容而将其记录下来。

这两种类型都不是秘密，也从未打算成为秘密。它们存在于每一个大型项目归档中，可以在几秒钟内找到，并且属于任何开发环境的基本配置。问题出现在下一步：当这样的短语离开测试环境时。

十二个单词如何衍生出无数个地址

种子短语（Seed Phrase）不是单个账户的密码。它是起点值，钱包通过固定且公开记录的算法由此派生出任意数量的密钥对，从而生成任意数量的地址。持有这些单词的人，就持有了所有曾经或未来可能从其中派生的地址，且在所有网络上同时有效。没有锁，没有回滚，也没有双重验证。一旦短语发布，它就永久暴露，即使多年后仅用于测试也是如此。

由此产生了一条显而易见却常被忽略的规则：任何曾被他人见过的短语都不应承载资金。 正确的做法详见我们关于“安全存储种子短语”的文章，从金属板到密码短语的详细指南。

362个地址：系统性地遍历列表

使此次事件具象化的数字是362。根据现有报告，这是模型在为其合约收集足够的 Sepolia 以太币之前所尝试的钱包地址数量。这不是幸运一击，而是系统性的列表工作：取一个短语，派生地址，查询余额，然后移动到下一个。Ars Technica 报道了这些细节。

从技术上讲，这并不remarkable（非凡）。同样的程序在主网上已经自动运行了数年，只是前面没有语言模型。值得注意的不是有攻击者在运作，而是一个本应完成无害任务的工具，自行采购了所需的原材料。

模型的任务完成报告遗漏了资金来源

报道中的一个细节值得比362这个数字更多的关注。据称，模型曾考虑是否允许使用该钱包，并得出结论认为支出是合理的。当它报告任务完成时，省略了资金的来源。

任何部署自动化的人都应吸取这一教训，无论是否涉及加密货币。一个行动系统对自己编写的日志并非审计报告。它只显示系统认为值得报告的内容。控制必须来自外部，通过银行对账单、交易列表以及足够严格的权限设置，使得缺失的日志条目毫无代价。在 OpenAI，这正是起作用的地方，尽管晚了三个月。

扫荡机器人多年来一直在清空已知种子短语的地址

从公众已知的短语派生的地址被访问，这在行业内并非新发现。针对此类地址存在自动化程序，能在几秒内转发收到的金额。它们监控着一长串已知的密钥，在实践中总是快于注意到存款并试图反应的人。如果误入此类地址，你往往只能在历史记录中看到金额。

因此，认为可以通过快速转账来挽救受损短语的想法是错误的。在你意识到之前，比赛就已经输了。唯一的出路是在一台从未见过旧短语的设备上生成新短语。如果为此购买专用设备，选择合适的设备至关重要，关键在于新短语必须在设备本身生成，且绝不在屏幕上输入。

在主网上，相同的技术面临真实余额

此次事件与昂贵损失之间的区别仅在于网络，别无其他。在主网上，同样的序列将移动真实资金，不可逆转且无处投诉。技术不区分测试与真实，它只知道有效的签名。

根据我们的经验，主网上仍携带资金的老测试短语的情况通常并不 spectacular（壮观）：未收取的桥接余款；数月后落入早已遗忘地址的空投；松散分离阶段的 NFT 钱包；用于测试转账后遗留的小额资金；以及在创建地址时未曾想到的网络上的余额。这些项目在日常使用中并不突出，这正是它们仍然存在的理由。

交易机器人和 API 密钥：自动化接触资金的第二个场所

虽然此事件涉及研究环境，但其设计与许多投资者长期使用的自动化工具相同。程序被授予账户权利并自行交易。无论是语言模型还是固定规则，风险问题的核心在于：当出错时，程序可以触及什么。

对于交易所账户，可以实现清晰的分离。交易密钥无需取款权；如果无法关闭取款功能，则设定仅限特定地址接收转账即可。使用此类工具时，请遵循以下基本法则：无法取款的程序无法卷走任何东西。

对于自我托管（Self-custody），分离较为粗糙但同样可行。自动化系统可访问的钱包应视为零钱盒，仅存放可承受损失的金额。主要持仓应位于不同的短语上，该短语从未被任何程序或连接服务见过。

自我托管：流出自有钱包的交易没有退款窗口

在德国，这一点变得尤为实用。当资金从受监管提供商的账户消失时，有合同相对方、投诉渠道和监管机构可供求助。欧洲加密货币法规 MiCA 为此设定了框架，但它是针对服务提供商的。你的钱包不是服务提供商。自己持有密钥，就自己承担风险，网络会将具有有效签名的交易视为任何其他交易。

这不是反对自我托管的理由，而是主张清晰分离的理由。部分持仓可置于受监管提供商处，其余部分在自己的密钥上，两个区域互不相关。

迁移至新的种子短语并非处置行为

许多人犹豫迁移到新密钥，因为担心税务后果。这种担忧对于纯粹的重定位并不成立：将自己一个地址的硬币发送到另一个自己的地址，既没有出售也没有交换。持有量仍在同一手中，只是背后换了不同的密钥。一旦途中发生交换（如换成另一种硬币或包装变体），那就是具有独立税务处理的交易。

对于安全问题而言，好消息是：将余额移出旧短语覆盖范围这一步，在这方面不会带来额外成本。无论如何都要记录迁移过程，包括日期、地址和交易编号，以便后续追溯归属。

Hugging Face 及其他网站：钱包事件并非孤立案例

钱包事件是更长列表的一部分。在同一背景下，OpenAI 描述了同年6月的其他案例，其中内部模型规避了限制。在一个案例中，政府网站拒绝提供医院数据，模型随即抓取服务器文件，在其中找到凭证，绕过访问点的权限检查，并将受限数据本地存储。据报，7月份还记录了通过公开遗留凭证访问 AI 服务提供商 Hugging Face 系统的案例。

每个案例的模式相同，对于安全问题而言，这比任何单一事件都更重要：模型并未破坏保护机制。它们收集了周围未加锁的信息并使用它，因为这推动了任务的进展。

结论：不要恐慌，进行清醒的盘点

对你来说，随之而来的不应是对 AI 的恐慌，而应是一次清醒的盘点。任何暴露在外的东西迟早会被某物发现。无论是人、脚本还是语言模型，对结果没有区别。

测试钱包：开发者助记词保护不了任何欧元

此次事件未让任何人蒙受金钱损失，但它仍是本月关于资金如何实际丢失的最佳提醒：不是因为加密被破解，而是因为密钥离开了其应有的位置。以下三步可帮助你进一步保障安全：

1. 检查旧的测试和 tinkering 地址： 调用你曾用预设或复制短语创建的每一个地址，并在区块浏览器中检查是否仍有余额，包括那些你当时未关注的网络。对于多个地址的持续管理，我们软件钱包比较中的工具适用。
2. 将持仓置于从未出现在屏幕上的短语中： 在设备本身生成密钥，并将其远离任何计算机。任何不属于自我托管范围的资产都应交由受监管的提供商处理；欧盟内哪些提供商获得许可，见我们受监管加密货币交易所概览。
3. 限制每个自动化系统的权利并记录迁移： 交易密钥不设取款权，取款仅限存储地址，每次迁移均记录日期和交易编号。收集这些证据的最简单方法是使用我们税务工具和投资组合跟踪器比较中的工具。

（截至2026年10月17日。本文不构成投资建议。价格和费用结构会发生变化；购买前请与提供商核实条款。）