币安遭史上最大规模黑客攻击：损失63.4亿美元，但用户零损失

11月3日，币安（Binance）发布声明称，黑客利用虚假面试、恶意软件以及被篡改的内部AI工具，于10月29日入侵其钱包系统并盗取了价值约63.4亿美元的资金。

攻击路径与手法揭秘

根据币安发布的初步事件报告，此次攻击历时数月，结合了针对员工的欺骗手段、被感染的软件以及跨内部系统的未授权访问。攻击者通过受感染的员工电脑和窃取的部署凭证，成功渗透至币安的钱包签名基础设施。

攻击始于今年6月。一名负责钱包DevOps的工程师在寻找AI编码工具时，下载了一个经过篡改的Homebrew安装程序。尽管安全团队随后检测到异常并更换了设备、轮换相关凭证，但这次接触暴露了该工程师及其同事在钱包基础设施中的角色信息。

同年9月，第二名工程师成为目标。攻击者在正规招聘平台上伪装成项目总监与其联系，随后安排了一场由“人力资源代表”进行的视频面试，紧接着又进行了一场与一家虚构公司“首席执行官”的面试。在面试接近尾声时，该工程师被指示将作业仓库下载到工作电脑上。在安装过程中，恶意代码运行，将合法的pyenv开发工具替换为被篡改的版本。币安指出，这种恶意软件此前未被其端点安全工具检测到，能够隐藏活动痕迹并清除日志。

10月20日，攻击者利用受感染的电脑和内部AI工具控制了两名钱包工程师的电脑，其中一人持有容器部署令牌。几天后的10月29日，攻击者使用这些被盗凭证部署容器并运行恶意脚本，最终触及钱包签名操作。

以太坊权限机制导致资金持续转移

在10月29日UTC时间20:05至20:09之间，五只币安热钱包向攻击者控制的地址转移了2.3346亿枚XRP。其他钱包还分别发送了约97.05万枚SOL、4420万枚OP以及18,270枚BTC。

随后，攻击者利用签名服务，通过以太坊的EIP-7702机制建立了恶意权限。该机制允许钱包将执行权委托给智能合约代码。此前对以太坊早期钱包攻击的分析显示，攻击者利用这一功能赋予恶意智能合约从币安热钱包（已知为Binance 14）转移资金的权限。

币安表示，暂停提款服务无法使已在以太坊上建立的权限失效。由于其多方计算钱包需要专门程序才能撤销权限，且没有单一私钥可用于立即撤销，因此权限依然有效。最后一笔未经授权的转账涉及2,961.9枚ETH，于UTC时间23:56最终确认。币安于10月30日UTC时间00:10清除了Binance 14的委托权限。

官方回应与资产追回

币安首席执行官Richard Teng表示：“10月29日，币安遭受了数字资产行业有史以来最复杂的攻击之一，约63.4亿美元资产受到影响。我们承担全部责任，并正在积极补救。没有任何用户承担损失，我们已预留超过全额损失的金额用于赔偿。”

截至10月31日，币安已补充了98%受影响代币资产，并正在购买剩余流动性较差的加密货币。Teng强调，提款业务已基本恢复，所有用户损失将由平台覆盖。

此外，美国联邦调查局（FBI）在10月31日的公告中将此次盗窃行为归咎于朝鲜黑客组织TraderTraitor。FBI表示正与美国特勤局和国税局刑事调查部门合作，并敦促服务提供商阻止与已识别地址相关的交易。

目前，币安已重建受影响的钱包环境和内部AI工具，更换了受感染设备，停用并轮换了指令，并对员工设备进行了扫描。同时，币安聘请独立网络安全公司对事件进行审查，并计划增加在开发者安全、端点保护和行为监控方面的投入。据称，约有28.5亿美元已被冻结或拦截，具体金额将根据对账和市场价格变化进行调整。

行业专家观点：托管安全需求上升

Cryptex Finance联合创始人兼CEO Joe Sticco认为，此次事件不会导致加密行业采用出现长达数年的倒退。他指出，Tether、Circle及DeFi协议冻结受影响资产的行为表明，行业参与者能够在重大中断期间协调行动。Sticco预计，此举可能会增加对合规交易所和更强托管实践（包括冷存储）的需求。

CoinShares研究主管James Butterfill则强调了托管相关法律框架的重要性。“MiCA法规为Coinbase Luxembourg等授权实体的客户提供了实质性的更强保护，包括客户资产隔离以及对因提供商原因导致的托管损失承担责任。这些措施加强了问责制，但授权并不能防止所有黑客攻击，也无法保护投资者免受市场损失或提供一般的投资者补偿方案。”Butterfill补充道，监管下的加密托管虽然提供更强的保护，但其持仓并不等同于受存款保险计划保护的银行存款。