SEAL报告：TraderTraitor在币安63亿美元被盗前八周已获系统访问权限
非营利网络安全组织安全联盟（Security Alliance，简称SEAL）指出，与朝鲜有关联的黑客组织TraderTraitor可能在9月就获得了币安系统的访问权限。这一时间点比币安于10月29日公开披露其遭受63亿美元黑客攻击事件早了约八周。
SEAL在周四发布的一份分析报告中表示，入侵行为发生的时间远早于公众所认知的案发时间范围。这为攻击者提供了充足的机会，使其能够隐蔽行动并深入测绘内部控制系统。
此外，SEAL还将TraderTraitor与2026年招聘类诈骗活动中使用的一系列空壳公司网络联系起来，识别出至少四个与该活动相关的域名。该组织的发现还强调了一个在重大加密货币泄露事件中反复出现的模式：攻击者往往通过多阶段方式获取访问权限，并在最终转移资金前保持长达数周的潜伏状态。
核心要点摘要
- 早期访问： SEAL估计，TraderTraitor在9月即获得币安系统访问权限，比10月29日爆发的63亿美元盗取事件早约八周。
- 高度隐蔽性： 报告指出，攻击者在初始入侵后保持了“极高程度的隐蔽性”，从而得以长时间在内部进行导航和操作。
- 关联空壳公司： SEAL确定了至少四家与TraderTraitor招聘活动相关的2026年“空壳公司”域名：citalab.net、citalab.com、bitfit.io 和 oddium.io。
- 行业共性： SEAL指出其他加密货币黑客案件中存在类似的时间线，表明攻击者在实施重大破坏前，通常会提前数周保持系统访问权限。
早期访问窗口可能远超 headline 披露的案发时间
SEAL的核心主张是，币安的系统被实质性控制并非始于公开报道的黑客攻击时刻。在该周四发布的报告中，该组织写道，TraderTraitor对币安系统的入侵很可能始于9月，且威胁行为体能够在相当长的一段时间内以极高的隐蔽性潜伏在系统内部。
这对防御者和市场参与者具有重要意义，因为“案发日期”往往成为唯一可见的公开里程碑。如果攻击者能在执行高影响力破坏之前，在系统中潜伏数周，那么真正的风险暴露窗口可能涉及内部监控、凭证卫生管理以及访问控制弱点等问题，而这些漏洞往往在损害发生后才会显现。
与招聘诈骗及基础设施的关联
SEAL还表示，它识别出了至少四家与TraderTraitor在2026年虚假招聘活动相关的“空壳公司”。分析中引用的域名——citalab.net、citalab.com、bitfit.io 和 oddium.io——被视为更广泛努力的一部分，旨在建立可信度、引诱受害者，并为进入目标组织设置路径。
这一分析方向与币安此前公开的描述相吻合。SEAL引用的早期报道显示，币安将63亿美元的黑客攻击归因于一场虚假的面试。这场骗局使攻击者能够 compromising（攻破）员工设备，并窃取用于突破交易所钱包基础设施的凭证。
SEAL认为此模式与其他重大加密货币黑客事件相符
除了币安之外，SEAL还利用其他知名事件来论证，多阶段入侵是大规模加密货币攻击的可重复特征。该组织估算了多个案例中在实施利用之前的近似访问窗口，包括：
- 在Bitget遭3.88亿美元黑客攻击前，约有六周的访问权限。
- 在导致Kelp DAO遭受2.93亿美元损失的漏洞爆发前，LayerZero约有六周的访问权限。
- 在AFX遭受2400万美元损失的实施前，约有两周半的访问权限。
尽管不同案件的时间线存在差异，但共同的线索是：系统被控制的时间可能比实际利用时间早数周。在实践中，这将安全讨论的重点从纯粹的事件响应准备，转向更早的检测手段——例如在资产被转移之前，识别出持续的攻击者存在、异常的访问模式以及凭证泄露情况。
币安的叙述与更广泛的归因争议
SEAL的估算引发了关于入侵何时以及如何开始的问题。媒体曾尝试联系币安以核实该分析，但币安截至发稿未予回应。
币安此前描述了不同的事件序列。据币安称，它将此次攻击活动的源头追溯至6月，当时另一台员工设备遭到妥协。币安表示，他们检测到了早期的入侵并更换了设备，但补充说攻击者可能已经收集了有关员工和币安钱包基础设施的信息。币安还指出，虚假面试机制是最终实现利用的途径，该细节是在10月29日事件公开后才详细披露的。
归因问题也在地缘政治层面受到争议。美国联邦调查局（FBI）在一份周六发布的报告中将此次攻击归咎于朝鲜的TraderTraitor组织；而朝鲜领导人金正恩的妹妹金与正则驳斥了这些指控。
综合来看，这场争议凸显了网络事件中熟悉的不对称性：调查机构和受影响组织可能会强调同一攻击链的不同阶段（初始立足点 vs. 凭证窃取 vs. 最终钱包突破）。SEAL的贡献在于聚焦于系统访问的可能时间，以及攻击者在公开爆发日期之前可能在系统内停留了多久。
关注此事的读者应重点关注后续是否会出现更多技术细节，以调和币安描述的6月妥协时间线与SEAL的9月系统访问估算之间的矛盾，并观察在其他交易所和协议事件的未来报道中，“长达数周的访问”模式是否会变得更加明显。
