币安追查63.4亿美元盗窃案，发现幕后是一场持续五个月的虚假招聘骗局

持续五个月的入侵导致币安钱包资产被盗

币安称，这起涉案金额达63.4亿美元的盗窃案早在资产转移数月前就已开始。在首次公开说明10月29日的攻击事件时，该交易所描述了一场多管齐下的行动：攻击者将被植入恶意内容的软件安装包与精心策划的招聘流程、恶意软件以及对内部AI工具的滥用结合起来。这样的说法将关注点从钱包在某一刻遭到入侵，转向一连串步骤——这些步骤使钱包工程团队的人员、设备和凭证暴露在风险之中。

根据币安的说法，最早的突破口可追溯至6月。当时，一名钱包DevOps工程师搜索一款热门AI编程工具，并下载了遭篡改的Homebrew安装程序。币安发现异常后，更换了该设备并轮换了凭证。不过，这起事件也暴露了该工程师的职责，以及负责钱包基础设施的同事姓名。公司采取的应对措施处理了受影响的设备和访问信息；而后来的说明则显示，这些暴露的信息可能为进一步的定向攻击提供了线索。

9月，第二名工程师在一个正规招聘平台上收到联系，对方冒充项目总监。币安表示，随后进行了视频面试，面试者自称代表人力资源部门和公司管理层；对方还分享了一个个人社交媒体账号以建立信任。随后，这位所谓的首席执行官指派工程师在其工作电脑上安装一个代码仓库。经过精心设计的流程，为恶意软件进入工作设备提供了看似可信的理由。

招聘流程成为入侵渠道

币安表示，该代码仓库用恶意版本替换了一个合法的 pyenv 组件，并与攻击者控制的服务器建立了连接。据称，该恶意软件属于零日恶意软件，当时未被终端防护工具标记。这一点表明，仅依赖常规设备警报存在实际弱点：看似与工作相关的编程任务可能会传递现有防护措施无法识别为恶意的代码。币安尚未披露此次入侵的全部技术细节。

10月20日，攻击者利用被攻陷的电脑和一款内部 AI 工具，接触到另外两名钱包工程师，其中一人持有容器部署令牌。币安表示，10月29日，入侵者登录了第三名工程师的电脑，使用被盗凭证部署了一个容器，并开始转移资产。这一过程说明，通过一名员工获得的访问权限可以借助内部工具和权限进一步扩展，不过该公司的说法并未说明目标系统之间的每一次交互细节。

币安表示，今年还拦截了57起其他疑似与朝鲜有关、使用类似诱饵的攻击企图，但该交易所并未自行认定这起盗窃事件的责任方。美国联邦调查局将此次攻击归咎于朝鲜；平壤否认这一指控，金与正则在朝鲜官方媒体上称其为政治挑衅。这些相互矛盾的说法使得公开记录中的责任归属仍有争议。币安的报告描述了作案手法和时间线，但并未解决归因问题本身。

委托签名延长了应对时间

转账于10月29日迅速开始。协调世界时20:05至20:09之间，五个热钱包向一个攻击者地址转出2.3346亿枚XRP，随后又有Solana和Optimism上的钱包转出约97.05万枚SOL和4420万枚OP。之后，一个币安热钱包转出了18,270枚BTC。这些转账的规模和速度表明，应对措施不仅需要找出被盗用的凭证：该交易所还必须暂停那些能够授权链上转账的渠道。

币安表示，攻击者利用遭入侵的签名服务调用以太坊的 EIP-7702。该机制允许账户将执行权限委托给智能合约，而无需暴露账户密钥。一个由攻击者控制的合约因此获得了对币安热钱包的部分控制权。暂停提现并未切断这条路径，因为攻击者此前已提交 50 笔签名交易，在链上建立了委托；这些委托不受提现基础设施管控。此次事件暴露出，常见的提现控制措施与委托执行之间存在漏洞。

该钱包采用多方计算技术，因此币安表示，无法简单撤销某一把密钥来取消这些委托。团队不得不在事件发生期间制定处理流程。最后一笔未经授权的转账共计 2,961.9 ETH，于 UTC 时间 23:56 完成结算；币安于 10 月 30 日 UTC 时间 00:10 清除了该委托。公司承认，这一难题延长了遏制攻击的时间，并表示正在审查签名策略的覆盖范围和热钱包控制措施。报告未详述新的处理流程。

资产追回、安全措施调整及未解问题

币安报告称，已冻结或拦截约 28.5 亿美元的被盗资产，并用自有资金补足了受影响代币的 98%；剩余部分则在公开市场上买入。这些数据反映的是交易所追回资产及补偿客户的应对情况，并非对每项资产最终去向的完整公开说明。公司还表示，提现服务分阶段恢复；继此前解除部分限制后，周二又重新开放了九条网络上数十种资产的提现。

用户资金流向提供了衡量事件发生后即时影响的另一项指标。Binance表示，周日重新开放提现后的46小时内，用户提现了109.7亿美元，净流出为52.8亿美元。到协调世界时03:00，每小时存款额已超过提现额，联席首席执行官Richard Teng称之为趋于稳定。这些数据表明，即使每小时资金余额转为正值，大规模提现仍在持续；但它们无法说明用户在更长时间内会如何行动，也不能证明信心已完全恢复。

Binance表示，已在新环境中重建其钱包系统和内部AI工具，更换受影响的设备，撤销涉事工程师的凭证，并扩大行为异常检测范围。该公司正在委托开展独立审查、增加终端和开发环境的安全投入，并计划与外部公司共同设立AI安全研究基金。在华盛顿，CFTC主席Michael Selig借此次入侵事件主张，为离岸交易所建立联邦注册途径。审查结果以及Binance更完整的技术披露仍有待公布；部分细节将继续保密。

来源：BitcoinMagazine