据币安周二发布的首份公开事件报告,针对币安的 63.4 亿美元盗窃始于一场伪造的求职面试,并经过长达五个月的筹备,才有一枚代币被转移。

币安在 X 上发布的初步事件报告,与联席 CEO Richard Teng 和首席安全官 Jimmy Su 出席的媒体简报同步发布。报告描述了一场结合了被投毒的软件下载、伪造的招聘流程、绕过终端检测的恶意软件以及内部 AI 工具的行动,攻击者将该 AI 工具反过来用于对付公司自己的钱包工程师。

币安表示,已冻结或截获约 28.5 亿美元被盗资产,并用自有资金补足了 98% 的受影响代币,其余部分正在公开市场买入。如果这一数字得到完全确认,将成为加密货币行业迄今记录的最大规模盗窃案,超过 2025 年 2 月 Bybit 被盗的约 15 亿美元——调查人员同样将那次攻击与朝鲜行为者联系起来。

"这不是一次失误或一次入侵——而是持续数月的行动,"Teng 在 X 上写道。"我们发布完整报告,是因为其中的教训远超币安本身。"

FBI 已将此次攻击归因于朝鲜,币安的报告引用了这一结论,但未作出自身归因。平壤于周一否认该指控,领导人金正恩的妹妹金与正通过官方媒体称其为"严重的政治挑衅"。多年来,联合国专家小组和区块链分析机构一直将朝鲜黑客组织与从全球交易所和协议窃取的数十亿美元加密货币联系起来。

长达五个月的准备

据币安称,攻击者的首个立足点出现在 6 月,当时一名钱包 DevOps 工程师在搜索一款热门 AI 编程工具时,下载了一个被篡改的 Homebrew 安装程序。安全团队发现了异常,更换了设备并轮换了凭证,但这一事件暴露了该工程师的职位以及钱包基础设施团队同事的姓名。

9 月,第二名工程师在一个正规求职平台上被伪装成项目总监的人接触。随后是一场与所谓 HR 代表的视频面试,面试者分享了一个个人社交媒体账号以建立信任。与一位自称 CEO 的人进行的第二轮面试以一项"作业"收尾:工程师被告知在自己的工作电脑上安装一个代码仓库。

该仓库用一个恶意版本替换了合法的 pyenv 组件,并建立了通往攻击者控制服务器的通道。币安表示,当时的终端工具未能标记出这一零日恶意软件。

10 月 20 日,攻击者利用该机器和内部 AI 工具接触到另外两名钱包工程师,其中一人持有容器部署令牌。10 月 29 日 17:15 至 19:56 UTC 之间,他们登录第三名工程师的电脑,使用窃取的凭证部署了一个容器并发起资金抽取。币安表示,今年已利用类似诱饵的拦截手段阻止了 57 起其他疑似与朝鲜相关的攻击。美国当局多年来一直警告此类"假招聘者"行动,其目的是通过公司自己的员工在科技和加密企业内部植入恶意软件。

四小时控制局面

资金流出速度很快。20:05 至 20:09 UTC 之间,五个热钱包向攻击者地址发送了 2.3346 亿枚 XRP。Solana 和 Optimism 上的钱包随后转出约 970,500 枚 SOL 和 4,420 万枚 OP,随后一个币安热钱包转出了 18,270 枚 BTC。

攻击者还利用被攻陷的签名服务调用以太坊的 EIP-7702——该标准在 2025 年 Pectra 升级中引入,允许账户在不暴露私钥的情况下将执行权限委托给智能合约——使一个攻击者控制的合约获得了币安一个热钱包的部分控制权。

暂停提现并未阻止这最后一条通道。攻击者此前已提交 50 笔签名交易,建立了在币安提现基础设施之外运作的链上委托。由于该钱包采用多方计算,不存在可用于撤销的单一密钥,团队不得不现场构建一套处置程序。最后一笔未经授权的转账——2,961.9 枚 ETH——于 23:56 UTC 完成,币安于 10 月 30 日 00:10 UTC 清除了该委托。

报告承认了这一时间差。"这些挑战延长了全面遏制未经授权资产转移所需的时间,"报告称,并表示公司正在审查其签名策略覆盖范围和热钱包控制措施。

资金流出,随后出现企稳迹象

据 Teng 周二分享的数据,提现于周日恢复后的 46 小时内,客户共提现 109.7 亿美元,净流出 52.8 亿美元。到 03:00 UTC,每小时存款已超过提现——Teng 称这一转变是企稳的迹象。周二,币安在九条网络上为数十种资产重新开放了提现。

此次事件也已成为华盛顿的讨论话题。CFTC 主席 Michael Selig 表示,此次攻击"恰恰证明了我们提出的观点",即需要为离岸交易所提供联邦注册途径;周二,该机构批准在美国受监管平台上线股票永续合约,延续了其 5 月以 Kalshi 的 BTC 永续合约开启的"回归美国监管"推进。

币安表示,已在全新环境中重建钱包系统和内部 AI 工具,更换了受影响设备,撤销了相关工程师的凭证,并扩展了行为异常检测。公司正委托开展独立审查,增加终端和开发者环境安全方面的支出,并计划与外部公司共同设立 AI 安全研究基金。剩余被盗代币回购的速度、被冻结资产能否追回以及独立审查的结论,是短期内需要关注的事项。报告称,部分技术细节将保持不公开。

本文最初发表于 Bitcoin Magazine,作者为 Micah Zimmerman。