黑客潜伏八周后实施创纪录的63亿美元币安盗窃案

据报，10月29日从币安盗取约63亿美元的黑客在行动前已能访问该交易所长达八周。盗窃本身十分迅速，而铺垫却并非如此，这一落差成为整件事中最令人不安的部分。此次袭击目标是币安的热钱包——即交易所为处理日常客户充提而保持在线联网的钱包——并构成迄今规模最大的数字资产盗窃案。

二十分钟的行动，数周的耐心

攻击于2026年10月29日约20:05 UTC开始，大部分操作在约20分钟内完成。在这段时间内，攻击者将资金转移到十余条区块链上，包括以太坊、比特币和Solana。在如此多的网络上执行协同转移需要周密计划，而非临时起意。资金的分散也缩小了追回空间：追踪和冻结被盗资金的工具因链而异，并非所有流动中的资产都能被拦截。

据报，准备工作要早得多。对该事件的研究表明，准备阶段最迟于2026年6月就已开始。时间线上还包括10月20日的具体步骤，且据报内部访问测试在攻击前约36小时进行。

他们是如何入侵的

币安的调查发现，此次入侵源于一场以社会工程为基础的多层次攻击行动，即操纵人员和受信任的工作流程，而非直接的密码学破解。手段包括虚假求职面试和被篡改的软件开发工具，使攻击者得以进入币安的内部系统。由此，他们能够推动未经授权的交易。

值得注意的是，攻击者无需攻破私钥。私钥是控制加密钱包的密码学密钥，通常被视为交易所安全的核心。

此次入侵被归因于TraderTraitor，一个受朝鲜国家支持的黑客组织。该组织还与早前的攻击有关，包括2025年2月对Bybit的15亿美元盗窃，当时这是中心化交易所遭遇的标志性损失。币安的损失数字是其四倍以上。

币安的止损应对

币安在盗窃发生后立即暂停提现，随后分阶段恢复。交易所动用约63.4亿美元公司资源弥补损失，并表示截至10月31日约98%的被盗资产已获补充。

合作伙伴和稳定币发行方也介入其中。约28.5亿至30亿美元的被盗资金被冻结或拦截。稳定币发行方可以在合约层面锁定代币，从而有效使部分赃款对窃贼失去价值。这种控制仅存在于发行方管理合约的代币上，这也是为什么分散在如此多链上的赃款无法通过这种方式全部冻结。

币安还委托开展了一项独立安全审查。其声明的目的是分析此次入侵，并增强交易所未来的抗风险能力。

更大规模的惯用手法

与朝鲜有关的黑客多年来不断打磨针对加密目标的特定手法，币安案件符合这一模式：耐心渗透、操纵人员，然后迅速撤离。

虚假求职面试是一种尤其有效的诱饵。一位以为自己正在完成技术测评的开发者，可能会在缺乏对待未知文件那种审慎的情况下运行代码或安装工具。被篡改的开发工具延续同样的思路：工程师信任自己的工具链，而这种信任便成为入侵入口。

这意味着什么

对交易所而言，最明确的教训是：热钱包的安全性取决于能够授权从热钱包转出交易的内部系统的强度。保护私钥是必要的，但当入侵者可以在审批流程内部操作时，这显然并不足够。

据报的八周访问期可能受到最多关注。独立审查需要给出答案的，是检测能力，而不仅仅是预防能力。

约28.5亿至30亿美元的部分冻结凸显了另一个动态：稳定币发行方和合作公司如今实际上扮演着大规模盗窃事件紧急刹车的角色，这加强了对中心化干预工具的论据，而加密行业中一些人仍然抵触这类工具。

对用户而言，实际的启示与其说关乎币安本身，不如说关乎托管机制的运作方式。任何中心化交易所上的资金都取决于该交易所的内部控制、其储备金，以及当这些控制失效时承受冲击的能力。这一次币安有足够的储备。整个行业的悬而未决的问题是：如果一个拥有数周静默访问能力的团伙下一个选择的是其他平台，有多少平台能说出同样的话。