10月29日，黑客从全球最大的加密货币交易所币安（Binance）盗取63亿美元，起初人们很容易将其视为仅限加密领域的问题。但不到一周后，这种说法便不攻自破：法国银行Crédit Mutuel Arkéa披露，攻击者从其系统中盗走了约1亿欧元（1.12亿美元）。

接连发生的两起入侵事件表明，网络盗窃如今威胁的不仅是数字资产平台，还有传统银行。在这两起事件中，攻击者的切入点都是人或第三方信任，而非直接攻破核心系统。

“银行面临的威胁令人不堪重负”

业界人士认为，这一事件对传统金融的启示不亚于对加密行业的启示。“如果像币安这样的公司都能损失数十亿美元，那么银行面临的威胁令人不堪重负，”为银行开发区块链基础设施的Global Settlement联合创始人兼首席执行官Ryan Kirkley表示。他在11月10日于伦敦举行的数字资产峰会（Digital Asset Summit）上补充道：“普通银行不可能保持安全。”

币安创始人兼前首席执行官赵长鹏的观点更进一步。“在我看来，如果加密货币交易所都能被黑，银行的处境只会更糟，”案发数日后他接受CoinDesk采访时表示。

币安遭入侵的经过

币安盗窃案背后的攻击者将社会工程学与恶意软件相结合，控制了加密钱包并盗走资金。在一场精心策划的招聘活动中，他们安排了一系列假工作面试，诱骗一名币安工程师在不知情的情况下下载恶意软件，从而为黑客打开了进入公司内部系统的通道。

损失目前已得到部分控制。FBI已查获12亿美元的被盗加密货币，币安确认已“补足”约98%的受影响金额。即便如此，这笔查获金额还不到原始失窃额的五分之一，大部分被盗资产仍未追回。

“受监管并不自动等于更安全”

瑞士圣加仑大学（University of St. Gallen）网络安全教授Katerina Mitrokotsa指出，币安被利用的漏洞并非加密行业独有，同样的脆弱性也存在于传统金融机构内部。“银行并不会仅仅因为受到监管就自动变得更安全，”她说。

大西洋两岸的监管机构一直密切关注。据路透社报道，在美国，美联储和货币监理署（OCC）自11月2日起开始致电银行，询问异常活动和业务中断情况。今年7月，欧洲央行致信110家银行的首席执行官，警告前沿AI模型的风险，称这些模型使“识别和利用IT系统漏洞变得更快、成本更低”。

银行的相对优势

法国电信集团Orange旗下网络安全部门Orange Cyberdefense的首席技术官Vivien Mura表示，与传统加密平台相比，传统银行确实拥有一些优势。欧盟《数字运营韧性法案》（DORA）自2025年1月起生效，要求银行测试自身防御能力并报告网络安全事件。“它们还受益于加密平台所缺乏的机制，例如阻止或撤销支付的能力，以及与监管机构和执法部门的密切合作，”Mura说。

不过他承认，这些优势的作用有限。“银行更有能力承受重大攻击并从中恢复，但在预防攻击方面未必做得更好。”

供应商与老旧系统

Mitrokotsa指出了两个长期存在的薄弱环节：银行所依赖的冗长外部供应商链条——DORA试图通过将最关键的供应商纳入欧盟直接监管来应对这一风险——以及许多银行仍在使用的老旧技术。

这两点在Crédit Mutuel Arkéa事件中均有体现。黑客通过一家未具名的服务供应商获得访问权限，并利用银行自己的账户进行交易。该行告诉客户，此次事件对其资产“没有影响”。

“被入侵的供应商、拥有特权访问权限的员工、假工作邀约以及内部工具的滥用，多年来一直被认定为风险，并非任何一个行业独有，”英国银行业组织UK Finance的韧性与网络安全总监Lee Elliott接受《财富》（Fortune）采访时表示。他补充说，银行还受益于行业通过金融部门网络协作中心（Financial Sector Cyber Collaboration Centre）等机制共享威胁情报的做法。

当一台冰箱成为入侵入口

攻击者已经在试探银行业之外欧洲老旧的IT资产。自10月以来，黑客劫持了十多个国家超市以及三家法国血液银行中联网的制冷系统。温控电子设备制造商丹佛斯（Danfoss）表示，大多数受影响设备是不再接收安全更新的旧型号。

“冰箱看起来不像安全风险，而这正是攻击者喜欢它的原因，”Mitrokotsa说。“银行也有同样的问题。许多银行仍在运行数十年前的核心系统，旁边是老旧服务器、楼宇控制系统和供应商的远程访问通道。”

她的建议是，银行首先要摸清连接到其网络上的每一台设备，然后确保那些无需访问核心系统的设备与之切断连接。

她补充说，银行甚至可以向加密行业学习。“一些交易所将密钥控制权拆分给多方，因此没有任何一台计算机能够单独批准转账，就像需要同时转动两把钥匙才能打开的保险库。攻击者即便攻陷一台笔记本电脑，也只能得到所需信息的一部分。”

AI智能体带来新的风险层

个人AI智能体给金融机构带来了又一个新挑战。消费者越来越多地使用数字助手——例如Meta的Muse——代替自己进行购物或支付账单。

一些银行已采取措施关门拒客。花旗集团（Citigroup）和美国银行（Bank of America）已限制AI智能体访问客户账户，摩根大通（JPMorgan Chase）首席执行官杰米·戴蒙（Jamie Dimon）敦促金融机构不要允许自主AI智能体处理银行支付，并警告其“危险”的风险。在英国，汇丰（HSBC）、Nationwide、NatWest、巴克莱（Barclays）和劳埃德（Lloyds）也均已阻止AI智能体访问其账户。

另一些欧洲银行则采取了中间路线。桑坦德（Santander）和ING允许智能体进行支付，但仅限于客户预先设定的限额之内，或在客户逐笔批准每次购买之后。

随着网络威胁数量不断攀升——且币安被盗的63亿美元大部分仍未追回——Crédit Mutuel Arkéa黑客事件不太可能是欧洲金融业遭受的最后一次攻击。

本文最初发表于Fortune：fortune.com