10月29日发生在币安的63亿美元盗窃案是史上规模最大的加密货币盗窃事件。事发后数日内，安全组织、链上调查机构和保险公司相继公布了新的细节，这些信息共同揭示了攻击是如何展开的，以及资金目前的去向。

🚨 NORTH KOREA-LINKED HACKERS MAY HAVE INFILTRATED BINANCE 8 WEEKS BEFORE THE $6.3 BILLION HACK. According to cybersecurity group SEAL, attackers may have gained access to Binance's internal systems as early as September. The attack reportedly involved fake job interviews,… — Nehal (@nehalzzzz1) November 6, 2026

https://x.com/nehalzzzz1/status/2118731305768906983?ref_src=twsrc%5Etfw

虚假招聘与八周的入侵窗口

非营利网络安全组织Security Alliance（简称SEAL）表示，与朝鲜相关的黑客于9月入侵了一名币安软件工程师的设备。据该组织称，入侵者通过虚假招聘计划进入，并估计入侵窗口约为攻击发生前的八周左右。

攻击如何展开

币安给出的时间线更长。一位发言人表示，首批设备入侵事件发生在6月和9月，但攻击者直到10月20日才获得触及钱包操作所需的权限。SEAL指出，其八周的数据仅涵盖9月至10月期间，不包括币安所述更广泛行动的开始阶段。

6月的入侵始于另一名员工下载了被篡改的Homebrew安装包，当时该员工正试图安装一款AI编程工具。币安检测到该事件后，更换了设备并轮换了相关凭据，但在此之前，攻击者已经收集了有关钱包基础设施工作人员的信息。

10月20日，攻击者利用该工程师被入侵的电脑和一款内部AI工具，控制了两名钱包基础设施工程师的设备。随后，他们找到了一个部署权限令牌，并将其用于10月29日的攻击。

SEAL确认了至少四家与2026年虚假招聘活动相关的前台公司：citalab.net、citalab.com、bitfit.io和oddium.io。该组织表示，类似的多阶段攻击模式也出现在其他盗窃事件中。据其估计，攻击者在3.88亿美元的Bitget被盗事件前拥有约六周的访问权限，在造成2.93亿美元损失的Kelp DAO漏洞被利用前对LayerZero拥有约六周的访问权限，而在2400万美元的AFX漏洞被利用前约为三周。

联邦调查局将此次攻击归因于朝鲜的TraderTraitor组织。朝鲜领导人金正恩的妹妹金与正对这一指控予以否认。

资金冻结与市场反应

DeFi分析公司Sentora称，此次应对是DeFi历史上规模最大的协调链上资产冻结行动。Circle在攻击者转移资金之前，在一个钱包中冻结了8.23亿枚USDC。Ripple冻结了约4000万美元的RLUSD，World Liberty Financial则冻结了2700万美元的USD1以及4800万枚WLFI代币。仅稳定币冻结总额就约为8.9亿美元。比特币和以太坊没有能够以这种方式冻结资金的发行方；Sentora发现，在控制局面后，攻击者持有的资产中包括18,270枚BTC和超过42万枚ETH。

DeFi借贷市场在单日内出现15.9亿美元的净流出，约占总锁定价值的3%。其中约60%的资金在三天内回流，且Sentora在其评估的市场中未发现坏账。相比之下，4月的Kelp DAO漏洞事件在五天内引发了109亿美元的提款，约占借贷锁定价值的21%，且在该期间内无一回流。Sentora将这一差异归因于受损资产所处的位置：币安的损失留在交易所内部，而Kelp的资产则作为抵押品分布在各借贷市场中。

Elliptic表示，截至11月6日，约1650枚BTC（价值1.24亿美元）已由其他被盗资产转换而来，几乎是前一天数字的两倍。大部分增长来自通过THORChain兑换的XRP。最初的18,270枚BTC仍原封不动地分散在19个地址中。该分析公司统计到跨16条区块链的超过2万个钱包和6.5万笔交易，约有31.1亿美元仍留在与盗窃相关的地址中。

币安恢复大部分受影响资产

币安于11月4日表示，已利用公司资源替换了约98%的受影响资产。剩余的2%涉及流动性较低的代币，公司正通过市场和场外渠道进行购买。11月5日，币安请求Arbitrum的DAO批准返还8,425.997枚ETH和74,559,805.2枚ARB，预计该过程需要约49天。这两项——回购和DAO批准——仍是资产替换工作中尚未完成的部分。

保险公司加强审查

据路透社上周五报道，保险公司正在更严格地审查加密货币客户。Marsh的Jacqueline Quintal预计定价、承保范围或承保能力不会发生重大变化，不过保险公司可能会要求客户修复漏洞，且许多保单将国家级攻击列为除外责任——鉴于联邦调查局将此次盗窃归因于朝鲜的TraderTraitor组织，这一除外条款值得关注。

本文原发表于 CoinCentral。