SEAL：币安黑客在63亿美元攻击前已有八周入侵窗口期
要点速览
- •SEAL估计，与朝鲜相关的黑客在10月29日实施63亿美元攻击之前，已对币安系统维持了约八周的访问权限。
- •币安表示，最初的设备入侵发生在6月和9月，但攻击者直到10月20日才获得进入钱包操作所需的权限。
- •6月的入侵源于一名员工在尝试安装AI编程工具时下载了被篡改的Homebrew安装包；尽管币安更换了设备并轮换了凭证，攻击者仍然获取了钱包基础设施员工的信息。
- •10月20日，攻击者利用9月被入侵的一名软件工程师的电脑以及一个内部AI工具，控制了两名钱包基础设施工程师的设备，并找到了用于攻击的部署权限令牌。
- •SEAL识别出至少四个与TraderTraitor虚假招聘活动相关的皮包公司域名，并发现Bitget、Kelp DAO和AFX攻击之前也存在类似的多周潜伏期。
据非营利网络安全组织安全联盟（SEAL）估计，与朝鲜相关的黑客在10月29日实施该交易所63亿美元的攻击之前，已对币安系统维持了约八周的访问权限。不过币安表示，更广泛的攻击行动始于6月，黑客直到10月20日才获得对其他钱包基础设施设备的访问权限。
SEAL在周四的报告中写道，该黑客组织于9月通过虚假招聘手段入侵了一名币安软件工程师的设备，并补充说，威胁行为者在初次入侵后能够以“高度隐蔽的方式长时间”在受损系统中活动。SEAL的八周估计指的是9月至10月的入侵窗口期，而非币安所述更广泛行动的开始时间。
Cointelegraph就时间线问题联系了币安进行澄清。一位发言人表示，最初的设备入侵发生在6月和9月，但攻击者直到10月20日才获得进入钱包操作所需的权限。
“正如我们在公告中所说明的，最初的设备入侵发生在6月和9月，但攻击者直到10月20日才获得进入钱包操作所需的权限，当时他们利用这一立足点进行横向移动，获取了对其他设备和凭证的访问权限，”该发言人表示。
SEAL识别出至少四个与TraderTraitor 2026年虚假招聘活动相关的“皮包公司”，包括citalab.net、citalab.com、bitfit.io和oddium.io——这些域名将这些组织包装成合法雇主以欺骗目标。
币安将攻击行动追溯到6月，当时另一名员工在尝试安装AI编程工具时下载了被篡改的Homebrew安装包（一种用于在macOS和Linux上安装软件的开源包管理器），导致设备被入侵，正如此前报道。该交易所发现了这一事件，更换了设备并轮换了相关凭证。然而，据周二发布的一条X帖子，攻击者已经获取了在币安钱包基础设施部门工作的员工信息。
据币安称，10月20日，攻击者利用9月被入侵的那名工程师的电脑以及一个内部AI工具，控制了两名钱包基础设施工程师的设备。随后，他们发现了一个部署权限令牌，并在10月29日的攻击中使用。
SEAL的分析指出，其他多起高知名度的加密货币攻击中也存在类似的多阶段入侵模式。该组织估计，攻击者在3.88亿美元的Bitget攻击前拥有约六周的访问权限，在对LayerZero拥有六周的访问权限后发现了导致2.93亿美元的Kelp DAO攻击的漏洞，以及在实施2400万美元的AFX攻击前约有三周的访问权限。综合来看，这些案例表明，从初始入侵到实际执行之间的长期潜伏是重大加密货币入侵事件的常见特征，而非币安独有的异常情况。
美国联邦调查局在周六的一份报告中将此次攻击归因于朝鲜的TraderTraitor。朝鲜领导人金正恩的妹妹金与正否认了这些指控，使此次攻击的责任归属在华盛顿和平壤之间公开存在争议。鉴于两国政府的说法截然相反，币安、SEAL或美国机构后续披露的信息可能会进一步说明6月至10月期间入侵行动是如何展开的。
