根據該交易所於週二發布、對 10 月 29 日攻擊的首次公開說明,幣安 63.4 億美元的竊案始於一場精心安排的求職面試,並在第一枚代幣被轉出前醞釀了五個月。

幣安在 X 上發布的首份初步事件報告,與共同執行長 Richard Teng 及資安長 Jimmy Su 的媒體簡報同步公布,描述了一場結合被污染的軟體下載、精心安排的招募流程、躲避端點偵測的惡意程式,以及被攻擊者反過來用來對付該公司自家錢包工程師的內部 AI 工具的攻擊行動。

幣安表示,已凍結或攔截約 28.5 億美元的被竊資產,並以自有資金補足 98% 的受影響代幣,其餘部分則在公開市場上買回。若此數字獲得完全證實,將成為加密貨幣產業史上最大規模的竊案,超越 2025 年 2 月 Bybit 被竊約 15 億美元的紀錄——調查人員也將該起攻擊與北韓駭客連結起來。

「這不是一個錯誤或一次漏洞——而是一場持續數月的攻擊行動,」Teng 在 X 上寫道。「我們公開完整報告,因為這些教訓的意義遠超過幣安本身。」

FBI 已將這起攻擊歸因於北韓,幣安的報告引用了這項調查結果,但本身未做出歸因。平壤於週一透過官媒否認此說法,領導人金正恩的妹妹金與正稱之為「嚴重的政治挑釁」。多年來,聯合國小組與區塊鏈分析公司一直將北韓駭客單位與全球交易所及協議被竊的數十億美元加密貨幣連結起來。

五個月的籌備

根據幣安的說法,攻擊者的第一個切入點出現在 6 月,當時一名錢包 DevOps 工程師在搜尋一款熱門的 AI 編碼工具時,下載了一個遭竄改的 Homebrew 安裝程式。資安團隊察覺了異常,更換了設備並輪替了憑證,但該事件暴露了這位工程師的職務以及錢包基礎設施團隊同事的姓名。

9 月,第二名工程師在正規的求職平台上被一名冒充專案總監的人接觸。隨後與一位自稱 HR 代表的人進行視訊面試,面試者分享了一個個人社群媒體帳號以建立信任。與一位自稱執行長的人進行的第二次面試以一項「作業」作結:一個工程師被要求安裝在工作電腦上的程式碼儲存庫。

該儲存庫以惡意版本取代了一個正規的 pyenv 元件,並開啟了一條通往攻擊者控制伺服器的通道。幣安表示,當時其端點工具並未標記這個零時差惡意程式。

10 月 20 日,攻擊者利用該部電腦與內部 AI 工具接觸到另外兩名錢包工程師,其中一人持有容器部署權杖。10 月 29 日,在 UTC 17:15 至 19:56 之間,他們登入第三名工程師的電腦,以竊取的憑證部署了一個容器並啟動盜領。幣安表示,今年已攔截另外 57 起使用類似誘餌、疑似與北韓有關的攻擊企圖。多年來,美國當局一直就此類假冒招募者的行動發出警告,這些行動旨在透過員工將惡意程式植入科技與加密貨幣公司內部。

四小時的圍堵

資金流出迅速。在 UTC 20:05 至 20:09 之間,五個熱錢包將 2.3346 億枚 XRP 轉至一個攻擊者地址。Solana 與 Optimism 上的錢包隨後轉出約 970,500 枚 SOL 與 4,420 萬枚 OP,接著一個幣安熱錢包轉出 18,270 枚 BTC。

攻擊者還利用被入侵的簽署服務調用以太坊的 EIP-7702——這是該網路 2025 年 Pectra 升級中引入的標準,允許帳戶在不暴露私鑰的情況下將執行權限委託給智慧合約——並讓一個攻擊者控制的合約取得了幣安熱錢包的部分控制權。

暫停提款並未能阻止最後這條通道。攻擊者先前已提交 50 筆簽署交易,建立了在幣安提款基礎設施之外運作的鏈上委託。由於該錢包採用多方運算,不存在單一可撤銷委託的私鑰,團隊不得不臨場建構一套處理程序。最後一筆未經授權的轉帳——2,961.9 枚 ETH——於 UTC 23:56 完成,幣安於 10 月 30 日 UTC 00:10 清除了該委託。

報告承認了這段時間差。「這些挑戰延長了完全圍堵未經授權資產轉移所需的時間,」報告指出,並補充該公司正在檢視其簽署政策的涵蓋範圍與熱錢包控制措施。

資金流出,隨後出現穩定跡象

根據 Teng 週二分享的數據,在週日提款重新開放後的 46 小時內,客戶提領了 109.7 億美元,淨流出 52.8 億美元。到了 UTC 03:00,每小時入金已超過提領——Teng 稱這一轉變是穩定的跡象。週二,幣安在九條網路上重新開放了另外數十種資產的提款。

這起入侵事件也成為華府的討論焦點。CFTC 主席 Michael Selig 表示,這起駭客事件「正好印證了我們的論點」,即離岸交易所需要一條聯邦註冊途徑;週二,該機構為美國受監管的交易平台開放了股票永續期貨,延續了 5 月從 Kalshi 的比特幣永續合約開始的境內化推動。

幣安表示,已在全新環境中重建錢包系統與內部 AI 工具,更換了受影響的設備,撤銷了工程師的憑證,並擴充了行為異常偵測。該公司正在委託進行一項獨立審查,提高端點與開發者環境安全的支出,並規劃與外部公司共同設立一個 AI 安全研究基金。剩餘被竊代幣回購的速度、被凍結資產能否追回,以及獨立審查的結論,都是值得關注的近期焦點。報告指出,部分技術細節將不予公開。

本文原載於 Bitcoin Magazine,作者為 Micah Zimmerman。