駭客潛伏八週後發動史上最大規模 63 億美元幣安竊案

10 月 29 日從幣安竊取約 63 億美元的駭客,據報在行動前已取得該交易所的存取權長達八週。竊案本身迅速;佈局則不然,而這段落差正是整起事件最令人不安之處。這宗竊案鎖定幣安的熱錢包——即交易所為處理日常客戶存提款而保持連線的錢包——並列為迄今最大規模的數位資產竊案。

二十分鐘的行動,數週的耐心

攻擊於 2026 年 10 月 29 日約 20:05(UTC)開始,大部分行動在大約 20 分鐘內完成。在這段時間內,駭客將資金轉移至超過十條區塊鏈,包括 Ethereum、Bitcoin 與 Solana。要在這麼多網路上協調一致的資產搬移,靠的是縝密規劃而非臨場發揮。資金的分散也壓縮了追回的選項:追蹤與凍結被盜資金的工具因鏈而異,並非所有流動中的資產都能被攔截。

據報,準備工作遠早於此展開。針對該事件的研究指出,準備階段最遲於 2026 年 6 月即已開始。時間線還包括 10 月 20 日的具體步驟,且內部存取權據報在攻擊前約 36 小時進行過測試。

他們如何入侵

幣安的調查發現,這次入侵是一場以社交工程為基礎的多層次攻擊行動,即操控人員與受信任的工作流程,而非直接的密碼學破解。攻擊手法包括一場假冒的工作面試,以及遭篡改的軟體開發工具,讓駭客得以進入幣安的內部系統。從那裡,他們便能推動未經授權的交易。

值得注意的是,駭客並不需要竊取私鑰。私鑰是控制加密貨幣錢包的密碼學憑證,通常被視為交易所安全的最高機密。

這次入侵已被歸因於 TraderTraitor——一個北韓國家支持的黑客組織。同一組織也與先前多起攻擊有關,包括 2025 年 2 月 Bybit 遭竊的 15 億美元,該事件當時是中心化交易所的標誌性損失。幣安這次的金額是其四倍以上。

幣安的損害控管

幣安在竊案發生後立即暫停提款,隨後分階段恢復。交易所動用約 63.4 億美元企業資源來填補損失,並在 10 月 31 日前表示約 98% 的被盜資產已獲補足。

合作夥伴與穩定幣發行方也出手介入。約 28.5 億至 30 億美元的被盜資金遭凍結或攔截。穩定幣發行方可在合約層級鎖定代幣,使贓款的一部分對竊賊而言形同失效。這種管控僅適用於發行方管理其合約的代幣,這也是為何分散在這麼多鏈上的贓款無法以此方式完全中和。

幣安也已委託進行獨立安全審查,其聲明的目的是分析這次入侵並強化交易所未來的防禦韌性。

更大規模的熟悉劇本

與北韓有關的駭客多年來不斷打磨針對加密貨幣目標的特定手法,幣安一案正符合這個模式:耐心的滲透、對人的操縱,然後迅速撤出。

假冒的工作面試是特別有效的誘餌。以為自己在完成技術測驗的開發者,可能會在缺乏對未知檔案應有的警覺下執行程式碼或安裝工具。遭篡改的開發工具則延伸同樣的邏輯:工程師信任自己的工具鏈,而這份信任就成了入侵入口。

這代表什麼

對交易所而言,最清晰的教訓是:熱錢包安全的強度,取決於能否授權從熱錢包發出交易的內部系統。當入侵者能在審批流程內部行動時,保護私鑰雖屬必要,卻顯然不足以因應。

據報長達八週的存取期料將受到最多檢視。獨立審查需要給出答案的,是偵測能力,而不只是預防。

約 28.5 億至 30 億美元的部分凍結也凸顯另一個趨勢:穩定幣發行方與合作企業如今實質上扮演大型竊案的緊急煞車,這強化了中心化干預工具的論據——儘管加密圈部分人士仍對此有所抗拒。

對用戶而言,實際的啟示不在於幣安本身,而在於託管機制的本質。存放在任何中心化交易所的資金,都取決於該交易所的內部控制、其儲備,以及當這些控制失效時吸收衝擊的能力。這次幣安有足夠的儲備。業界尚未解答的問題是:如果一個能安靜潛伏數週的組織下一個選中的是其他平台,還有多少平台能說同樣的話。