10月29日，駭客從全球最大加密貨幣交易所幣安（Binance）竊走63億美元，起初很容易被視為加密貨幣產業特有的問題。但不到一週，這種看法便被推翻：法國銀行Crédit Mutuel Arkéa揭露，攻擊者從其系統中竊走約1億歐元（1.12億美元）。

這兩起接連發生的入侵事件凸顯，網路竊盜如今不僅威脅數位資產平台，也威脅傳統銀行。兩起案例中，攻擊者的切入點都是人性或第三方信任，而非直接攻破核心系統。

「銀行面臨的威脅極為嚴峻」

業界人士認為，這起事件對傳統金融的啟示不亞於對加密貨幣的啟示。「如果像幣安這樣的公司都能損失數十億美元，銀行面臨的威脅極為嚴峻，」為銀行開發區塊鏈基礎設施的Global Settlement共同創辦人暨執行長Ryan Kirkley表示。他在11月10日於倫敦舉行的Digital Asset Summit上補充：「一般銀行要維持安全是不可能的事。」

幣安創辦人兼前執行長趙長鵬（Changpeng Zhao）的說法更為直接。「我認為，如果連加密貨幣交易所都能被駭，銀行的處境只會更糟，」他在竊案發生數天後告訴CoinDesk。

幣安入侵事件如何發生

幣安竊案的攻擊者結合社交工程與惡意軟體，控制加密貨幣錢包並掏空資金。他們策劃了一場假的招募行動，安排一連串假的工作面試，說服一名幣安工程師在不知情的情況下下載惡意軟體，讓駭客得以進入公司內部系統。

損害其後已部分獲得控制。FBI已查扣12億美元被竊的加密貨幣，幣安也證實已「補足」約98%受影響的總金額。即便如此，該筆查扣金額不到原始贓款總額的五分之一，大部分被竊資產仍未尋回。

「並不會因為受監管就自動更安全」

瑞士聖加侖大學（University of St. Gallen）網路安全教授Katerina Mitrokotsa表示，幣安被利用的弱點並非加密貨幣獨有：同樣的漏洞也存在於傳統金融機構之中。「銀行並不會因為受到監管就自動更安全，」她說。

大西洋兩岸的監管機關都高度關注。據路透社報導，在美國，聯準會與貨幣監理署（OCC）自11月2日起陸續致電銀行，詢問異常活動與服務中斷情形。7月時，歐洲央行致函110家銀行的執行長，警示前沿AI模型的風險，指出這類模型正讓「找出並利用IT系統漏洞變得更快、更便宜」。

銀行的優勢所在

法國電信集團Orange旗下網安部門Orange Cyberdefense技術長Vivien Mura指出，傳統銀行相較加密貨幣平台確實具備若干優勢。歐盟《數位營運韌性法案》（DORA）自2025年1月起生效，要求銀行測試防禦並通報網路事件。「它們也享有加密貨幣平台所缺乏的機制，例如封鎖或逆轉付款的能力，以及與監管機關和執法單位的緊密合作，」Mura說。

不過他也承認，這些優勢的作用有限。「銀行在吸收重大攻擊並從中復原方面條件較好，但在預防攻擊方面未必更強。」

供應商與老舊系統

Mitrokotsa指出兩個長期弱點：銀行依賴的冗長外部供應商鏈——DORA試圖將最關鍵的供應商納入歐盟直接監管以處理此風險——以及許多銀行仍在使用的老舊技術。

這兩個因素在Crédit Mutuel Arkéa事件中都扮演了角色。該行駭客經由一家未具名的服務供應商取得存取權，並利用銀行自身帳戶執行交易。該行向客戶表示，事件對其資產「沒有影響」。

「供應商遭入侵、員工擁有特權存取權、假招聘接觸以及內部工具被濫用，多年來一直是公認的風險，並非任何單一產業獨有，」英國銀行業組織UK Finance韌性與網路安全主管Lee Elliott告訴Fortune。他補充，銀行也受惠於業界透過Financial Sector Cyber Collaboration Centre等機制分享威脅情報的慣例。

當冰箱成為入侵入口

攻擊者已開始探測歐洲銀行業以外老舊的IT環境。自10月以來，駭客劫持了十多個國家超市以及三家法國血液銀行的連網冷藏系統。生產這些電子溫控器的Danfoss表示，受影響的設備多為不再接收安全更新的舊型號。

「冰箱看起來不像資安風險，而這正是攻擊者青睞它的原因，」Mitrokotsa說。「銀行也有同樣的問題。許多銀行仍在運行數十年之久的核心系統，旁邊還有舊伺服器、樓宇控制系統和供應商的遠端存取。」

她建議銀行首先要掌握連上其網路的每一台設備，再確保不需要連到核心系統的設備與之隔離。

她補充，銀行甚至可以向加密貨幣業學習。「有些交易所將一把金鑰的控制權分拆給多方，因此沒有任何一台電腦能單獨批准轉帳，就像需要兩把鑰匙同時轉動才能開啟的金庫一樣。攻擊者就算入侵一台筆電，也只能拿到所需的一部分。」

AI代理帶來新一層風險

個人AI代理是金融機構必須應對的另一項新興挑戰。消費者越來越常使用數位助理——例如Meta的Muse——代為購物或支付帳單。

部分銀行已採取封堵措施。花旗集團與美國銀行已限制AI代理存取客戶帳戶，摩根大通執行長Jamie Dimon更呼籲金融機構不要讓自主AI代理處理銀行付款，並警告其「危險」的風險。在英國，HSBC、Nationwide、NatWest、Barclays與Lloyds也已封鎖AI代理存取其帳戶。

其他歐洲銀行則採取較為審慎的中間路線。Santander與ING允許AI代理進行付款，但僅限於客戶預先設定的額度之內，或在客戶逐筆核准後才行。

隨著網路威脅不斷增加——而幣安被竊的63億美元大多仍未尋回——Crédit Mutuel Arkéa遭駭事件恐怕不會是歐洲金融業最後一次遇襲。

本文原刊於Fortune：fortune.com