10月29日幣安遭竊的63億美元，是史上最大規模的加密貨幣竊案。事發後數日內，安全組織、鏈上調查機構與保險業者分別公布新細節，共同呈現了這次攻擊的過程以及資金的去向。

🚨 NORTH KOREA-LINKED HACKERS MAY HAVE INFILTRATED BINANCE 8 WEEKS BEFORE THE $6.3 BILLION HACK. According to cybersecurity group SEAL, attackers may have gained access to Binance's internal systems as early as September. The attack reportedly involved fake job interviews,… — Nehal (@nehalzzzz1) November 6, 2026

https://x.com/nehalzzzz1/status/2118731305768906983?ref_src=twsrc%5Etfw

假招募與八週潛伏期

非營利網路安全組織Security Alliance（簡稱SEAL）表示，與北韓有關的駭客於9月入侵幣安一名軟體工程師的設備。該組織指出，入侵者利用假招聘計畫滲透，並估計潛伏期約為攻擊發生前的八週。

攻擊如何展開

幣安給出了更長的時間線。發言人表示，首批設備遭入侵發生在6月與9月，但攻擊者直到10月20日才取得接觸錢包營運所需的權限。SEAL指出，其八週的估計僅涵蓋9月至10月期間，並未延伸至幣安所描述的更大規模攻擊行動的起點。

6月的入侵始於另一名員工下載遭篡改的Homebrew安裝程式，當時該員工正嘗試安裝一款AI程式編寫工具。幣安偵測到該事件後更換了設備並輪替相關憑證，但當時攻擊者已蒐集到錢包基礎設施相關人員的資訊。

10月20日，攻擊者利用該名工程師被入侵的電腦及一項內部AI工具，控制了兩名錢包基礎設施工程師的設備，隨後找到一枚部署權限權杖，並在10月29日的攻擊中使用。

SEAL點名至少四家與2026年假招聘行動相關的掩護公司：citalab.net、citalab.com、bitfit.io與oddium.io。該組織表示，類似的多階段手法也出現在其他竊案中。據其估計，攻擊者在3.88億美元的Bitget竊案前擁有約六週的存取權限，在導致2.93億美元Kelp DAO漏洞攻擊前對LayerZero亦有約六週的存取權限，而在2,400萬美元的AFX攻擊前則約為三週。

FBI將此次攻擊歸因於北韓的TraderTraitor組織。北韓領導人金正恩的妹妹金與正駁斥了這項指控。

凍結資金與市場反應

DeFi分析公司Sentora將這次應對形容為DeFi史上最大規模的協同鏈上資產凍結。Circle在攻擊者移動資金前，於單一錢包封鎖了8.23億枚USDC。Ripple凍結了約4,000萬美元的RLUSD，World Liberty Financial則凍結了2,700萬美元的USD1以及4,800萬枚WLFI代幣。僅穩定幣凍結總額便約達8.9億美元。Bitcoin與Ether沒有發行方能以這種方式封鎖資金；Sentora在圍堵後發現攻擊者持有18,270枚BTC及超過420,000枚ETH。

DeFi借貸市場單日淨流出15.9億美元，約佔總鎖定價值的3%。其中約60%的資金在三天內回流，Sentora在其評估的市場中未發現壞帳。相較之下，4月的Kelp DAO攻擊在五天內引發109億美元的提款，約佔借貸鎖定價值的21%，且在該期間內完全沒有回流。Sentora將差異歸因於受損資產所在位置：幣安的損失停留在交易所內，而Kelp的資產則作為抵押品分布於各借貸市場。

Elliptic表示，截至11月6日，約有1,650枚BTC（價值1.24億美元）已由其他被竊資產轉換而來，幾乎是前一日數字的兩倍。大部分增幅來自透過THORChain兌換的XRP。原本的18,270枚BTC仍原封不動地分散於19個地址。該分析機構統計，橫跨16條區塊鏈共有超過20,000個錢包與65,000筆交易，約有31.1億美元仍留在與竊案相關的地址中。

幣安補回大部分受影響資產

幣安於11月4日表示，已動用公司資源補回約98%的受影響資產。其餘2%涉及流動性較低的代幣，正透過市場及場外交易管道買回。11月5日，幣安請求Arbitrum的DAO批准返還8,425.997枚ETH與74,559,805.2枚ARB，預計流程需時約49天。這兩項——回購與DAO批准——是補償工作尚未完成的部分。

保險業者加強審視

路透社於週五報導，保險業者正加強審查加密貨幣客戶。Marsh的Jacqueline Quintal預期定價、承保範圍或承保能量不會出現重大變化，但保險業者可能要求客戶修補漏洞，且許多保單將國家支持的攻擊列為除外責任——鑑於FBI將此次竊案歸因於北韓的TraderTraitor組織，這項除外條款格外相關。

本文原刊於 CoinCentral。