63.4亿美元惊天大劫案！币安安全事件全复盘：从虚假招聘到AI工具沦陷，黑客如何层层突破防线？

PANews
PANews

潇湘信安

2026年11月5日 10:05
湖南

去阅读

事件总览：63.4亿美元的行业地震

2026年10月29日，全球最大加密货币交易所币安遭遇了一起严重且高度复杂的安全事件。这不是一次简单的钓鱼攻击，也不是单一的系统漏洞被利用，而是一场经过精心策划、层层递进的国家级网络攻击行动。

11月3日，币安发布初步调查报告，完整披露了此次攻击的渗透路径与幕后细节。报告显示，攻击者综合运用社会工程学、恶意软件、内部AI工具漏洞以及区块链协议机制滥用等多种手段，最终突破了币安的多重安全防线。

此次事件涉及数字资产总额约为63.4亿美元，创下加密货币史上最大盗窃案的新纪录。截至报告发布时，已有约28.5亿美元的数字资产被冻结或拦截，受影响代币资产中98%已完成补足。币安明确表示，所有损失将由平台承担，不会转嫁给用户，并已预留超过损失金额100%的资金用于弥补损失。

美国联邦调查局（FBI）最新发布的信息显示，朝鲜民主主义人民共和国（DPRK）应对此次事件负责。这也再次印证了国家级背景的攻击者正持续将加密货币行业作为重点目标。

币安在报告中表示：\"此次事件本不应发生，对于给用户、合作伙伴及整个行业带来的担忧、业务中断和不确定性，我们深表歉意。\"选择公布这份初步报告，是因为只有整个行业共同吸取经验教训，才能推动安全水平持续提升。

10月29日惊魂时刻：攻击是如何展开的

此次攻击在多个网络上迅速展开，攻击者利用对内部钱包签名服务的未授权访问权限，在正常提现流程之外发起交易，整个过程犹如一场精密的闪电战。

攻击时间线

• UTC 20:05 - 20:09：币安的五个热钱包向攻击者控制的地址转出了2.3346亿枚XRP。
• 随后：部署在Solana和Optimism网络上的热钱包分别转出约97.05万枚SOL和4420万枚OP。
• 内部警报触发：币安收到大额资产转移的内部警报，立即展开调查。
• 持续攻击：一个热钱包向攻击者控制的地址转出了18,270枚BTC。
• EIP-7702被滥用：攻击者利用签名服务，进一步滥用以太坊EIP-7702授权机制。

EIP-7702：被扭曲的创新

EIP-7702原本是一项旨在提升以太坊账户灵活性的技术提案——它允许账户在不暴露私钥的情况下，将部分执行权限委托给智能合约。然而在此次事件中，这项创新机制被攻击者变成了绕过安全防线的工具。

攻击者利用EIP-7702，使一个由其控制的智能合约获得了对币安某个热钱包的部分执行权限。一旦授权建立在链上，它就独立于币安的正常提现基础设施运行——这意味着仅仅暂停提现并不能阻止资产继续流失。

攻击者共提交了50笔签名交易，通过操纵账户Nonce（交易序号）建立恶意委托授权。一旦这些授权生效，攻击者便能够绕过币安的提现风控系统，肆无忌惮地转移资产。

为什么止损花了这么久？

币安随即启动了多项应急措施：暂停提现、协调合作伙伴冻结受影响代币、撤销未经授权的权限——通过这些行动，共有28.5亿美元资产被冻结。然而，要完全阻止攻击却面临多重技术挑战：

1. 链上授权无法通过暂停提现撤销：恶意EIP-7702授权已存在于链上，其运行独立于币安的正常提现基础设施。
2. MPC钱包增加撤销难度：由于涉事热钱包采用多方计算（MPC）技术，不存在一个可以直接使用、立即撤销恶意授权的单一私钥。团队需要专门开发并执行一套特殊的撤销流程。
3. 链上授权不会自动失效：暂停提现和关闭热钱包服务，并不会自动使已经存在的链上授权失效。

最后一笔未经授权的转账为2,961.9枚ETH，于23:56 UTC在链上最终确认。此后未再观察到其他未经授权的转账。

2026年10月30日00:10 UTC，币安通过Binance14热钱包向零地址执行了一笔新的授权交易，清除了EIP-7702委托代码，这场持续近4小时的攻击终于画上句号。

攻击准备过程：一场蓄谋已久的多阶段渗透

调查显示，此次事件是一次复杂的多阶段攻击行动，并非单一的孤立入侵事件，也不是简单的钓鱼攻击。攻击者综合使用了多种技术手段，层层递进，步步为营。

第一阶段：供应链攻击埋下伏笔（2026年6月）

钱包DevOps团队的工程师A在搜索引擎上搜索一款热门AI编程工具后，下载了一个被篡改的Homebrew安装包，并试图通过该安装包安装相关工具。币安安全团队检测到了异常，主动更换了该设备，并轮换了所有相关凭证。

然而，攻击者已经获得了关键情报——工程师A的岗位信息及其在钱包基础设施团队中的相关同事信息已经暴露。这为后续的精准打击埋下了伏笔。

背景：全年57起攻击的冰山一角

2026年以来，币安安全团队已检测并阻止了57起疑似与朝鲜有关的网络威胁事件。这些攻击反映出国家背景的攻击者持续将加密货币行业作为目标。攻击手段五花八门：

• 虚假招聘面试
• 伪装成热门开发工具的恶意软件
• 被篡改的软件包和浏览器扩展程序
• 虚假视频会议应用
• 窃取凭证或部署远程访问恶意软件的社会工程学攻击

而10月29日的这次攻击，不过是这一系列攻击中\"成功\"的那一次。

第二阶段：虚假招聘的社会工程学陷阱（9月）

软件工程师B通过一个正规的求职平台收到一名自称项目总监的人员发来的联系信息。工程师B在该平台上的个人资料中提及了自己曾在币安工作的经历——这让他成为了完美的目标。

对方精心安排了面试流程：

• 第一轮：由自称HR代表的人员进行实时视频面试，为了建立信任，面试者还分享了自己的社交媒体账号，其中包含个人照片和视频。这种手法比以往的社会工程学攻击更加复杂和具有欺骗性。
• 第二轮：通过一款热门社交聊天应用进行。面试接近尾声时，工程师B被要求在工作电脑上下载一个名为\"作业\"的文件，其中包含一个恶意代码仓库。

这个恶意代码仓库中的代码在安装过程中自动执行，进而引发一系列未经授权的操作。恶意软件采用了复杂的代码混淆和规避检测技术，包括将一个合法开发工具组件替换为恶意版本，以执行命令并与攻击者控制的外部服务器建立通信。

当时，终端安全防护工具未能检测到这一零日（0-day）恶意软件。攻击者还采取措施隐藏恶意活动并清除相关痕迹，进一步增加了检测和后续调查的难度。

该脚本通过代码混淆技术规避安全检测，具体执行了以下操作：

恶意代码执行流程

第三阶段：内部AI工具沦为攻击跳板（10月20日）

攻击者利用已被攻陷的工程师B的电脑，通过币安内部AI工具进一步控制了钱包DevOps工程师A和另一名钱包软件工程师C的设备。

攻击者很快发现，钱包DevOps工程师A的电脑中存有一个具有容器部署权限的令牌——这把钥匙，最终打开了钱包系统的大门。

第四阶段：发动最终攻击（10月29日）

10月29日17:15至19:56期间，攻击者登录软件工程师C的电脑，使用从钱包DevOps工程师A处窃取的凭证部署了一个容器，并触发恶意脚本，最终发起了这场震惊行业的攻击。

从6月的供应链攻击埋下信息伏笔，到9月的虚假招聘攻陷终端，再到10月利用AI工具横向渗透，最终在10月29日发动总攻——整个攻击链条跨越了近5个月，每一步都经过精心策划，每一个环节都为下一步创造条件。

已采取的措施：紧急止损与系统重建

截至2026年11月3日，币安已采取以下措施控制事件影响并加强安全防护：

• 🏗️ 在全新环境中重建受影响的钱包系统，确保攻击入口被彻底清除
• 🔧 重建受影响的内部AI工具及其访问控制系统，修补被利用的跳板
• 💻 更换受影响的设备，从硬件层面切断威胁
• 🔑 撤销受影响工程师相关的凭证和令牌，阻断未授权访问路径
• 🛡️ 完成对所有员工设备的强化安全扫描，排查潜在威胁
• 🤖 增强基于AI的行为异常检测能力，提升主动防御水平
• 💰 强化钱包服务的风险控制措施，加固资产保护屏障
• 🤝 与执法机构、区块链情报公司及行业合作伙伴合作，追踪并冻结受影响资产

币安表示，已确认被攻击者利用的入侵入口均已关闭，攻击路径中涉及的系统也已重建或替换。随着调查持续推进，将继续加强相关安全措施。部分已实施及正在实施的安全措施将继续保密，以防止恶意攻击者利用相关信息破坏安全防护体系。

后续行动：独立审查与安全升级

币安正在立即推进以下工作，以从此次事件中汲取教训并全面提升安全水平：

1. 开展独立网络安全审查

币安正在聘请独立第三方网络安全专家，对此次事件开展全面审查，验证现有调查结果，并提出进一步的安全改进建议。审查范围及最终结果将为后续整改工作提供依据。

2. 加大AI安全与主动防御投入

币安将增加对AI驱动的威胁检测、终端防护、开发环境安全以及行为异常监控等领域的投入。具有讽刺意味的是，此次攻击中AI工具被攻击者用作跳板，而未来AI也将成为防御攻击的核心力量。

3. 设立安全研究基金并推动行业合作

币安正在与领先的AI公司、行业参与者及安全公司合作，计划设立安全研究基金，并围绕区块链环境中的AI安全开展专项研究和行业合作项目。

币安承诺，随着调查取得进一步进展，将继续主动向外界披露相关信息。

写在最后：行业警钟与安全启示

币安63.4亿美元被盗事件，不仅仅是一家交易所的安全事故，更是整个加密货币行业的警钟。它揭示了几个令人深思的现实：

1. 人的防线永远是最薄弱的一环：再坚固的技术防线，也可能因为一次精心设计的社会工程学攻击而被突破。
2. AI是把双刃剑：AI工具在提升效率的同时，也可能成为攻击者横向渗透的跳板，内部AI工具的安全管控亟待加强。
3. 链上机制的两面性：EIP-7702等创新机制在提升用户体验的同时，也可能被滥用以绕过传统安全防线，智能合约授权的安全边界需要重新审视。
4. 国家级攻击是行业常态：57起疑似朝鲜背景的攻击，最终有一起得手——这不是概率问题，而是时间问题。行业必须做好与国家级攻击者长期博弈的准备。

\"此次事件本不应发生\"——币安在报告中的这句话，或许是所有安全从业者最不愿意听到、却又最需要铭记的反思。在区块链的黑暗森林中，没有绝对的安全，只有永不停歇的攻防博弈。

来源：币安官方公告 | 编译整理：大钳子

原文链接：panewslab.com

关注我们

 还在等什么？赶紧点击下方名片开始学习吧 

知 识 星 球

星球已过800人，暂不再发放优惠券，如还有需要的师傅可加我VX：S\_3had0w，等你一起来学习...！

推 荐 阅 读