币安称假面试与被滥用的AI工具导致63.4亿美元被盗

币安的说法

币安11月3日发布了事件报告。报告从2026年6月讲起。一名钱包DevOps工程师（报告中称“工程师A”）通过搜索引擎找到一个热门AI编程工具的安装包，下载后发现是被人篡改过的Homebrew版本。币安称当时发现了异常，更换了设备并轮换了凭据。报告还说，工程师A的岗位信息以及钱包基础设施团队同事的信息都暴露给了攻击者。

2026年9月，有人冒充一家虚构公司的项目总监，在一个正规招聘平台上联系了第二名工程师“工程师B”。随后进行了两轮面试。第一轮是与所谓人力资源代表的实时视频通话，对方分享了一个私人社交媒体账号以建立信任。第二轮通过聊天软件进行，对方自称是该公司CEO。接近尾声时，此人让工程师B从一个代码仓库下载一份作业。

该仓库带有恶意软件，在安装过程中被执行。币安称这是定制恶意软件，当时端点工具未能检出。它用一个恶意版本替换了合法开发工具的组件，并在运行时清除了痕迹。

“这不是一次孤立的入侵，也不是简单的钓鱼事件，”该公司在报告中表示。

据The Hacker News报道，10月20日，攻击者利用工程师B被攻陷的电脑和一个内部AI工具，控制了工程师A和另一名钱包工程师“工程师C”的电脑。10月29日17:15至19:56之间，攻击者登录工程师C的电脑，使用从工程师A处窃取的凭据，部署了一个容器并触发了恶意脚本。Wired报道称，黑客在大约20分钟内转移了数十亿美元。

签名服务为何关键

该脚本触及了内部钱包签名服务，也就是授权交易的系统。攻击者因此得以绕过正常提现流程发起转账。币安联席CEO Richard Teng否认一名员工的笔记本电脑是单点故障的说法。Teng对CNBC表示，攻击者“花了几个月时间一步步潜入”。

BleepingComputer报道了第二种机制。攻击者滥用了以太坊的EIP-7702授权功能。这让他们在币安暂停提现后仍能继续转移资金。币安已承认，在冻结之后授权交易仍在继续。

币安表示未发现钱包私钥泄露的证据。该公司称将用用户安全资产基金（Secure Asset Fund for Users）和自有资金覆盖损失。

据The Hacker News报道，攻击者从11条区块链上取走资金，其中82%位于以太坊和比特币上。在受影响的63.4亿美元中，有28.5亿美元已被冻结或拦截，约占45%。The Hacker News报道称，Tether、Circle、Ripple、Arbitrum和Optimism冻结了这28.5亿美元。仅Tether和Circle就冻结了超过15.67亿USDT和8亿USDC，Arbitrum安全委员会冻结了约3050万美元。

清理与资金

据BleepingComputer报道，截至10月31日，币安已补足63.4亿美元受影响资产中的98%。Teng在11月3日对CNBC表示，币安仍在买入剩余流动性较差的资产。

到11月3日，该交易所已重建受影响的钱包系统和内部AI工具。它更换了设备，停用了被攻陷的凭据，并完成了对员工机器的加强扫描。提现分阶段恢复。据The Hacker News报道，币安称于11月1日协调世界时6时开始分阶段恢复提现。Teng对CNBC表示，一位独立专家将审查“我们所做的一切”。

朝鲜与总数

FBI于10月31日将此次窃案归咎于与朝鲜有关联的组织TraderTraitor。币安本身没有点名TraderTraitor，而是援引FBI的归因。币安称其安全团队在2026年发现并阻止了57起疑似与朝鲜有关的案件。Elliptic表示，仅这一起事件就几乎让朝鲜盗取的加密资产总额翻倍，该机构称近年来这一总额超过65亿。这与数字一致：63.4亿美元的窃案接近此前的总额，因此累计数字大约会翻倍。

这次窃案超过了2025年2月的Bybit被盗案，The Hacker News称该案金额为14.6亿美元。Wired称TraderTraitor去年在另一起黑客事件中盗走超过15亿。

币安和CNBC将损失定为63.4亿美元，本文采用这一数字。The Hacker News称窃案金额为64.3亿美元。Chainalysis估计被盗时约为59.12亿美元，称这几乎是第二大窃案的四倍。

接下来会怎样

币安称正与执法部门和行业伙伴昼夜不停地追踪并冻结剩余资金。FBI表示预计攻击者主要会将盗取资产兑换成以太坊。该局称他们随后会通过DeFi和即时兑换服务洗钱。

随着核查完成，提现将逐步恢复。