編譯：大鉗子
11月3日，幣安發布10月29日安全事件初步調查報告，披露了此次攻擊的完整過程及幕後攻擊者的滲透路徑。報告顯示，攻擊者透過虛假招聘面試、惡意軟件及被入侵的內部AI工具，逐步控制多名員工的設備，最終獲取錢包簽名權限，並利用EIP-7702授權機制繞過正常提現流程轉移資產。
此次事件涉及資產總額約63.4億美元，截至報告發布時，已有約28.5億美元資產被凍結或攔截，受影響代幣資產中98%已完成補足。幣安表示，相關損失將由平台承擔，並已著手重建受影響系統、強化安全防護，同時聘請獨立第三方開展進一步審查。報告還指出，美國聯邦調查局最新資訊顯示，朝鮮應對此次事件負責。
以下為全文：
2026 年 10 月 29 日，幣安遭遇了一起嚴重且高度複雜的安全事件。此次事件本不應發生，對於給用戶、合作夥伴及整個行業帶來的擔憂、業務中斷和不確定性，我們深表歉意。
保護用戶始終是我們的首要責任。此次被盜資金造成的財務損失將由幣安承擔，而不會轉嫁給用戶。我們已預留超過損失金額 100% 的資金用於彌補損失。截至 2026 年 10 月 31 日，受影響代幣資產中已有 98% 完成補足，用戶可透過儲備金證明頁面進行驗證。對於尚未補足的部分流動性較差的資產，我們正在進行採購。
此次事件涉及的數字資產總額約為 63.4 億美元。截至本次報告發布時，已有約 28.5 億美元的數字資產被凍結或攔截，具體金額仍需進一步核對，並可能受到市場價格波動影響。
我們已立即採取行動控制事件影響，並加強涉事系統的安全性。已確認被攻擊者利用的入侵入口均已關閉，攻擊路徑中涉及的系統也已重建或替換。此外，我們還進一步收緊了設備管控措施，強化錢包服務的風險控制，並擴大基於 AI 的行為異常檢測能力。
本報告為初步調查報告，涵蓋了我們目前掌握的情況以及已經完成的安全改進。調查仍在進行中，相關調查結果還將接受進一步的獨立審查。為防止惡意攻擊者利用相關資訊策劃攻擊，部分技術細節將繼續保密。我們正在聘請獨立安全公司開展進一步審查。
美國聯邦調查局（FBI）最新發布的資訊顯示，朝鮮民主主義人民共和國（DPRK）應對此次事件負責。
我們選擇公布這份初步報告，是因為只有整個行業共同吸取經驗教訓，才能推動安全水平持續提升。
10 月 29 日發生了什麼
此次攻擊在多個網絡上迅速展開。
攻擊者利用對內部錢包簽名服務的未授權存取權限，在正常提現流程之外發起交易。
UTC 時間 20:05 至 20:09 期間，幣安的五個熱錢包向攻擊者控制的地址轉出了 2.3346 億枚 XRP。
隨後，幣安部署在 Solana 和 Optimism 網絡上的熱錢包分別向攻擊者控制的地址轉出了約 97.05 萬枚 SOL 和 4420 萬枚 OP。
此後，幣安收到一條有關大額資產轉移的內部警報，並立即展開調查。
幣安的一個熱錢包隨後向攻擊者控制的地址轉出了 18,270 枚 BTC。
之後，攻擊者利用簽名服務，進一步濫用以太坊 EIP-7702 授權機制。
EIP-7702 允許賬戶在不暴露私鑰的情況下，將部分執行權限委託給智能合約。在此次事件中，攻擊者利用該機制，使一個由其控制的智能合約獲得了對幣安某個熱錢包的部分執行權限。
幣安隨即啟動多項應急措施，包括暫停提現以限制進一步的資金流出、協調合作夥伴凍結受影響代幣，以及採取措施撤銷未經授權的權限。透過這些行動，共有 28.5 億美元資產被凍結。
然而，僅暫停提現並不足以阻止所有未經授權的資產轉移。惡意 EIP-7702 授權已存在於鏈上，其運行獨立於幣安正常的提現基礎設施。
攻擊者共提交了 50 筆簽名交易，透過操縱賬戶 Nonce（交易序號）建立惡意委託授權。一旦這些授權建立，攻擊者便能夠繞過幣安正常的提現基礎設施，繼續轉移資產。幣安必須額外發起交易，才能撤銷這些鏈上授權。
整個資產控制過程還面臨其他技術複雜性。由於涉事熱錢包採用多方計算（MPC）技術，因此不存在一個可以直接使用、立即撤銷惡意 EIP-7702 授權的單一私鑰。為此，團隊需要專門開發並執行一套特殊的撤銷流程，這也需要額外時間。
此外，暫停提現和關閉熱錢包服務，並不會自動使已經存在的鏈上授權失效。
這些挑戰延長了完全控制未經授權資產轉移所需的時間。我們正在復盤此次事件的應急響應流程、簽名策略覆蓋範圍及熱錢包控制措施，並尋找進一步提升未來威脅響應速度的機會。
最後一筆未經授權的轉賬為 2,961.9 枚 ETH，於 23:56 UTC 在鏈上最終確認。該筆交易此前已廣播並處於待處理狀態，隨後才最終完成確認。此後未再觀察到其他未經授權的轉賬。
2026 年 10 月 30 日 00:10 UTC，幣安透過 Binance14 熱錢包向零地址執行了一筆新的授權交易，清除了 EIP-7702 委託代碼。
攻擊準備過程
目前的調查顯示，此次事件是一次複雜的多階段攻擊行動，並非單一的孤立入侵事件，也不是簡單的釣魚攻擊。
攻擊者綜合使用了多種技術手段，包括透過虛假招聘面試實施社會工程學攻擊、誘導下載惡意軟件、利用被入侵的內部 AI 工具、攻陷員工終端設備，以及採用先進的交易授權技術。
2026 年 6 月——供應鏈攻擊。 錢包 DevOps 團隊的工程師 A 在搜尋引擎上搜尋一款熱門 AI 編程工具後，下載了一個被篡改的 Homebrew 安裝包，並試圖透過該安裝包安裝相關工具。幣安安全團隊檢測到了異常，主動更換了該設備，並輪換了所有相關憑證。然而，工程師 A 的崗位資訊及其在錢包基礎設施團隊中的相關同事資訊已經暴露給攻擊者。
2026 年全年——持續的網絡攻擊。 2026 年以來，幣安安全團隊已檢測並阻止了 57 起疑似與朝鮮有關的網絡威脅事件。這些攻擊反映出國家背景的攻擊者持續將加密貨幣行業作為目標。相關攻擊手段包括虛假招聘面試、偽裝成熱門開發工具的惡意軟件、被篡改的軟件包和瀏覽器擴展程序、虛假視頻會議應用，以及旨在竊取憑證或部署遠程存取惡意軟件的社會工程學攻擊。
9 月——社會工程學攻擊。 軟件工程師 B 透過一個正規的求職平台收到一名自稱項目總監的人員發來的聯繫資訊。工程師 B 在該平台上的個人資料中提及了自己曾在幣安工作的經歷。對方安排了一輪由人力資源代表主持的面試，隨後又安排第二輪面試，由一名自稱某虛構公司 CEO 的人員參與。
在第一輪面試中，自稱 HR 代表的人員與軟件工程師 B 進行了實時視頻面試。為了建立信任，面試者還向工程師 B 分享了自己的社交媒體賬號，其中包含其在該平台發布的個人照片和視頻。這種手法比以往觀察到的社會工程學攻擊方式更加複雜和具有欺騙性。
第二輪面試透過一款熱門社交聊天應用進行。面試接近尾聲時，工程師 B 被要求在工作電腦上下載一個名為「作業」的文件，其中包含一個惡意代碼倉庫。該代碼倉庫中的惡意代碼在安裝過程中自動執行，進而引發一系列未經授權的操作。
該惡意軟件採用了複雜的代碼混淆和規避檢測技術，包括將一個合法開發工具組件替換為惡意版本，以執行命令並與攻擊者控制的外部伺服器建立通信。當時，終端安全防護工具未能檢測到這一零日（0-day）惡意軟件。攻擊者還採取措施隱藏惡意活動並清除相關痕跡，進一步增加了檢測和後續調查的難度。
該腳本透過代碼混淆技術規避安全檢測，具體執行了以下操作：
10 月 20 日——利用內部 AI 工具作為攻擊跳板。 攻擊者利用已被攻陷的工程師 B 的電腦，透過幣安內部 AI 工具進一步控制了錢包 DevOps 工程師 A 和另一名錢包軟件工程師 C 的設備。攻擊者很快發現，錢包 DevOps 工程師 A 的電腦中存有一個具有容器部署權限的令牌。
10 月 29 日——滲透錢包簽名操作。 10 月 29 日 17:15 至 19:56 期間，攻擊者登入軟件工程師 C 的電腦，使用從錢包 DevOps 工程師 A 處竊取的憑證部署了一個容器，並觸發惡意腳本，最終發起此次攻擊。
已採取的措施
截至 2026 年 11 月 3 日，我們已採取以下措施：
-
在全新環境中重建受影響的錢包系統。
-
重建受影響的內部 AI 工具及其存取控制系統。
-
更換受影響的設備。
-
撤銷受影響工程師相關的憑證和令牌。
-
完成對所有員工設備的強化安全掃描。
-
增強基於 AI 的行為異常檢測能力。
-
強化錢包服務的風險控制措施。
-
與執法機構、區塊鏈情報公司及行業合作夥伴合作，追蹤並凍結受影響資產。
隨著調查持續推進，我們將繼續加強相關安全措施。我們已經實施及正在實施的部分安全措施將繼續保密，以防止惡意攻擊者利用相關資訊破壞我們的安全防護體系。
後續行動
我們正在立即推進以下工作：
- 開展獨立網絡安全審查
我們正在聘請獨立第三方網絡安全專家，對此次事件開展全面審查，驗證現有調查結果，並提出進一步的安全改進建議。審查範圍及最終結果將為我們後續的整改工作提供依據。
- 加大 AI 安全與主動防禦投入
我們將增加對 AI 驅動的威脅檢測、終端防護、開發環境安全以及行為異常監控等領域的投入。
- 設立安全研究基金並推動行業合作
我們正在與領先的 AI 公司、行業參與者及安全公司合作，計劃設立安全研究基金，並圍繞區塊鏈環境中的 AI 安全開展專項研究和行業合作項目。
隨著調查取得進一步進展，我們將繼續主動向外界披露相關資訊。
