虚假招聘釣魚？幣安披露北韓關聯攻擊全鏈條

原文來自幣安官方

2026 年 10 月 29 日，幣安發生了一起嚴重且高度複雜的安全事件。這本不應發生。對於此次事件給用戶、合作夥伴及整個行業帶來的擔憂、影響和不確定性，我們深表歉意。

保護用戶是我們的首要責任。被盜資金造成的財務影響將由幣安承擔，而不會轉嫁給用戶。我們已預留超過損失金額 100%的資金用於彌補損失。截至 2026 年 10 月 31 日，受影響的代幣資產中已有 98%得到補足，並可在我們的儲備金證明頁面上查證。我們正在購買尚未補足、流動性較低的資產。

此次事件影響了約 63.4 億美元的數位資產。截至本次更新，約 28.5 億美元的數位資產已被凍結或攔截，具體金額仍需核對，並可能受市場價格波動影響。

我們已立即採取行動遏制事件，並加強相關系統。已關閉確認在此次攻擊中被利用的入口。攻擊路徑上涉及的系統已重建或更換。我們還實施了更嚴格的設備管控、加強了錢包服務風險控制，並擴大了基於 AI 的行為異常偵測。

這是我們的初步報告，介紹了我們目前掌握的資訊以及已完成的改進。調查仍在進行中，我們的調查結果還將接受進一步的獨立審查。為防止惡意行為者利用相關資訊策劃攻擊，部分技術細節將繼續保密。我們正在邀請獨立安全公司開展進一步審查。

聯邦調查局發布的最新資訊表明，朝鮮民主主義人民共和國應對此次事件負責。

我們發布這份初步報告，是因為行業共同學習有助於提升安全水準。

10 月 29 日發生的情況

攻擊迅速蔓延至多個網路。

攻擊者利用對內部錢包簽名服務的未授權存取，在正常提現流程之外發起交易。

UTC 時間 20:05 至 20:09 期間，五個 Binance 熱錢包向攻擊者控制的地址轉出了 2.3346 億 XRP。

Solana 和 Optimism 上的 Binance 熱錢包向攻擊者控制的地址轉出了約 970,500 SOL 和 4,420 萬 OP。

隨後，Binance 收到一則關於大額轉帳的內部警報，並立即展開調查。

Binance 熱錢包向攻擊者控制的地址轉出了 18,270 BTC。

隨後，攻擊者利用簽名服務濫用以太坊的 EIP-7702 授權機制。EIP-7702 允許帳戶將某些執行權限委託給智慧合約，而無需暴露私鑰。在本案中，攻擊者利用該機制，向其控制的智慧合約授予了對 Binance 熱錢包的部分執行權限。

Binance 立即啟動了多項遏制措施，包括暫停提現以限制進一步的資產流出、與合作夥伴協調凍結受影響代幣，以及採取措施撤銷未授權權限。這些努力共凍結了價值 28.5 億美元的資產。

然而，僅暫停提現無法阻止所有未經授權的資產轉移。惡意 EIP-7702 授權已存在於鏈上，其運行獨立於 Binance 的常規提現基礎設施。攻擊者提交了 50 筆簽名交易，以操縱帳戶 nonce 並建立惡意委託授權。授權建立後，攻擊者便能繼續獨立於 Binance 的常規提現基礎設施轉移資產。Binance 需要透過額外交易撤銷這些鏈上授權。

遏制過程還涉及其他技術複雜性。由於該熱錢包使用多方計算（MPC），不存在可用於立即撤銷惡意 EIP-7702 授權的單一私鑰。因此，團隊制定並執行了一套專門的撤銷流程，這需要額外時間。此外，暫停提現和關閉熱錢包服務並不會自動使現有鏈上授權失效。

這些挑戰延長了全面遏制未經授權資產轉移所需的時間。我們正在審查事件回應流程、簽名策略覆蓋範圍和熱錢包控制措施，並尋找機會，進一步提升未來快速應對威脅的能力。

最後一筆未經授權的轉帳涉及 2,961.9 ETH，於 UTC 時間 23:56 在鏈上完成。該交易此前已廣播並處於待處理狀態，隨後才最終確認。此後未觀察到其他未經授權的轉帳。

2026 年 10 月 30 日 UTC 時間 00:10，Binance 從 Binance14 熱錢包向零地址執行了一筆新的授權，清除了 EIP-7702 委託程式碼。

攻擊準備

我們目前的調查表明，這是一次複雜的多階段行動，並非單一的孤立安全漏洞或簡單的網路釣魚事件。攻擊者結合使用了多種技術，包括透過虛假招聘面試進行社會工程攻擊、下載惡意軟體、入侵內部 AI 工具、入侵終端，以及採用先進的交易授權方式。

• 2026 年 6 月——供應鏈攻擊。Wallet DevOps 的工程師 A 在搜尋引擎上搜尋一款熱門 AI 程式設計工具後，下載了被篡改的 Homebrew 安裝程式，以安裝該工具。我們的安全團隊偵測到異常後，更換了設備並輪換了所有相關憑證，作為主動採取的安全措施。然而，工程師 A 的身份及其在錢包基礎設施團隊的相關同事資訊已暴露給駭客。
• 2026 年全年，Binance 安全團隊偵測並阻止了 57 起疑似與朝鮮有關聯的網路威脅事件。這些攻擊反映出國家支持的行為者對加密貨幣行業構成持續威脅。他們使用的手段包括虛假求職面試、偽裝成熱門開發工具的惡意軟體、遭入侵的軟體套件和瀏覽器擴充功能、虛假視訊會議應用，以及旨在竊取憑證或部署遠端存取惡意軟體的社會工程活動。
• 2026 年 9 月——社會工程攻擊。軟體工程師 B 透過一個正規的求職平台聯繫到一名自稱專案總監的人。軟體工程師 B 在該平台上的個人資料提及了他在 Binance 的工作經歷。自稱專案總監的人安排了第一輪面試，由一名人力資源代表主持；隨後又安排了第二輪面試，面試者自稱是一家虛構公司的執行長。
• 第一輪面試中，自稱人力資源代表的人與軟體工程師 B 進行了即時視訊面試。為了建立信任，面試者向他分享了自己的社群媒體帳號，其中包含發布在該平台上的個人照片和影片。這種手法比以往見到的社會工程攻擊更加先進且具有欺騙性。
• 第二輪面試在一款熱門社交聊天應用中進行。面試快結束時，工程師 B 被要求將一個包含惡意程式碼倉庫的「作業」下載到工作電腦上。該程式碼倉庫中的惡意程式碼在設定過程中執行，並開始進行一系列未經授權的活動。
• 該惡意軟體採用了複雜的混淆和規避技術，包括用惡意版本替換正版開發工具元件，以執行命令並與攻擊者控制的外部伺服器建立通訊。當時，終端安全防護工具未能偵測到這種零日惡意軟體。攻擊者還採取措施掩蓋惡意活動並清除入侵痕跡，使偵測和後續調查更具挑戰性。
• 腳本透過應用混淆技術來規避安全偵測，並執行了以下步驟。

建立 /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_

修改 pyenv_ → 3,414 B

刪除 .../libexec/pyenv (3,344 B) ← 移除有效的 pyenv

重新命名 pyenv_ → pyenv (3,414 B) ← 替換為惡意版本

刪除 /opt/homebrew/bin/pyenv (3,414 B)

ln （建立新的符號連結） + 啟動 zsh

• 2026 年 10 月 20 日——利用內部 AI 工具作為跳板。攻擊者利用工程師 B 被入侵的電腦，透過內部 AI 工具控制了 Wallet DevOps 工程師 A 和另一名錢包軟體工程師 C。攻擊者很快發現，Wallet DevOps 工程師 A 的電腦上有一個容器部署權限權杖。
• 2026 年 10 月 29 日——侵入錢包簽名操作。10 月 29 日 17:15 至 19:56 期間，攻擊者登入軟體工程師 C 的電腦，使用從 Wallet DevOps 工程師 A 處竊取的憑證部署了一個容器，並觸發惡意腳本發起攻擊。

我們已採取的措施

截至 2026 年 11 月 3 日，我們已採取以下措施：

• 在新環境中重建受影響的錢包系統。
• 重建受影響的內部 AI 工具並加強存取控制。
• 更換受影響的設備。
• 停用受影響工程師的相關憑證和權杖。
• 完成對所有員工設備的增強安全掃描。
• 加強基於 AI 的行為異常偵測。
• 加強錢包服務風險控制。
• 與執法部門、區塊鏈情報公司和行業合作夥伴共同追蹤並凍結受影響資產。

隨著調查推進，我們將繼續加強各項措施。我們已實施並正在實施多項安全措施。為防止惡意行為者利用相關資訊破壞我們的安全，其中一些措施將繼續保密。

後續措施

我們正在立即採取以下措施。

1. 獨立網路安全審查

我們正在邀請獨立的第三方網路安全專家，對此次事件進行全面審查、驗證我們的調查結果並提出補充措施。審查的範圍和結果將為我們持續開展的補救工作提供依據。

2. 加大對 AI 安全和預防的投入

我們正在加大對 AI 賦能的偵測、終端防護、開發環境安全和行為異常監控的投入。

3. 安全研究基金和行業倡議

我們正在與領先的 AI 公司、行業參與者和安全公司合作，籌建安全研究基金，並在區塊鏈環境下開展聚焦 AI 安全的專項倡議。

我們將繼續主動分享最新資訊。