Binance发布复盘报告:假面试导致63亿美元热钱包失窃

一场假面试与一个被篡改的安装包

Binance于11月3日发布了针对10月29日安全事件的初步复盘报告,该事件导致其热钱包被盗约63亿美元。在这份交易所官方事件报告中,公司还原了整场入侵的来龙去脉:攻击从一次假面试开始,分多个阶段推进数月,资金才最终转出。联席首席执行官Richard Teng将其定性为一场长期、有组织的行动。FBI已于10月31日将此案归因于与朝鲜关联的黑客组织TraderTraitor,而这份报告首次完整披露了这起史上规模最大的交易所失窃案是如何一步步策划成形的。

报告把攻击源头追溯到今年6月。当时一名钱包开发运维工程师在安装AI编程工具时,下载了一个被篡改的Homebrew安装包。Binance安全团队发现了异常,更换了设备并轮换了凭证,但该工程师的角色以及钱包基础设施同事的身份已经暴露。到了9月,一名在个人资料中写明供职于Binance的软件工程师,在一个正规招聘平台上被伪装成项目负责人的攻击者联系。在经历一场由假招聘人员进行的视频面试和第二轮所谓首席执行官面试后,他被要求把一个编程测试任务下载到工作电脑上。该文件携带恶意程序,把开发工具pyenv替换为恶意版本,完全绕过了终端安全检测。

10月20日,攻击者利用这台被入侵的电脑和一个内部AI工具,控制了两名钱包工程师的计算机,并从中获取了容器部署凭证。10月29日,他们用窃取的凭证部署了一个服务容器,对Binance的钱包签名系统执行了恶意脚本。五个热钱包在四分钟内转出2.3346亿枚XRP,随后又转出约97万枚SOL、4420万枚OP和18,270枚BTC。攻击者通过签名服务发出了50笔交易,操纵账户随机数,并滥用EIP-7702(以太坊的账户执行委托机制)让一个恶意智能合约部分控制了一个热钱包。暂停提现无法阻断资金流出:最后一笔未授权转账为2,961.9枚ETH,在首次转账发生近四小时后广播并确认。Binance直到10月30日00:10(UTC时间),通过发送一笔指向零地址的新授权,才解除该委托。

冻结28.5亿美元,98%资产已补足

Binance表示,约有28.5亿美元资金已被冻结或拦截。截至10月31日,约98%的受影响代币资产已由交易所动用自有资金补足,其余流动性较差的资产仍在回购过程中。全部损失由交易所自行承担,不会转嫁给用户。联席首席执行官Richard Teng在X上确认提现已基本恢复,并将成功冻结资金归功于执法机构、稳定币发行方和链上分析公司的协作。报告列出了已完成的整改事项:受影响的钱包系统和内部AI工具已在全新环境中重建,涉事设备全部更换,工程师凭证被吊销,并对全体员工设备进行了安全扫描。下一步是独立第三方审计和设立安全研究基金。

@_RichardTeng · X 帖子

确认提现已基本恢复.

在 X 上查看

金与正否认朝鲜参与

朝鲜方面正式否认了这一归因。朝鲜领导人胞妹、执政党高级官员金与正在星期二通过官方媒体朝中社发表的声明中,斥责FBI的指控是“无稽之谈”,称这是把朝鲜描绘成“网络犯罪国家”的政治宣传。她在没有提供证据的情况下暗示,调查谁有权接触被追回的资金,或许能找出真正的幕后黑手,并再次否认朝鲜参与了2025年2月的Bybit被盗事件。美方尚未回应其声明。包括TRM Labs、Chainalysis和ZachXBT在内的区块链调查人员坚持认为,链上和技术证据均指向TraderTraitor组织。

洗钱路径与市场震荡

大部分被盗资金仍在转移中,尚未被追回。链上分析机构Elliptic估计,目前约有31.8亿美元仍停留在与盗窃相关的地址中,主要是BTC和ETH。该机构在三天半内追踪了11条区块链上的约1.2万个钱包和超过4万笔交易。TRM Labs记录到资金通过自铸代币和跨链桥层层转移,Chainalysis则观察到一些地址恰好收到1枚TRX,这是自动化转账的典型特征。ZachXBT还指出与Bitget被盗案存在关联,部分赃款经THORChain转移后发生了合流。市场方面,BTC和ETH价格在企稳前一度分别下跌5.0%和6.1%;提现恢复后,交易所净流出达47.2亿美元,不过随后有27亿美元资金回流。

EIP-7702才是结构性风险所在

这份复盘报告的核心教训在于:这不是私钥泄露,而是权限失控。攻击者自始至终没有拿到私钥,而是拿到了一项委托执行权限,而EIP-7702把这项权限写上了链,任何提现暂停措施都触及不到它。这个区别对每一个在托管式加密货币钱包和自托管之间权衡的用户都有意义:使用硬件钱包或冷钱包可以完全消除交易所这一交易对手风险,代价是把操作负担转移到自己身上。Binance透露,在本次事件得手之前,其2026年已拦截了57起疑似与朝鲜关联的攻击,足见交易所防御体系承受的压力。交易所创始人CZ警告说,AI驱动的攻击将成倍增加,行业必须以AI对抗AI攻击者,报告中规划的安全投入似乎正是对这一判断的回应。