编译：大钳子
11月3日，币安发布10月29日安全事件初步调查报告，披露了此次攻击的完整过程及幕后攻击者的渗透路径。报告显示，攻击者通过虚假招聘面试、恶意软件及被入侵的内部AI工具，逐步控制多名员工的设备，最终获取钱包签名权限，并利用EIP-7702授权机制绕过正常提现流程转移资产。
此次事件涉及资产总额约63.4亿a美元，截至报告发布时，已有约28.5亿美元资产被冻结或拦截，受影响代币资产中98%已完成补足。币安表示，相关损失将由平台承担，并已着手重建受影响系统、强化安全防护，同时聘请独立第三方开展进一步审查。报告还指出，美国联邦调查局最新信息显示，朝鲜应对此次事件负责。
以下为全文：
2026 年 10 月 29 日，币安遭遇了一起严重且高度复杂的安全事件。此次事件本不应发生，对于给用户、合作伙伴及整个行业带来的担忧、业务中断和不确定性，我们深表歉意。
保护用户始终是我们的首要责任。此次被盗资金造成的财务损失将由币安承担，而不会转嫁给用户。我们已预留超过损失金额 100% 的资金用于弥补损失。截至 2026 年 10 月 31 日，受影响代币资产中已有 98% 完成补足，用户可通过储备金证明页面进行验证。对于尚未补足的部分流动性较差的资产，我们正在进行采购。
此次事件涉及的数字资产总额约为 63.4 亿美元。截至本次报告发布时，已有约 28.5 亿美元的数字资产被冻结或拦截，具体金额仍需进一步核对，并可能受到市场价格波动影响。
我们已立即采取行动控制事件影响，并加强涉事系统的安全性。已确认被攻击者利用的入侵入口均已关闭，攻击路径中涉及的系统也已重建或替换。此外，我们还进一步收紧了设备管控措施，强化钱包服务的风险控制，并扩大基于 AI 的行为异常检测能力。
本报告为初步调查报告，涵盖了我们目前掌握的情况以及已经完成的安全改进。调查仍在进行中，相关调查结果还将接受进一步的独立审查。为防止恶意攻击者利用相关信息策划攻击，部分技术细节将继续保密。我们正在聘请独立安全公司开展进一步审查。
美国联邦调查局（FBI）最新发布的信息显示，朝鲜民主主义人民共和国（DPRK）应对此次事件负责。
我们选择公布这份初步报告，是因为只有整个行业共同吸取经验教训，才能推动安全水平持续提升。
10 月 29 日发生了什么
此次攻击在多个网络上迅速展开。
攻击者利用对内部钱包签名服务的未授权访问权限，在正常提现流程之外发起交易。
UTC 时间 20:05 至 20:09 期间，币安的五个热钱包向攻击者控制的地址转出了 2.3346 亿枚 XRP。
随后，币安部署在 Solana 和 Optimism 网络上的热钱包分别向攻击者控制的地址转出了约 97.05 万枚 SOL 和 4420 万枚 OP。
此后，币安收到一条有关大额资产转移的内部警报，并立即展开调查。
币安的一个热钱包随后向攻击者控制的地址转出了 18,270 枚 BTC。
之后，攻击者利用签名服务，进一步滥用以太坊 EIP-7702 授权机制。
EIP-7702 允许账户在不暴露私钥的情况下，将部分执行权限委托给智能合约。在此次事件中，攻击者利用该机制，使一个由其控制的智能合约获得了对币安某个热钱包的部分执行权限。
币安随即启动多项应急措施，包括暂停提现以限制进一步的资金流出、协调合作伙伴冻结受影响代币，以及采取措施撤销未经授权的权限。通过这些行动，共有 28.5 亿美元资产被冻结。
然而，仅暂停提现并不足以阻止所有未经授权的资产转移。恶意 EIP-7702 授权已存在于链上，其运行独立于币安正常的提现基础设施。
攻击者共提交了 50 笔签名交易，通过操纵账户 Nonce（交易序号）建立恶意委托授权。一旦这些授权建立，攻击者便能够绕过币安正常的提现基础设施，继续转移资产。币安必须额外发起交易，才能撤销这些链上授权。
整个资产控制过程还面临其他技术复杂性。由于涉事热钱包采用多方计算（MPC）技术，因此不存在一个可以直接使用、立即撤销恶意 EIP-7702 授权的单一私钥。为此，团队需要专门开发并执行一套特殊的撤销流程，这也需要额外时间。
此外，暂停提现和关闭热钱包服务，并不会自动使已经存在的链上授权失效。
这些挑战延长了完全控制未经授权资产转移所需的时间。我们正在复盘此次事件的应急响应流程、签名策略覆盖范围及热钱包控制措施，并寻找进一步提升未来威胁响应速度的机会。
最后一笔未经授权的转账为 2,961.9 枚 ETH，于 23:56 UTC 在链上最终确认。该笔交易此前已广播并处于待处理状态，随后才最终完成确认。此后未再观察到其他未经授权的转账。
2026 年 10 月 30 日 00:10 UTC，币安通过 Binance14 热钱包向零地址执行了一笔新的授权交易，清除了 EIP-7702 委托代码。
攻击准备过程
目前的调查显示，此次事件是一次复杂的多阶段攻击行动，并非单一的孤立入侵事件，也不是简单的钓鱼攻击。
攻击者综合使用了多种技术手段，包括通过虚假招聘面试实施社会工程学攻击、诱导下载恶意软件、利用被入侵的内部 AI 工具、攻陷员工终端设备，以及采用先进的交易授权技术。
2026 年 6 月——供应链攻击。 钱包 DevOps 团队的工程师 A 在搜索引擎上搜索一款热门 AI 编程工具后，下载了一个被篡改的 Homebrew 安装包，并试图通过该安装包安装相关工具。币安安全团队检测到了异常，主动更换了该设备，并轮换了所有相关凭证。然而，工程师 A 的岗位信息及其在钱包基础设施团队中的相关同事信息已经暴露给攻击者。
2026 年全年——持续的网络攻击。 2026 年以来，币安安全团队已检测并阻止了 57 起疑似与朝鲜有关的网络威胁事件。这些攻击反映出国家背景的攻击者持续将加密货币行业作为目标。相关攻击手段包括虚假招聘面试、伪装成热门开发工具的恶意软件、被篡改的软件包和浏览器扩展程序、虚假视频会议应用，以及旨在窃取凭证或部署远程访问恶意软件的社会工程学攻击。
9 月——社会工程学攻击。 软件工程师 B 通过一个正规的求职平台收到一名自称项目总监的人员发来的联系信息。工程师 B 在该平台上的个人资料中提及了自己曾在币安工作的经历。对方安排了一轮由人力资源代表主持的面试，随后又安排第二轮面试，由一名自称某虚构公司 CEO 的人员参与。
在第一轮面试中，自称 HR 代表的人员与软件工程师 B 进行了实时视频面试。为了建立信任，面试者还向工程师 B 分享了自己的社交媒体账号，其中包含其在该平台发布的个人照片和视频。这种手法比以往观察到的社会工程学攻击方式更加复杂和具有欺骗性。
第二轮面试通过一款热门社交聊天应用进行。面试接近尾声时，工程师 B 被要求在工作电脑上下载一个名为“作业”的文件，其中包含一个恶意代码仓库。该代码仓库中的恶意代码在安装过程中自动执行，进而引发一系列未经授权的操作。
该恶意软件采用了复杂的代码混淆和规避检测技术，包括将一个合法开发工具组件替换为恶意版本，以执行命令并与攻击者控制的外部服务器建立通信。当时，终端安全防护工具未能检测到这一零日（0-day）恶意软件。攻击者还采取措施隐藏恶意活动并清除相关痕迹，进一步增加了检测和后续调查的难度。
该脚本通过代码混淆技术规避安全检测，具体执行了以下操作：
10 月 20 日——利用内部 AI 工具作为攻击跳板。 攻击者利用已被攻陷的工程师 B 的电脑，通过币安内部 AI 工具进一步控制了钱包 DevOps 工程师 A 和另一名钱包软件工程师 C 的设备。攻击者很快发现，钱包 DevOps 工程师 A 的电脑中存有一个具有容器部署权限的令牌。
10 月 29 日——渗透钱包签名操作。 10 月 29 日 17:15 至 19:56 期间，攻击者登录软件工程师 C 的电脑，使用从钱包 DevOps 工程师 A 处窃取的凭证部署了一个容器，并触发恶意脚本，最终发起此次攻击。
已采取的措施
截至 2026 年 11 月 3 日，我们已采取以下措施：
-
在全新环境中重建受影响的钱包系统。
-
重建受影响的内部 AI 工具及其访问控制系统。
-
更换受影响的设备。
-
撤销受影响工程师相关的凭证和令牌。
-
完成对所有员工设备的强化安全扫描。
-
增强基于 AI 的行为异常检测能力。
-
强化钱包服务的风险控制措施。
-
与执法机构、区块链情报公司及行业合作伙伴合作，追踪并冻结受影响资产。
随着调查持续推进，我们将继续加强相关安全措施。我们已经实施及正在实施的部分安全措施将继续保密，以防止恶意攻击者利用相关信息破坏我们的安全防护体系。
后续行动
我们正在立即推进以下工作：
- 开展独立网络安全审查
我们正在聘请独立第三方网络安全专家，对此次事件开展全面审查，验证现有调查结果，并提出进一步的安全改进建议。审查范围及最终结果将为我们后续的整改工作提供依据。
- 加大 AI 安全与主动防御投入
我们将增加对 AI 驱动的威胁检测、终端防护、开发环境安全以及行为异常监控等领域的投入。
- 设立安全研究基金并推动行业合作
我们正在与领先的 AI 公司、行业参与者及安全公司合作，计划设立安全研究基金，并围绕区块链环境中的 AI 安全开展专项研究和行业合作项目。
随着调查取得进一步进展，我们将继续主动向外界披露相关信息。
