加密货币：币安黑客攻击始于一次虚假的面试

虚假招聘诱饵：黑客在63亿美元加密资产失窃前入侵币安

2026年10月29日，一起涉及63.4亿美元的加密货币盗窃案震惊业界。据币安（Binance）于11月3日发布的报告披露，此次攻击是一场历时数月的复杂渗透行动，黑客利用了恶意软件、被盗凭证以及内部人工智能（AI）工具的滥用，最终突破了负责授权币安加密货币钱包交易的基础设施防线。

事件概要

黑客通过两次虚假面试，诱骗一名币安工程师下载了包含恶意代码的编程作业。随后，攻击者利用内部AI工具和被盗的部署凭证访问了钱包系统。目前，币安已冻结或拦截价值28.5亿美元的资金，并补充了受影响资产的98%。

精心策划的招聘陷阱

调查结果显示，这次行动远比最初怀疑的要漫长和周密。在发生与朝鲜背景黑客相关的币安黑客事件后，交易所将首次发现异常的时间追溯至2026年6月，即盗窃发生前的四个月。

当时，一名负责钱包运营的工程师在寻找AI辅助编程工具时，下载了一个被篡改的Homebrew安装程序。Homebrew是macOS和Linux开发者常用的软件包管理器。尽管币安检测到了这一可疑安装行为，更换了该员工的电脑并重置了相关凭证，但攻击者已经收集到了关于该工程师职责及同事的信息。

同年9月，第二波操作随即展开。另一名币安工程师通过正规招聘平台收到了一位自称“项目总监”的联系。对方提供了一份软件开发职位。候选人首先与一位伪装成人力资源代表的骗子进行了视频面试，对方分享了社交媒体资料和个人照片以增强可信度。随后，候选人又与一名冒充公司CEO的人进行了第二轮面试。

在流程结束时，该工程师收到了一项编程作业，要求在其工作电脑上下载一个代码仓库。隐藏其中的恶意软件旨在安装过程中执行。据币安称，该恶意软件突破了设备的安全防护，为攻击者提供了进入另一台员工电脑的入口。值得注意的是，攻击者在长达数月的准备中并未直接针对区块链进行攻击。

滥用内部AI工具突破防线

10月20日，攻击进入下一阶段。利用之前通过虚假招聘过程攻陷的计算机，攻击者利用内部AI工具接触到了两名参与币安钱包基础设施的工程师。他们在一台受感染的设备上发现了一个部署令牌（Deployment Token），该凭证允许他们在公司内部基础设施中部署软件容器。

这一访问权限在九天后变得至关重要。币安强调，这不应被描述为自主进行的AI攻击，而是黑客作为人类操作员主导的入侵行动中，对现有内部工具的误用。

随着行业面临其他网络安全威胁，AI的角色正受到广泛关注。此前有媒体报道了一起影响Chainalysis的AI辅助入侵事件，但该公司表示该事件与币安盗窃案无关。

10月29日UTC时间17:15至19:56之间，攻击者访问了第三名工程师的电脑。他们利用被盗的权限部署容器并执行与钱包交易签名连接的恶意脚本。UTC时间20:05，未经授权的交易开始发生。

短短四分钟内，五个钱包向攻击者控制的地址转移了2.3346亿枚XRP。其他交易还涉及970,500枚SOL、18,270枚BTC以及约4420万枚OP代币。以太坊方面则带来了额外的技术挑战：攻击者使用了EIP-7702机制（2025年引入），该机制允许将某些钱包操作委托给智能合约。恶意授权使得交易得以绕过币安正常的提款流程。币安表示，已于10月30日UTC时间00:10完成了受影响委托的撤销。然而，数十亿美元资金在此前已离开其钱包。

资产恢复与安全加固

币安估计此次事件影响了约63.4亿美元的数字资产。根据其11月3日的报告，约28.5亿美元已被冻结或拦截。此外，币安宣布使用公司资源补充了受影响资产的98%。

需要澄清的是，这两个措施含义不同。“98%”的数据并不意味着黑客归还了近全部被盗加密货币，而是指币安从自身储备和其他财务资源中替换了这些资产。公司明确表示，客户不会承担任何财务损失。

目前，币安已更换受损电脑，撤销受影响凭证，并重建了交易签名环境。其内部AI工具也已重新安装并实施了更严格的访问控制。独立网络安全审查计划正在进行中。币安还声称，在2026年期间检测到并阻止了57起疑似与朝鲜相关的网络攻击尝试。

美国联邦调查局（FBI）已将10月29日的盗窃案归咎于与朝鲜有关的组织“TraderTraitor”，平壤方面否认了这一指控。追回被盗资产与重建币安的安全系统是两项独立的挑战。对于用户而言，提现服务的恢复和交易所的财务状况将是重要的观察指标。据报道，黑客事件发生后，币安记录了23亿美元的日常净流入，尽管这些存款并不能抹去之前的提款记录。未来币安的安全披露将有助于确认本次操作中利用的弱点是否已得到彻底解决。