币安遭黑客攻击：假面试如何导致巨额资产被盗 · 话题榜 · TwKit

@star_okx

我真心不想在竞争对手遭遇危机的时候批评他们。我真正希望的是，我们能够与他们携手合作，共同提高安全标准，更好地保护整个加密行业。 但我不得不说，那位自称已经不再管理币安的“币圈首富”（你们真的相信吗？）最近接受的采访，实在让我感到恶心。 整场采访充斥着胡说八道和误导性言论。他似乎在淡化自身应承担的责任，甚至试图通过贬低传统银行的安全性，为自己的失败寻找借口。 在这样一场危机中，我们本应看到的是责任担当和行业领导力。但这场采访给人的感觉，却是在不断推卸责任、转移焦点。 这绝不是我们这个行业需要的领导力。 自从事件发生以来，这位“币圈首富”似乎就一直停不下来： 1. 社交媒体上最活跃的人之一。 在整场危机期间，他可以说是币安相关人士中在社交媒体上发声最多、最活跃的一个。 2. 还有时间和马斯克吵架。 在如此严重的安全危机期间，他居然还有精力与 Elon Musk（@elonmusk）争论 SpaceX 股票投资的问题。 3. 反复强调“只有2%的资金流出币安”。 仿佛这个数字就能回答大家对平台安全性的根本质疑。 4. 继续开展营销活动吸引用户存款。 即使危机仍在持续，吸引新资金流入的营销活动也没有停止。 5. 试图暗示传统银行的安全性更差。 一个自称专业的加密行业领导者，怎么能做出如此具有误导性的比较？传统银行与加密交易所面对的威胁模型、攻击面以及安全事故的后果，都存在根本性差异。脱离这些背景进行简单比较，是极其不负责任的。 6. 几乎每次发声，都似乎把一位怀孕的女性推到危机最前线。 而自己则反复加上同一句免责声明：“我已经不管理币安了。” 与此同时，整个加密行业却在为这场危机付出代价： 1. 比特币价格据报道从约81,000美元跌至75,000美元。 市场在动荡中遭受了明显冲击。 2. 数十亿美元的杠杆仓位遭到清算。 市场波动引发了大规模的强制平仓。 3. 整个加密行业的公信力可能再次受到重创。 传统资本市场、机构投资者以及全球监管机构，可能因此对整个行业的安全性和可信度产生更深的疑虑。 经历了这一切，他们所谓的“多层安全防御体系”，如今看起来越来越像一个笑话。 我们的行业需要的，不是更多的借口，不是更多的公关话术，而是真正的合作、真正的责任担当，以及切实有效的用户资产保护和安全标准建设。 少一些推卸责任，少一些营销包装，多一些真正的安全投入和行业协作。 这才是我更愿意投入时间和精力去推动的事情。 即使是竞争对手，我也真心希望我们能够携手把这件事做好。

@mars_bnb

币安还是猛的一批啊，24小时净流入已经来到了28亿美元 最关键的是7d流出只有10b了，意味着去掉黑客盗走的，整体资金只有4b的流出了

@DujunX

谢谢认可。李林时代的火币，安全永远是第一位的，客户资产保证金率始终要求 ≥105%。 火币从 2013 年到 2022 年，9 年时间里，前前后后差不多有 1 万名同事参与过公司的建设。大家在工作中，或多或少都了解李林的人品，以及我们当年在安全体系、风控和客户资产保护上的投入。 当然，安全从来不是一件容易的事，也没有哪家机构敢说自己能够做到绝对安全。行业发展到今天，业务规模、技术复杂度和面临的攻击手段，都已经远超当年。 我始终认为，客户资产安全不应该是交易所之间的竞争点，而应该是整个行业共同坚守的底线。 希望未来行业内能有更多合作，推动建立跨平台的安全联盟，在威胁情报共享、风险预警、应急响应和被盗资产追踪等方面形成协作机制。 竞争归竞争，安全归安全。守护客户资产，是我们所有从业者共同的责任。

@haora43401

赵长鹏肉眼可见老了10岁，看来币安这次被重创了。

@evilcos

许多人看了币安披露的被盗过程，觉得其中工程师 A/B/C 怎么这么弱，这种低级错误都犯，权限还那么大。 其实看戏是最轻松的，自己被打了才知道原来还有那么多道道，比如人性利用，情报踩点，恶意代码免杀，信任链利用，针对性横向投毒，云环境渗透，风控绕过，相关 0day 穿插着等等。 这是个 APT（高级持续性威胁）过程… 许多人看完后，更应该看看自己会不会被这类投毒攻击，自己的同事会不会，自己的公司员工会不会…别只看戏吃瓜，好好加强下自己，不要以为只是开始那个社工，其实要黑掉一个目标，方式太多了，你以为的傻逼技巧到你这可能就是个大杀器😅

@sisibinance

有些话，不吐不快！ 63 亿美元，绝不只是一个小数字，是用户交到我们手里的信任。它在币安的系统里被转走，责任就在币安。不在某一位工程师，不在某一项技术标准，责任就在我们。 钱，我们赔。账，大家可以在储备金证明页面自己查。被冻结和拦截的部分，我们会和执法部门、链上机构一起，一笔一笔追回来。 前两天，提币重新开放。那之后，我们所有的精力只放在一件事上，让每一笔提现都顺畅到账。这两天的提现规模，和被盗金额在同一个量级，每一笔我们都兑付了。用户的资产一直都在，我们没有挪用过用户的一分资产。 这是币安的底线。不要看我们说什么，但大家可以实实在在感受到我们做了什么！ 报告发出去之前，内部也讨论过，哪些要讲，讲到什么程度，要不要说得好看一些。最后公司决策层定下来：不做任何修饰，所有事情如实向公众披露。 这是我们的文化，更是我们应尽的信任。说的和做的必须是一回事，绝不说一套、做一套。 我们很清楚，这份报告一发出去，一定会招来大量的质疑和批评。但这些声音是鞭策，也是让这个行业变得更安全的养分，我们全盘接受。所以我们把伤口摊开给大家看了。时间线、攻击路径、恶意脚本的每一步操作，连同我们自己没做好的地方，都写在里面。 为什么要把伤口摊开？因为这一刀，不只砍向币安。按 FBI 的通报，这是国家级的对手。今年以来，我们已经拦下 57 起疑似同一来源的攻击。他们敲的不只是我们这一扇门，把教训锁进抽屉，下一个受到影响的可能是任何一家。 道歉容易，但加固、改正更重要。报告里写到的入侵点，已经全部封堵。截至 11 月 3 日，受影响的钱包系统在全新环境里重建，内部 AI 工具重建并收紧了权限，受影响的设备全部更换，相关凭证和令牌全部作废，全员设备做了一遍强化扫描，钱包风控和异常检测也加了码。大家热议的权限管理和安全机制，我们也在逐项升级。 但也有一些防线，只能修在看不见的地方。公开它，就是把地图交给下一个攻击者。我们自己说的，大家未必信，所以我们请了独立的第三方安全机构来审查，结论出来后，会向大家公开。 很多人问，为什么一台工作电脑能碰到那么多权限，为什么不多设几道防控。实际情况是，门锁、监控、保险柜，多方安全计算签名、提现风控、权限隔离，这些该有的设计都有，也一直在运转。但同时我们也看到，在 AI 时代，很多过去行之有效的安全措施，正在暴露出新的缺口。 这次站在门外的，是什么样的对手？他们有足够的耐心，前后潜伏了几个月，从假招聘、被篡改的开发工具，到零日恶意软件，再把我们的内部 AI 工具变成自己的跳板，一层一层往里走。这不是一台电脑、几个权限被攻破就能完成的事，是一场准备了很久的连续进攻。 说这些，不是为自己开脱。门没看好，就是我们的错。但大家需要知道，AI 时代的攻击，已经来到了这个强度。 对同行，我想多说几句。这几天，有同行提出交易所之间要联防，实时预警，追踪可疑资金，依法及时冻结，大额提现到陌生地址时多加一道验证。这些建议，我们赞同，而且愿意做第一个参与的人，也愿意把这次的攻击特征分享给任何一家交易所，包括我们的竞争对手。 我们虚心接收大家的批评，但安全不是一场看台上的比赛，没有谁能一直坐在看台上。就像同行自己说的，每家每月都在应对这样的攻击。今天站在风口上的是币安，明天可能是任何一家。在这件事上，整个行业是同一条船。 我们越来越觉得，这次的事情不只发生在币安身上，它是整个行业的一个拐点。AI 时代的安全该怎么做，交易所之间该怎么协作，这些问题谁都绕不过去。币安会拿出自己的力量，为行业做出我们的贡献。 我们的态度：认错，整改，接受批评。 所有的意见，全都收下，只要是中肯的，话说得再重，我们都会认真听、积极吸收、认真改。批评越具体，越像一份体检报告，对我们越有用。 最后，也想对个别同行说一句。团结两个字，我们听到了，也愿意相信。但如果一边喊着团结，一边借一场安全事件落井下石，做仇恨宣泄，同时还在水下操作很多见不得人的勾当，这是否名不正言不顺？口口声声专注于行业，但无时不刻行拉踩营销之实，这真的值得歌颂么？行业的进步，靠的是严谨、客观的讨论，而不是拉踩和攻击。这个行业从来都是水涨船高，踩着别人过河的人，河水迟早也会漫到自己脚下。 谢谢这几天支持和批评我们的每一个人！

@bitfool1

你们猜猜 币安会如何处罚这名闯了滔天大祸的员工？

@wolfyxbt

币安刚刚发布了一份初步调查报告 讲解了黑客是如何一步步黑进币安内部，最终盗走 60 多亿美金的，报告比较长，我这里做了个 2 分钟的可视化视频，让大家轻松看懂这份报告。

@star_okx

很多包装和表演最后都被证明就是个草台班子！ 据报道，一起涉及 63亿美元 的安全事件，竟然始于一名员工落入虚假招聘面试陷阱，随后波及另外两名员工，内部 AI 工具也可能被卷入其中。这就是所谓的“多层纵深防御”？ 我不想对竞争对手的安全控制失效做过多揣测。 但我想提醒每一位加密行业用户：在加密行业，过度以营销为导向的企业文化，可能是极其危险的。 你可能在意的是多几个百分点的理财收益，或者一些营销活动的奖励。但黑客和诈骗分子盯上的，是你100%的本金。 在加密行业，安全、责任和合规，永远应该排在营销之前。 再高的收益、再诱人的活动奖励，都无法弥补本金损失带来的伤害。 选择那些真正把保护你的资产放在第一位，而不只是想方设法吸引你资产的平台。

@sanyuanVC

币安被盗的 60 亿美金有望退款！ 之前朝鲜还公开否认，现在改口表示愿意对话了。 说明大概率有实证赖不掉了。 特朗普收钱是真办事啊，真能拿回来，当年罚款算是没白交。

@GlobalMoney

赵长鹏一夜白了头？被金正恩盗走63亿美元之后，赵长鹏(CZ)首次谈及加密交易所被黑是警钟，但银行其实更不安全。这位币安创始人认为，黑客优先打加密，是因为回报最高、流动性最好。随着AI攻击能力提升，整个金融系统，都暴露在同一个风险下。CZ的说法存在明显的逻辑问题：银行可能更容易遭遇网络攻击，不代表银行客户的资金更容易被盗走；加密资产流动性好，也不代表黑客更容易将赃款变成可以安全使用的现金。黑客偏爱加密交易所，未必因为加密资产的市场流动性最好，而是因为：攻击成功后，资产可以快速跨境转移、交易通常不可撤销，而且不必经过传统银行体系的多层审批。不过，稳定币冻结机制以及区块链公开可追踪的特点，也会增加黑客洗钱的难度。

@0xVeryBigOrange

被罚40亿美金，被盗60亿美金，毛估估一百亿美金没了，这世界上有几个企业扛得住的，也就币安扛得起这么造了。。。

@hibtc37

40-63 亿，抽走 103 亿，而且是现金级别，不是估值也不是身价。这换很多公司早死了，这次他们还扛住了挤兑风险，如果再被盗一次，离破产不远了。这么多年头部交易所洗牌很快，交易所风险敞口是极高的，所以一定要暴利才能维持这个中心化体系所需要的成本，我做交易所时，也是战战兢兢，人在这种惶惶不可终日的环境下，每天走钢丝，是很容易衰老的，所以，高息揽存是必然的，后面各种花招搞钱，也是必然的 被罚款 40 亿以后，币安各种动作变形和扭曲，直接下场喊单 meme 币（甚至怀疑发行也有关系），开创技术原因导致穿仓亏损不赔（1011）， 且还改 k 线的历史先河，可以说，这非常恶劣，不断在突破行业底线 这次被金将军偷了 63 亿，后面的动作可想而知了 一个平台被两个国家都搞了一次，还活着，已经是奇迹，再搞一次，还能活着吗？民主党上台， 1011会被追查吗？金将军保证不再搞一次吗？ CZ 为了法律和合规的需要，一直假装远离了币安，但这次以后，可以说，非常焦虑了 币安在 1011 的运气和福报，可能被耗光了 看好 DEX，DEX 没有资金托管的问题了，只专注撮合清算，自然没有对资金全部兜底的责任。赚个手续费，但要保证你所以资金安全，这个模式显然不成立，必须得搞暴利，交易所的暴利就是散户的血汗钱，当他们晒年终奖时，割的就是散户身上的肉，尤其是币圈合约这个产品，割人无数，也是所有交易所的利润主要来源

@BlockBeatsAsia

网上都在讨论币安到底哪里做得不好。 但安全专家 余弦 @evilcos 对此次事件的评价相对正面。 余弦认为，很多人只看到工程师 A/B/C 犯了低级错误，却低估了这次攻击的复杂程度。人性利用、情报踩点、恶意代码免杀、信任链滥用、横向投毒、云环境渗透、权限绕过、供应链攻击，背后是一套持续数月的 APT 攻击。 业内曾流传过一个故事：某大型交易所员工用公司配发的电脑看了一会儿爱奇艺，第二天就被开除了。 如果把这个故事和这次事件放在一起看，似乎能猜到是哪家交易所。 一边是对员工日常使用公司设备的严格管理，另一边却是黑客通过员工工作电脑、假招聘和恶意代码，最终摸到了核心钱包基础设施。 当然，两件事不能简单画等号：员工违规使用设备和遭遇精心设计的国家级攻击，本来就是两种不同性质的问题。 所以，这次事件真正值得行业讨论的，不是币安究竟该被夸还是该被骂，而是：一家拥有庞大安全团队、长期投入安全建设的头部交易所，为什么仍然没能阻断从员工终端到核心资产的攻击链？ 余弦对攻击复杂度的肯定，和市场对内部安全体系的质疑，完全可以同时成立。

@CaptainLufei999

cz在发言中说：“如果交易所可以被黑客攻击，那么银行风险更高” 我说句粗糙的话：杀一个人的技术和能力人人都有，但一个国家的凶杀率，取决于国家政治治理能力。 技术和风险是两码事， 银行和加密货币面对犯罪时，风险结构完全不同。 真正阻止大多数人抢银行的，不是保险柜技术，而是抢完银行之后需要承担的代价。 同样是抢劫，在不同司法体系下，犯罪成本可能天差地别 决定安全的是抢完以后会有什么代价 两种货币体系更重要的区别：信用。 银行体系背后有国家法律、金融监管、存款保障条款，以及明确的责任主体。 而去中心化加密货币依赖的是共识机制。 中心化信用出了问题，你至少知道应该向谁追责。会负责到什么程度。 去中心化共识出了问题，但没有人有义务替你承担损失。币安的承担不是出于义务，而是出于生存需要。这很重要。币安也只是个交易所，他能因为经营需要承担交易所的内的损失。不代表整个虚拟货币行业有人负责。 一个劫匪拿刀架在你脖子上，让你转走100万美元加密货币，可能几分钟就完成了。但让你从银行立刻转走100万美元，恐怕没那么容易。 你如果去美国银行黑走60亿美元，美国一定要对公众有一个交代，但如果是交易所，美国需要一个交代表达自己对全世界的安全负责，也有权力干涉。 这个一定要负责，和需要权责对等是两件事。 我认为金融安全，讨论技术能不能被攻破。没有意义。 真正的安全，不是有没有人能拿走你的钱，而已是别人拿走你的钱之后，需要付出什么代价，以及谁有责任保护你。 自由是加密货币的优势， 这也是他的最大价值。 但自由不等于安全。 没有明确的责任主体， 也不代表风险就消失了。 而是风险最终全部落到了持有人身上。 如同我们回到 “物竞天择适者生存”的石器时代 每个人独立对自己生命负责 而不是集体。 （为了避免二圣看的心烦，各位自己加戏意淫我要发币，我就先把二圣拉黑了）

@thankUcrypto

仔细看完了币安这次黑客事件的调研报告。 这种社攻能把币安搞一次，那其他交易所应该提前于这次事件因此破产了才对。 从生态位上，二三线交易所太容易被这样攻击了，但是真损失资金并不是在社攻第一步，而是从工程师B到C这一步才是关键，这个内部AI工具居然可以让B工程师电脑为跳板去接管C工程师的电脑。 我在想我自己跑AI的时候也是手机指挥那个一直不关的电脑去执行程序，这样对黑客来说我的操作相当于全程裸奔。 还好我钱包跑链上程序没几个钱，要是我被盯上了也就损失几千U。 但是各位链上皇，链上放了大钱的交易员朋友们，小心一些吧，攻破你们的电脑比攻破一个铁桶一般的交易所要容易太多了。

@PANewsCN

何一确认：因工作电脑下载爱奇艺被开除的员工来自币安 币安63亿美元被盗事件引发外界对其内部设备管理的讨论，币安联合创始人何一今日在 X 上回应，确认此前流传的"员工因用工作电脑下载爱奇艺被开除"一事发生在币安。 她表示："用工作电脑下载爱奇艺被开的也是币安。认栽买单，但不能再犯。" 币安此前公布的初步调查显示，这次被盗始于一场假招聘：一名工程师在工作电脑上下载了伪装成面试作业的代码，导致设备被植入木马。

@cryptobraveHQ

7年前去火币，交易所新人安全培训的第一句话就是： 公司发的工作电脑上，所有你下载的软件应用都应默认是病毒！所有软件！ 我就好奇的问，我电脑下载微信、Office办公软件等也包括在内吗？如果工作需要下载这些呢 安全同事：算的。原则是不允许在工作电脑上自行安装任何软件，包括微信、办公软件等。而且这些软件，理论上也确实可以收集和泄露到你的工作数据 如工作确实需要，只能去官方商城下载，并且最好找安全的同事帮你确认后安装下载

@LumaoDoggie

CZ 已经快进到胡言乱语的阶段了 "如果加密货币交易所都能被黑，那银行的处境只会更糟。" "这不只是加密货币 的问题，这其实是一个范围广得多的信息安全问题。" 你的交易所是什么玩意 也配和银行比. 你听说过中国,美国,英国,加拿大 这些国家的哪家银行被黑, 然后造成实际的金钱损失的吗? (河南村镇银行那也不是黑客攻击) 也没有任何银行会允许个人能在开发电脑上操控线上环境.. 而且就算给了你管理员权限, 你钱也拿不走. 所以CZ真在这里睁眼说瞎话.

@yayabinance

关于这次事件和报告的发布，一姐说：“首先错了就是错了，没有任何的余地。” 这份报告内部经过很激烈的讨论，最后决定原封不动，如实公布。当时也有人提醒，不加修饰地发出去，很可能会被恶意攻击。但既然是我们犯的错，就要承担这个错的后果。 如果能用这 63 亿的学费，让行业更多人注意到这个风险，让其他交易所免受损失，那骂就骂吧。 这几天修补，安全工程师团队数百人日以继夜，各个团队都在确保提币无误。所以大家能看到，提币恢复 24 小时之后，人又愿意回来了。这份信任从来不是说说而已，是我们真的做到了。 我不相信做几个活动就能让用户信任。用户不傻，还是要看你做什么。 我们一直认为：勇于承认错误，愿意接受改变，永远愿意俯身倾听一切。 哪里有做得不到位的，随时找我。你要骂可以来骂我，我会如实反馈。 我也要感谢很多同行和技术大佬的支持。这个时候你们的意见尤为珍贵。谢谢你们和我们一起守护安全。