刚看到币安官推发布了安全调查报告，看完让人后背发凉，我根据我的理解梳理一下 9 月份：软件工程师 B 在一个正规的求职平台上，被一个「项目总监」联系，主动挖… · @Sea_Bitcoin · TwKit

@Sea_Bitcoin

刚看到币安官推发布了安全调查报告，看完让人后背发凉，我根据我的理解梳理一下 9 月份：软件工程师 B 在一个正规的求职平台上，被一个「项目总监」联系，主动挖他。我猜大概率就是 LinkedIn 了，暴露了 B 是币安在职员工。 项目总监安排了两轮面试：一面是所谓 HR 视频面试，取得 B 的信任；二面是虚构公司的 CEO，通过 IM 进行，并且让 B 下载了一个包含恶意代码库的「作业」到他的工作电脑上。这个代码库的恶意代码，在安装过程中就执行了，引发了一系列未经授权的活动。而且这是一个 0-day 恶意软件，当时币安的终端安全软件都没检测出来，黑客还刻意清除了入侵痕迹，加大了发现和调查的难度。 10 月 20 号：黑客从 B 的电脑出发，借助币安公司内部的 AI 工具，控制了钱包运维工程师 A 和钱包软件工程师 C 的电脑。 控制 A 的电脑之后，黑客在上面发现了容器部署权限令牌。 10 月 29 日：黑客登录员工 C 的电脑，用从 A 那里偷来的凭证部署容器、运行恶意脚本，从而拿到内部钱包签名服务的访问权，在正常提现流程之外发起了转账。之后黑客又利用 EIP-7702 授权，批量转走了 ETH 链上的资产。 更早之前 6 月份的时候，A 其实在搜索引擎上搜热门 AI 编程工具后，就下载了被篡改的 Homebrew 安装包，但这次事件被安全团队及时发现了，没有酿成大祸。但工程师 A 的岗位及其钱包基础设施团队的相关同事，当时就已暴露给黑客 总结来说，这是一场多阶段攻击：结合了假面试、恶意软件下载、内部 AI 工具被利用、终端设备被入侵，以及高级的交易授权手法。 LinkedIn 暴露币安员工身份只是表象；A 下载被篡改的工具，让黑客锁定了钱包团队 + B 在工作电脑上运行「面试作业」直接打开大门，这才是根源；内部 AI 工具成了横向渗透的跳板，让黑客从一台电脑扩散到三个核心钱包工程师；而 EIP-7702 授权加上 MPC 钱包难以快速撤销，让事件在近 4 小时内没被完全控住，是催化剂

曝光 953 · 评论 4 · 点赞 5 · 书签 1