一个员工究竟能闯多大祸？论币安63亿安全事件背后 事件还得从一个被篡改的 Homebrew 安装包开始 11月3日，币安公布了10月29日安全事件的初步调查… · @Kelly88Eth · TwKit

@Kelly88Eth

一个员工究竟能闯多大祸？论币安63亿安全事件背后 事件还得从一个被篡改的 Homebrew 安装包开始 11月3日，币安公布了10月29日安全事件的初步调查报告，还原了一条完整的攻击路径。事件涉及约63.4亿美元数字资产，FBI将其归因于朝鲜。 报告里最值得看的不是钱怎么被转走的，而是攻击者早在6月就开始动手，一步一步走到核心系统。 6月，钱包DevOps团队的一名工程师在搜索引擎上找一款流行的AI编程工具，下载到了被篡改的Homebrew安装包。Homebrew是开发者常用的软件包管理工具，安装包一旦被人改过，正常装软件的过程就成了恶意代码进电脑的通道。币安检测到异常后更换了他的设备、轮换了所有相关凭证，但攻击者已经摸清了钱包基础设施团队的构成，换设备挡不住他们换个入口继续。 9月，攻击者盯上另一名工程师。这名工程师在正规求职平台公开过在币安的工作经历，一个自称项目总监的人主动找上门。 第一轮面试由假HR负责，实时视频沟通，对方还分享了带个人照片和视频的社交账号，先把信任建立起来。 第二轮面试挪到聊天应用，快结束时要求他下载一份名为Assignment的代码仓库，在工作电脑上运行。 对工程师来说，做代码作业是招聘的正常环节，但这份代码把合法开发工具的组件替换成恶意版本：新建文件、替换pyenv组件、删掉原文件、把恶意文件改名回pyenv，再重建符号链接。 用户照常用着熟悉的命令，背后的程序早就换了人。币安称之为零日恶意软件，当时没被终端防护工具发现。 10月20日，攻击者用已沦陷的电脑加上一款内部AI工具，控制了另外两名工程师的设备，其中一人的电脑上存着一枚容器部署权限令牌。这不是钱包私钥，但它是调用内部部署能力的通行证。 至此攻击者手里有了设备、有了凭证，离核心系统只差一步。 10月29日17:15到19:56，攻击者登录工程师C的电脑，用之前窃取的凭证部署容器、触发恶意脚本，随后通过内部钱包签名服务在正常提现流程之外发起交易，还利用EIP-7702授权让恶意合约拿到热钱包的部分执行权限。 币安今年已拦截57起疑似朝鲜攻击，手段全是假招聘、恶意软件包、伪装工具这些针对人的组合拳。 这次事件并不是 EIP-7702 或 AI 工具本身存在漏洞的简单故事，而是一次围绕人员、设备、软件和权限展开的组合式攻击。 过去加密行业最担心的是私钥被盗，现在更值得警惕的问题是： 即使私钥没有泄露，攻击者能否通过控制内部流程，让系统自己完成不该执行的操作？ 或许这才是此次币安事件留给整个加密行业最重要的问题。

曝光 171 · 评论 3 · 点赞 2 · 书签 1