10月29日币安安全事件：初步调查结果及应对措施更新 中文版 2026年10月29日，币安（Binance）发生了一起严重且高度复杂的安全事件。这本不该发生… · @979293861Chen · TwKit

@979293861Chen

10月29日币安安全事件：初步调查结果及应对措施更新 中文版 2026年10月29日，币安（Binance）发生了一起严重且高度复杂的安全事件。这本不该发生，我们对此次事件给用户、合作伙伴以及整个行业带来的担忧、困扰和不确定性深表歉意。 我们首要的责任是保护用户。币安将承担被盗资金的财务影响，绝不转嫁给用户。我们已经预留了超过损失金额 100% 的资金来弥补损失。截至 2026 年 10 月 31 日，98% 受影响的代币资产已经得到补足，并且可以在我们的资产证明（Proof of Reserves）页面上进行验证。我们目前正在购买剩余流动性较低的资产。 约有 63.4 亿美元的数字资产在此次事件中受到影响。截至本次更新，约有 28.5 亿美元的数字资产已被冻结或拦截，具体金额尚待对账和市场价格波动确认。 我们已采取立即行动以遏制事件并加固相关系统。攻击中识别出的漏洞入口已被关闭，攻击路径涉及的系统也已被重建或替换。此外，我们还实施了更严格的设备控制、增强了钱包服务风险控制，并扩展了基于人工智能的行为异常检测。 这是我们的初步报告。它涵盖了我们目前所知的情况以及我们已经做出的改进。调查仍在进行中，我们的调查结果将接受进一步的独立审查。部分技术细节将予以保密，以防恶意分子利用其策划攻击。我们正在聘请独立的安保公司进行进一步审查。 联邦调查局（Federal Bureau of Investigation）发布的最新信息表明，朝鲜民主主义人民共和国（Democratic People’s Republic of Korea）应对此事件负责。 我们分享这份初步报告是因为，当整个行业共同学习时，安全才能得到提升。 10月29日发生了什么 攻击在多个网络中迅速展开。 攻击者利用对内部钱包签名服务的未授权访问，在正常提现流程之外发起了交易。 在 UTC 20:05 至 20:09 期间，币安的五个热钱包向攻击者控制的地址发送了 2.3346 亿枚 XRP。 币安在 Solana 和 Optimism 上的热钱包向攻击者控制的地址发送了约 970,500 枚 SOL 和 4,420 万枚 OP。 随后，币安收到关于大额转账的内部警报，并立即开始调查。 币安热钱包向攻击者控制的地址发送了 18,270 枚 BTC。 随后，攻击者利用签名服务利用了以太坊的 EIP-7702 授权机制。EIP-7702 允许账户在不暴露私钥的情况下，将某些执行权限委托给智能合约。在本案中，攻击者利用该机制赋予了一个攻击者控制的智能合约对币安热钱包的部分执行权限。 币安立即启动了多项遏制措施，包括暂停提现以限制资金进一步外流、与合作伙伴协调冻结受影响的代币，以及采取步骤撤销未授权的权限。这些努力总共冻结了 28.5 亿美元的资产。 然而，单纯暂停提现无法阻止所有未授权的资产转移。恶意的 EIP-7702 授权存在于链上，并且独立于币安正常的提现基础设施运行。攻击者提交了 50 笔签名交易来操纵账户 Nonce 并建立恶意的委托授权。一旦建立，这些授权使攻击者能够继续独立于币安的正常提现基础设施转移资产。币安需要额外的交易来撤销这些链上授权。 遏制过程涉及额外的技术复杂性。由于热钱包使用了多方计算（MPC），因此没有单一的私钥可用于立即撤销恶意的 EIP-7702 授权。因此，团队开发并执行了一项专门的程序来撤销这些授权，这需要额外的时间。此外，暂停提现和关闭热钱包服务并不能自动使现有的链上授权失效。 这些挑战延长了完全遏制未授权资产转移所需的时间。我们正在审查事件响应过程、签名策略覆盖范围、热钱包控制措施，并寻找机会进一步增强我们未来快速响应威胁的能力。 最后一次未授权转账为 2,961.9 枚 ETH，于 UTC 时间 23:56 在链上最终完成。该交易此前已广播，并一直处于待处理状态，随后才最终完成。此后未观察到其他未经授权的转账。 在 2026 年 10 月 30 日 00:10 UTC，币安从 Binance14 热钱包向零地址执行了一项新的授权，清除了 EIP-7702 委托代码。 攻击准备 我们目前的调查表明，这是一场高度复杂的、多阶段的网络攻击，并非单一的孤立漏洞或简单的网络钓鱼事件。攻击者结合了一系列技术，包括通过伪造招聘面试进行社会工程学攻击、下载恶意软件、入侵内部 AI 工具、端点受损以及先进的交易授权方法。 2026年6月 — 供应链攻击：钱包 DevOps 工程师 A 在搜索引擎上搜索并下载了一个被篡改的 Homebrew 安装包，以便安装一个热门的 AI 编程工具。我们的安全团队检测到了异常，更换了设备，并将所有相关的凭证作为主动安全措施进行了轮换。然而，工程师 A 及其钱包基础设施团队相关同事的身份和角色对黑客而言已经暴露。 整个 2026 年期间，币安安全团队检测并阻止了 57 起疑似与朝鲜有关的网络威胁事件。这些尝试反映了国家级资助的黑客对加密货币行业构成的持续威胁。这些技术包括欺诈性工作面试、伪装成热门开发者工具的恶意软件、受损的软件包和浏览器插件、伪造的视频会议应用程序，以及旨在窃取凭证或部署远程访问木马的社会工程学活动。 9月 — 社会工程学：软件工程师 B 通过一个合法的求职平台被一名冒充项目总监的个人联系。软件工程师 B 在该平台上的个人资料中提及了他在币安的工作经历。这位所谓的项目总监安排了一场与人力资源代表的第一轮面试，随后又安排了一场与自称是一家虚构公司 CEO 的第二轮面试。 在第一轮中，所谓的 HR 代表与软件工程师 B 进行了实时视频面试。面试官与他分享了一个社交媒体账号，包括在该平台上发布的个人照片和视频，以建立信任。这比以往见过的社会工程学方法更加先进和具有欺骗性。 第二轮面试是在一个流行的社交聊天应用中进行的。面试快结束时，工程师 B 被指示在他的工作电脑上下载一个包含恶意代码仓库的“作业”（assignment）。该仓库包含了在安装过程中执行的恶意代码，从而引发了一系列未经授权的活动。 该恶意软件采用了复杂的混淆和规避技术，包括用恶意版本替换合法的开发工具组件，以执行命令并与攻击者控制的外部服务器建立通信。当时的端点安全保护工具并未检测到这种零日（0-day）恶意软件。攻击者还采取了步骤来掩盖恶意活动并清除入侵痕迹，这使得检测和随后的调查更具挑战性。 脚本通过应用混淆技术逃避安全检测，执行了以下步骤： Plaintext CREATE /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_ MODIFY pyenv_ → 3,414 B DELETE .../libexec/pyenv (3,344 B) ← 移除合法的 pyenv RENAME pyenv_ → pyenv (3,414 B) ← 用恶意版本替换它 DELETE /opt/homebrew/bin/pyenv (3,414 B) ln (创建一个新的符号链接) + 派生 zsh (spawn zsh) 10月20日 — 利用内部 AI 工具作为跳板：攻击者利用工程师 B 被攻陷的电脑，通过内部 AI 工具控制了钱包 DevOps 工程师 A 和另一位钱包软件工程师 C。攻击者很快发现钱包 DevOps 工程师 A 的电脑上拥有容器部署权限令牌。 10月29日 — 渗透钱包签名操作：10 月 29 日 17:15 至 19:56 之间，攻击者登录了软件工程师 C 的电脑，使用从钱包 DevOps 工程师 A 处窃取的凭证部署了一个容器，并触发了一个恶意脚本来发起攻击。 我们已经做过了什么 截至 2026 年 11 月 3 日，我们采取了以下行动： 在新环境中重建了受影响的钱包系统。 重建了受影响的内部 AI 工具及访问控制。 更换了受影响的设备。 停用了与受影响工程师相关的凭证和令牌。 完成了对所有员工设备的增强安全扫描。 增强了基于 AI 的行为异常检测。 加强了钱包服务的风险控制。 与执法部门、区块链情报公司和行业合作伙伴合作，追踪并冻结受影响的资产。 随着调查的进展，我们将继续加强各项措施。我们已经实施和正在实施的许多安全措施将保持保密，以防止恶意分子损害我们的安全。 进一步行动 我们将立即采取以下步骤： 独立网络安全审查 我们正在聘请独立的第三方网络安全专家对该事件进行全面审查，验证我们的调查结果并推荐额外的措施。该审查的范围和发现将为我们持续的修复工作提供信息。 扩大对 AI 安全和防范的投资 我们正在增加对 AI 驱动的检测、端点保护、开发者环境安全以及行为异常监控的投资。 安全研究基金与行业倡议 我们正致力于与领先的 AI 公司、行业参与者和安全公司合作，建立安全研究基金和针对性的倡议，重点关注区块链环境中的 AI 安全。 如有最新信息，我们将继续主动分享。

曝光 173 · 评论 3 · 点赞 4 · 书签 0