虚假招聘钓鱼？币安披露朝鲜关联攻击全链条

原文来自币安官方

2026 年 10 月 29 日，币安发生了一起严重且高度复杂的安全事件。这本不应发生。对于此次事件给用户、合作伙伴及整个行业带来的担忧、影响和不确定性，我们深表歉意。

保护用户是我们的首要责任。被盗资金造成的财务影响将由币安承担，而不会转嫁给用户。我们已预留超过损失金额 100%的资金用于弥补损失。截至 2026 年 10 月 31 日，受影响的代币资产中已有 98%得到补足，并可在我们的储备金证明页面上查证。我们正在购买尚未补足、流动性较低的资产。

此次事件影响了约 63.4 亿美元的数字资产。截至本次更新，约 28.5 亿美元的数字资产已被冻结或拦截，具体金额仍需核对，并可能受市场价格波动影响。

我们已立即采取行动遏制事件，并加强相关系统。已关闭确认在此次攻击中被利用的入口。攻击路径上涉及的系统已重建或更换。我们还实施了更严格的设备管控、加强了钱包服务风险控制，并扩大了基于 AI 的行为异常检测。

这是我们的初步报告，介绍了我们目前掌握的信息以及已完成的改进。调查仍在进行中，我们的调查结果还将接受进一步的独立审查。为防止恶意行为者利用相关信息策划攻击，部分技术细节将继续保密。我们正在邀请独立安全公司开展进一步审查。

联邦调查局发布的最新信息表明，朝鲜民主主义人民共和国应对此次事件负责。

我们发布这份初步报告，是因为行业共同学习有助于提升安全水平。

10 月 29 日发生的情况

攻击迅速蔓延至多个网络。

攻击者利用对内部钱包签名服务的未授权访问，在正常提现流程之外发起交易。

UTC 时间 20:05 至 20:09 期间，五个 Binance 热钱包向攻击者控制的地址转出了 2.3346 亿 XRP。

Solana 和 Optimism 上的 Binance 热钱包向攻击者控制的地址转出了约 970,500 SOL 和 4,420 万 OP。

随后，Binance 收到一则关于大额转账的内部警报，并立即展开调查。

Binance 热钱包向攻击者控制的地址转出了 18,270 BTC。

随后，攻击者利用签名服务滥用以太坊的 EIP-7702 授权机制。EIP-7702 允许账户将某些执行权限委托给智能合约，而无需暴露私钥。在本案中，攻击者利用该机制，向其控制的智能合约授予了对 Binance 热钱包的部分执行权限。

Binance 立即启动了多项遏制措施，包括暂停提现以限制进一步的资产流出、与合作伙伴协调冻结受影响代币，以及采取措施撤销未授权权限。这些努力共冻结了价值 28.5 亿美元的资产。

然而，仅暂停提现无法阻止所有未经授权的资产转移。恶意 EIP-7702 授权已存在于链上，其运行独立于 Binance 的常规提现基础设施。攻击者提交了 50 笔签名交易，以操纵账户 nonce 并建立恶意委托授权。授权建立后，攻击者便能继续独立于 Binance 的常规提现基础设施转移资产。Binance 需要通过额外交易撤销这些链上授权。

遏制过程还涉及其他技术复杂性。由于该热钱包使用多方计算（MPC），不存在可用于立即撤销恶意 EIP-7702 授权的单一私钥。因此，团队制定并执行了一套专门的撤销流程，这需要额外时间。此外，暂停提现和关闭热钱包服务并不会自动使现有链上授权失效。

这些挑战延长了全面遏制未经授权资产转移所需的时间。我们正在审查事件响应流程、签名策略覆盖范围和热钱包控制措施，并寻找机会，进一步提升未来快速应对威胁的能力。

最后一笔未经授权的转账涉及 2,961.9 ETH，于 UTC 时间 23:56 在链上完成。该交易此前已广播并处于待处理状态，随后才最终确认。此后未观察到其他未经授权的转账。

2026 年 10 月 30 日 UTC 时间 00:10，Binance 从 Binance14 热钱包向零地址执行了一笔新的授权，清除了 EIP-7702 委托代码。

攻击准备

我们目前的调查表明，这是一次复杂的多阶段行动，并非单一的孤立安全漏洞或简单的网络钓鱼事件。攻击者结合使用了多种技术，包括通过虚假招聘面试进行社会工程攻击、下载恶意软件、入侵内部 AI 工具、入侵终端，以及采用先进的交易授权方式。

• 2026 年 6 月——供应链攻击。Wallet DevOps 的工程师 A 在搜索引擎上搜索一款热门 AI 编程工具后，下载了被篡改的 Homebrew 安装程序，以安装该工具。我们的安全团队检测到异常后，更换了设备并轮换了所有相关凭据，作为主动采取的安全措施。然而，工程师 A 的身份及其在钱包基础设施团队的相关同事信息已暴露给黑客。
• 2026 年全年，Binance 安全团队检测并阻止了 57 起疑似与朝鲜有关联的网络威胁事件。这些攻击反映出国家支持的行为者对加密货币行业构成持续威胁。他们使用的手段包括虚假求职面试、伪装成热门开发工具的恶意软件、遭入侵的软件包和浏览器扩展程序、虚假视频会议应用，以及旨在窃取凭据或部署远程访问恶意软件的社会工程活动。
• 2026 年 9 月——社会工程攻击。软件工程师 B 通过一个正规的求职平台联系到一名自称项目总监的人。软件工程师 B 在该平台上的个人资料提及了他在 Binance 的工作经历。自称项目总监的人安排了第一轮面试，由一名人力资源代表主持；随后又安排了第二轮面试，面试者自称是一家虚构公司的首席执行官。
• 第一轮面试中，自称人力资源代表的人与软件工程师 B 进行了实时视频面试。为了建立信任，面试者向他分享了自己的社交媒体账号，其中包含发布在该平台上的个人照片和视频。这种手法比以往见到的社会工程攻击更加先进且具有欺骗性。
• 第二轮面试在一款热门社交聊天应用中进行。面试快结束时，工程师 B 被要求将一个包含恶意代码仓库的“作业”下载到工作电脑上。该代码仓库中的恶意代码在设置过程中执行，并开始进行一系列未经授权的活动。
• 该恶意软件采用了复杂的混淆和规避技术，包括用恶意版本替换正版开发工具组件，以执行命令并与攻击者控制的外部服务器建立通信。当时，终端安全防护工具未能检测到这种零日恶意软件。攻击者还采取措施掩盖恶意活动并清除入侵痕迹，使检测和后续调查更具挑战性。
• 脚本通过应用混淆技术来规避安全检测，并执行了以下步骤。

创建 /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_

修改 pyenv_ → 3,414 B

删除 .../libexec/pyenv (3,344 B) ← 移除有效的 pyenv

重命名 pyenv_ → pyenv (3,414 B) ← 替换为恶意版本

删除 /opt/homebrew/bin/pyenv (3,414 B)

ln （创建新的符号链接） + 启动 zsh

• 2026 年 10 月 20 日——利用内部 AI 工具作为跳板。攻击者利用工程师 B 被入侵的电脑，通过内部 AI 工具控制了 Wallet DevOps 工程师 A 和另一名钱包软件工程师 C。攻击者很快发现，Wallet DevOps 工程师 A 的电脑上有一个容器部署权限令牌。
• 2026 年 10 月 29 日——侵入钱包签名操作。10 月 29 日 17:15 至 19:56 期间，攻击者登录软件工程师 C 的电脑，使用从 Wallet DevOps 工程师 A 处窃取的凭据部署了一个容器，并触发恶意脚本发起攻击。

我们已采取的措施

截至 2026 年 11 月 3 日，我们已采取以下措施：

• 在新环境中重建受影响的钱包系统。
• 重建受影响的内部 AI 工具并加强访问控制。
• 更换受影响的设备。
• 停用受影响工程师的相关凭据和令牌。
• 完成对所有员工设备的增强安全扫描。
• 加强基于 AI 的行为异常检测。
• 加强钱包服务风险控制。
• 与执法部门、区块链情报公司和行业合作伙伴共同追踪并冻结受影响资产。

随着调查推进，我们将继续加强各项措施。我们已实施并正在实施多项安全措施。为防止恶意行为者利用相关信息破坏我们的安全，其中一些措施将继续保密。

后续措施

我们正在立即采取以下措施。

1. 独立网络安全审查

我们正在邀请独立的第三方网络安全专家，对此次事件进行全面审查、验证我们的调查结果并提出补充措施。审查的范围和结果将为我们持续开展的补救工作提供依据。

2. 加大对 AI 安全和预防的投入

我们正在加大对 AI 赋能的检测、终端防护、开发环境安全和行为异常监控的投入。

3. 安全研究基金和行业倡议

我们正在与领先的 AI 公司、行业参与者和安全公司合作，筹建安全研究基金，并在区块链环境下开展聚焦 AI 安全的专项倡议。

我们将继续主动分享最新信息。