币安发布 63 亿被盗案报告，黑客连环入侵多名工程师电脑

币安发布 10 月 29 日黑客攻击事件初步调查报告，披露攻击者通过虚假招聘面试、恶意软件及内部 AI 工具逐步入侵钱包基础设施。今年 9 月，一名工程师在虚假求职面试中下载含恶意代码的项目，导致工作电脑遭入侵；10 月 20 日，攻击者进一步利用受控设备及内部 AI 工具获取其他钱包工程师的系统访问权限。10 月 29 日，攻击者利用窃取的凭证部署恶意容器，非法访问内部钱包签名服务，并通过以太坊 EIP-7702 授权机制向攻击者控制的智能合约委托部分执行权限。币安表示，暂停提现未能立即阻止已建立的链上恶意授权，团队随后通过专门程序撤销相关权限。此次事件涉及约 63.4 亿美元数字资产，约 28.5 亿美元已被冻结或拦截。币安最新报告称，截至 10 月 31 日，98% 的受影响代币资产已完成补足，并已预留超过全部损失所需的资金。调查仍在进行，相关技术结论有待独立审查。

以下为 2026 年 11 月 3 日晚间币安发布的调查报告全文：

2026 年 10 月 29 日，币安遭遇了一起严重且高度复杂的安全事件。这本不该发生，我们为此向用户、合作伙伴以及更广泛的行业所造成的担忧、中断和不确定性深表歉意。

我们的首要责任是保护用户。币安将承担被盗资金的财务影响，而不是由我们的用户承担。我们已经预留了超过所需覆盖损失资金的 100%。截至 2026 年 10 月 31 日，受影响的代币资产中 98%已得到补充，并可在我们的储备证明（Proof of Reserves）页面上验证。我们正在购买剩余的、流动性较低的资产。

此次事件影响了大约 63.4 亿美元的数字资产。截至本次更新，大约 28.5 亿美元的数字资产已被冻结或拦截，具体金额仍需根据对账情况及市场价格波动进行调整。

我们已立即采取行动遏制事件并加强相关系统。攻击中被识别为使用过的入口点已关闭。攻击路径中涉及的系统已重建或替换。我们还实施了更严格的设备控制、增强了钱包服务风险控制，并扩大了基于 AI 的行为异常检测。

这是我们的初步报告。它涵盖了我们目前所了解的情况以及我们已经改进的内容。调查仍在进行中，我们的调查结果将接受进一步的独立审查。为防止恶意行为者利用相关技术细节策划攻击，部分技术细节将保持机密。我们正在聘请独立安全公司进行进一步审查。

我们分享这份初步报告，是因为当行业共同学习时，安全性会得到提升。

10 月 29 日发生了什么

攻击在多个网络中迅速展开。

攻击者利用对内部钱包签名服务的未授权访问，发起了正常提现流程之外的交易。

在 UTC 时间 20:05 至 20:09 之间，五个币安热钱包向攻击者控制的地址发送了 2.3346 亿枚 XRP。

币安在 Solana 和 Optimism 上的热钱包向攻击者控制的地址发送了大约 970,500 枚 SOL 和 4420 万枚 OP。

币安随后收到关于大额转账的内部警报，并立即开始调查。

币安热钱包向攻击者控制的地址发送了 18,270 枚 BTC。

随后，攻击者利用签名服务，利用以太坊的 EIP-7702 授权机制。EIP-7702 允许账户在不暴露私钥的情况下，将某些执行权限委托给智能合约。在此情况下，攻击者利用该机制，将币安热钱包的部分执行权限授予了攻击者控制的智能合约。

币安立即启动了多项遏制措施，包括暂停提现以限制进一步资金流出、与合作伙伴协调冻结受影响代币，并采取措施撤销未授权权限。这些努力共冻结了 28.5 亿美元的资产。

然而，仅暂停提现并不能阻止所有未授权的资产移动。恶意的 EIP-7702 授权存在于链上，独立于币安的正常提现基础设施运行。攻击者提交了 50 笔签名交易，以操纵账户 nonce 并建立恶意委托授权。一旦建立，这些授权使攻击者能够独立于币安的正常提现基础设施继续转移资产。币安需要额外的交易来撤销这些链上授权。

遏制过程涉及额外的技术复杂性。由于热钱包使用了多方计算（MPC），不存在可以立即撤销恶意 EIP-7702 授权的单一私钥。因此，团队开发并执行了一套专门的程序来撤销这些授权，这需要额外的时间。此外，暂停提现和关闭热钱包服务并不会自动使现有的链上授权失效。

这些挑战延长了完全遏制未授权资产移动所需的时间。我们正在审查事件响应流程、签名策略覆盖范围、热钱包控制措施，并识别进一步增强未来快速响应威胁能力的机会。

最后一笔未授权的 2,961.9 枚 ETH 转移在 UTC 时间 23:56 最终在链上确认。该交易此前已被广播并处于待处理状态，随后才最终确认。此后未再观察到进一步的未授权转移。

2026 年 10 月 30 日 UTC 时间 00:10，币安从 Binance14 热钱包向零地址执行了新的授权，清除了 EIP-7702 委托代码。

攻击准备

我们目前的调查表明，这是一场复杂的、多阶段的行动。它并非单一的孤立入侵或简单的钓鱼事件。攻击者结合了多种技术，包括通过虚假招聘面试进行社会工程、恶意软件下载、内部 AI 工具被入侵、终端被入侵，以及一种高级的交易授权方法。

2026 年 6 月 — — 供应链攻击。钱包 DevOps 工程师 A 在搜索引擎上搜索后，下载了被篡改的 Homebrew 安装程序，以安装一款流行的 AI 编码工具。我们的安全团队检测到异常，更换了设备，并主动轮换了所有相关凭证。然而，工程师 A 的角色及其钱包基础设施团队的相关同事已被黑客暴露。

在整个 2026 年，币安的安全团队检测并阻止了 57 起疑似与朝鲜有关的网络威胁事件。这些尝试反映了国家支持的行为者对加密货币行业持续构成的威胁。相关技术包括欺诈性求职面试、伪装成流行开发者工具的恶意软件、被入侵的软件包和浏览器扩展、虚假视频会议应用程序，以及旨在窃取凭证或部署远程访问恶意软件的社会工程活动。

9 月 — — 社会工程

软件工程师 B 通过一个合法的求职平台被自称项目总监的个人联系。软件工程师 B 在该平台上有提及自己在币安经验的个人资料。所谓的项目总监安排了与 HR 代表的第一轮面试，随后安排了与自称虚构公司 CEO 的个人的第二轮面试。

在第一轮中，所谓的 HR 代表与软件工程师 B 进行了实时视频面试。面试官向他分享了一个社交媒体账户，包括在平台上发布的个人照片和视频，以建立信任。这比之前见过的社会工程方法更为先进和具有欺骗性。

第二轮面试在一个流行的社交聊天应用中进行，面试接近尾声时，工程师 B 被指示在他的工作电脑上下载一个包含恶意代码仓库的“作业”。该仓库包含在设置过程中执行的恶意代码，启动了一系列未授权活动。

该恶意软件采用了复杂的混淆和规避技术，包括将合法的开发工具组件替换为恶意版本，以执行命令并与攻击者控制的外部服务器建立通信。该 0-day 恶意软件当时未被终端安全保护工具检测到。攻击者还采取措施隐藏恶意活动并消除入侵痕迹，使检测和后续调查更加困难。

2026 年 10 月 20 日 — — 将内部 AI 工具作为跳板使用。攻击者利用工程师 B 被入侵的电脑，使用内部 AI 工具控制了钱包 DevOps 工程师 A 和另一位钱包软件工程师 C。攻击者很快发现钱包 DevOps 工程师 A 的电脑上有一个容器部署权限令牌。

2026 年 10 月 29 日 — — 触及钱包签名操作。10 月 29 日 17:15 至 19:56 之间，攻击者登录了软件工程师 C 的电脑，使用从钱包 DevOps 工程师 A 那里窃取的凭证，部署了一个容器，并触发恶意脚本发起攻击。

我们已采取的措施

截至 2026 年 11 月 3 日，我们已采取以下行动：

在新环境中重建了受影响的钱包系统。

重建了受影响的内部 AI 工具和访问控制。

更换了受影响的设备。

停用了与受影响工程师相关的凭证和令牌。

对所有员工设备完成了增强的安全扫描。

增强了基于 AI 的行为异常检测。

加强了钱包服务风险控制。

与执法部门、区块链情报公司和行业合作伙伴合作，追踪并冻结受影响的资产。

随着调查的推进，我们将继续加强我们的措施。我们已实施和正在实施的多项安全措施将保持私密，以防止恶意行为者破坏我们的安全性。

进一步行动

我们正在立即采取以下步骤：

独立网络安全审查

我们正在聘请独立的第三方网络安全专家，对事件进行全面审查，验证我们的发现，并推荐额外措施。该审查的范围和发现将指导我们持续的补救工作。

扩大对 AI 安全与预防的投资

我们正在增加对 AI 赋能检测、终端保护、开发者环境安全和行为异常监控的投资。

安全研究基金与行业倡议

我们正在与领先的 AI 公司、行业参与者和安全公司合作，建立安全研究基金和针对性倡议，专注于区块链环境中的 AI 安全。

我们将在获得信息后继续主动分享。

编辑 | 吴说区块链