11月3日，币安（Binance）公布10月29日安全事件的初步调查报告，首次较为完整地披露了攻击者进入公司内部系统、获取钱包操作权限并转移资产的过程。报告显示，这不是一次简单的钓鱼攻击，而是一场持续数月的多阶段入侵行动，攻击者先后利用恶意软件、虚假招聘面试、员工设备和内部AI工具，最终进入钱包签名系统。

币安披露，此次事件涉及的数字资产规模约为63.4亿美元。截至11月3日，约28.5亿美元资产已经被冻结或拦截。币安表示，公司将承担相关资金损失，不会将损失转嫁给用户。截至10月31日，98%的受影响代币资产已经补足，公司也已预留超过100%的资金用于覆盖损失。

攻击并非从10月29日才开始

根据币安调查报告，攻击者最早在2026年6月就开始为这次行动做准备。

当时，一名钱包开发运维团队（Wallet DevOps）的工程师A，在搜索引擎上寻找一款AI编程工具时，下载了经过篡改的Homebrew安装程序。该程序包含恶意代码，在安装过程中替换了开发环境中的正常组件。

币安称，安全团队当时发现了异常，并更换了工程师的设备、轮换相关凭证。不过，攻击者已经掌握了工程师A的岗位信息，以及其所在团队其他成员与钱包基础设施的关联关系。

到了9月，攻击者开始通过虚假招聘实施第二轮渗透。

一名软件工程师B通过正常求职平台收到招聘联系，对方自称某公司的项目负责人。整个过程经过精心设计：先由一名HR人员进行视频面试，再安排一名自称公司CEO的人通过社交聊天软件进行第二轮沟通。

面试过程中，对方还向工程师展示社交账号中的个人照片和视频，以建立信任。

随后，工程师B被要求下载一份编程测试作业。其下载的代码仓库实际上包含恶意程序，在项目初始化过程中便开始执行未经授权的操作。

币安披露，这款恶意软件采用了代码混淆、组件替换和痕迹清理等技术。攻击者将正常开发工具中的pyenv组件替换为恶意版本，以此执行命令并连接攻击者控制的外部服务器。当时使用的终端安全工具并未检测到这款零日恶意软件。

10月20日，攻击进入新的阶段。攻击者利用已经被控制的工程师B的电脑，通过币安内部AI工具进一步接触工程师A和另一名钱包软件工程师C。

在这一过程中，攻击者发现工程师A的电脑上存有具有容器部署权限的令牌。获得这一信息后，攻击者开始向钱包基础设施和部署环节推进。

10月29日，攻击者登录工程师C的电脑，使用此前窃取的工程师A的凭证部署容器，并执行恶意脚本，最终获得访问钱包签名操作的能力。

从内部签名服务到链上授权

币安报告显示，10月29日的实际资产转移发生在多个区块链网络。

当天20:05至20:09（UTC），五个币安热钱包向攻击者控制的地址转出了2.3346亿枚XRP。随后，币安在Solana和Optimism网络上的热钱包分别转出了约97.05万枚SOL和4420万枚OP，另有一个热钱包转出了18,270枚BTC。

币安随后收到大额转账内部警报并启动调查。

攻击者利用未经授权访问的内部钱包签名服务，绕过正常提现流程发起交易。其后又利用以太坊EIP-7702授权机制，为攻击者控制的智能合约取得币安热钱包的部分执行权限。

EIP-7702允许账户将部分执行权限委托给智能合约，而不需要直接暴露私钥。此次攻击中，攻击者利用该机制建立链上授权，使恶意合约能够在原有提现系统之外继续操作相关钱包。

币安披露，攻击者提交了50笔签名交易，通过调整账户Nonce建立恶意委托授权。由于这些授权已经写入链上，即使币安暂停提现，也无法自动撤销已经生效的授权。

这也解释了为什么暂停提现并未立即终止所有异常资金转移。

另一个增加处置难度的因素是钱包采用了多方计算（MPC）机制。由于不存在可以直接用于撤销恶意授权的单一私钥，币安需要专门设计并执行额外的链上操作，才能清除这些授权。

最终一笔未经授权的转账为2,961.9枚ETH，于10月29日23:56（UTC）完成链上确认。10月30日00:10（UTC），币安通过新的授权交易清除了Binance14热钱包中的EIP-7702委托代码，此后未观察到进一步的未经授权转账。

调查指向朝鲜关联攻击组织

在币安公布调查报告之前，美国联邦调查局（FBI）已于10月31日发布安全警报，认定朝鲜应对这起超过60亿美元的虚拟资产盗窃事件负责，并将此次网络攻击活动命名为TraderTraitor。

FBI表示，相关攻击者正在将窃取的资产主要转换为以太坊（ETH），随后可能通过去中心化金融协议和即时兑换服务继续转移资金。FBI与美国特勤局、美国国税局刑事调查部门一道，要求相关节点运营商、即时交易服务、DeFi平台及虚拟资产服务商识别并阻断与攻击者有关的资金地址。

币安在自己的调查报告中也提到，2026年以来，其安全团队已经发现并阻止了57起疑似与朝鲜有关的网络威胁事件。这些事件涉及虚假招聘、伪装成开发工具的恶意软件、被篡改的软件包和浏览器扩展程序，以及假冒视频会议软件等手段。

针对本次事件，币安表示，已经在新环境中重建受影响的钱包系统和内部AI工具，撤销相关工程师的凭证及部署令牌，更换受影响设备，并对员工设备开展加强版安全扫描。

公司还计划聘请独立第三方网络安全机构，对事件进行全面审查，并增加对AI安全检测、终端防护、开发环境安全和行为异常监测的投入。此外，币安正在筹备设立安全研究基金，联合AI企业、区块链行业参与者及专业安全机构开展相关研究。

币安表示，调查仍在继续，后续将根据独立安全审查结果进一步完善内部防护体系。

【提示：为防止失联，更方便获取奇点财经新闻，请您将本网站添加到手机主屏幕。操作方法：在手机浏览器中打开奇点财经网点击浏览器右上角的小箭头，然后在跳出的窗口下拉菜单里选择‘添加到主屏幕’。添加后，您可以像打开App一样快速访问奇点财经新闻！】

（声明：奇点财经是香港期刊协会创会会员，亦是全球领先的专业财经媒体，我们专注于ESG投资、虚拟资产、数字货币、区块链、Web 3.0、科技金融及AI创新等前沿领域，为企业出海及市场开拓提供有价值的导向。我们致力于提供深度分析和权威报道，探索新兴科技如何重塑金融与资本市场，助力投资者把握未来趋势。如需转载本报内容，抑或您发现本报文章涉及潜在版权问题，敬请联系enquiry@singularityfin.com。）