币安于11月3日表示，黑客利用虚假面试、恶意软件以及一个被入侵的内部AI工具，于10月29日访问了其钱包系统并盗取了63.4亿美元。
摘要
- 攻击者利用被入侵的员工电脑和窃取的部署凭证，进入了币安的钱包签名基础设施。
- 恶意的以太坊授权使得在币安暂停正常提现服务后，转账仍能继续进行。
- 币安表示，约28.5亿美元已被冻结或拦截，客户损失已得到覆盖。
- 专家预计对托管安全保障的需求将增强，同时警告称受监管平台仍面临风险。
根据币安的初步事件报告，此次攻击历时数月逐步展开，结合了员工欺骗、被入侵的软件以及对内部系统的未经授权访问。
该交易所表示，截至10月31日已补充了98%的受影响代币资产，并正在购买剩余的流动性较低的加密货币。首席执行官Richard Teng表示，提现已基本恢复，用户不会承担任何损失。
币安攻击者从开发者工具转向钱包系统
报告将最早的接触追溯到6月，当时一名钱包DevOps工程师在寻找AI编码工具时下载了一个被篡改的Homebrew安装程序。安全人员发现了异常，更换了设备并轮换了相关凭证。
然而，币安表示，这次接触暴露了该工程师的角色以及从事钱包基础设施工作的同事。
9月，第二名工程师通过一个合法招聘平台被冒充项目总监的人接触。在与一名自称人力资源代表的人进行视频面试后，又与一家虚构公司所谓的首席执行官进行了另一次面试。
在接近尾声时，该工程师被指示将一份作业代码库下载到工作电脑上。恶意代码在安装过程中运行，将合法的pyenv开发工具替换为被入侵的版本。
币安称该恶意软件此前未被其终端安全工具检测到，并表示它会隐藏活动并清除痕迹。
10月20日，攻击者利用被入侵的电脑和一个内部AI工具控制了两名钱包工程师的电脑。其中一台存有容器部署令牌。
数天后的10月29日，攻击者利用这些窃取的凭证部署了一个容器，并运行了一个触及钱包签名操作的恶意脚本。
以太坊权限使转账在提现停止后仍在继续
根据报告，10月29日UTC时间20:05至20:09之间，五个币安热钱包向一个攻击者控制的地址转移了2.3346亿枚XRP。其他钱包发送了约970,500枚SOL、4420万枚OP和18,270枚BTC。
随后，攻击者利用签名服务通过以太坊的EIP-7702机制建立了恶意权限，该机制允许钱包将执行委托给智能合约代码。
此前的钱包攻击调查结果解释了攻击者如何利用以太坊的EIP-7702功能，授予一个恶意智能合约从币安名为Binance 14的热钱包转移资金的权限。
币安表示，暂停提现无法使已在以太坊上建立的权限失效。其多方计算钱包需要专门程序才能撤销这些权限，因为不存在可用于立即撤销的单一私钥。
最后一笔未经授权的转账涉及2,961.9枚ETH，在先前已广播并保持待处理状态后，于UTC时间23:56最终确认。币安于10月30日UTC时间00:10清除了Binance 14的委托。
在10月31日的一份警报中，FBI将此次盗窃归咎于朝鲜的TraderTraitor活动。该机构表示正在与美国特勤局和国税局刑事调查部门合作，并敦促服务提供商阻止与已识别地址相关的交易。
专家认为采用将持续推进，托管保护成为焦点
Cryptex Finance联合创始人兼首席执行官Joe Sticco告诉crypto.news，他并不认为此次事件会导致采用进程出现长达数年的倒退。
他指出Tether、Circle和DeFi协议冻结受影响资产的行动，证明行业参与者在重大中断期间能够协调应对。Sticco预计此次事件可能增加对受监管交易所和更强托管实践（包括冷存储）的需求。
CoinShares研究主管James Butterfill强调了托管所附带的法律保护。
“此次事件凸显了为何规范托管的法律框架至关重要。MiCA为Coinbase Luxembourg等授权实体的客户提供了实质性更强的保障，包括客户资产隔离，以及因可归咎于提供商的事件导致托管损失的责任，”Butterfill告诉crypto.news。
“这些保护措施加强了问责制，但授权无法阻止每一次黑客攻击，无法使投资者免受市场损失，也无法提供普遍的投资者赔偿计划。”
Butterfill补充说，受监管的加密托管提供了更强的保护，但并不会使持有的资产等同于受存款担保计划覆盖的银行存款。
Binance重建受影响系统并委托审查
Binance表示，约有28.5亿美元已被冻结或拦截，但需经对账和市场价格变动调整。其早先的恢复承诺拨出的资金超过了全部估计损失，用于替换受影响资产。
该交易所表示，它重建了受影响的钱包环境和内部AI工具，更换了受损设备，停用了凭证并扫描了员工设备。
Binance正在聘请独立网络安全公司审查此次事件，并计划增加在开发者安全、端点保护和行为监控方面的支出。
