币安详述虚假求职面试如何导致63.4亿美元盗窃案

币安周二表示，这起63.4亿美元盗窃案的起点是一次虚假求职面试，资金在五个月后才开始转移。这是该交易所首次公开描述10月29日的攻击事件。

币安还发布了一份初始事件报告，并配合联合首席执行官Richard Teng和首席安全官Jimmy Su的媒体简报，描述了包括恶意软件下载、精心设计的招聘流程、绕过端点检测的恶意软件以及利用公司内部AI工具对付自家钱包工程师的一系列活动。

币安表示，大约28.5亿美元的被盗资产已被冻结或截获，98%受影响代币已用自有资金补充，其余部分在公开市场上购买。

“这不是一个错误或一次入侵，而是一场持续数月的行动，”Teng在X上写道。“我们发布完整报告是因为教训远不止于币安。”

FBI已将此次攻击与朝鲜联系起来。币安的报告提及了这一发现但并未采纳。周一，平壤否认了这一说法，领导人金正恩的妹妹金与正在官方媒体中称其为“严重的政治挑衅”。

币安盗窃案发生前已有五个月准备

据币安称，首次入侵发生在六月。一名钱包DevOps工程师寻找一款流行的AI编码工具，并安装了一个被篡改的Homebrew安装程序。

币安安全团队发现了异常，更换了设备并轮换了凭证。然而，这一事件暴露了该工程师的职责以及钱包基础设施团队同事的姓名。

九月，另一名工程师在一个真实的招聘平台上被一个自称是项目总监的人联系。随后进行了一场视频面试，面试者据称是HR代表，期间面试者分享了一个个人社交媒体账号以获取信任。第二次对话中，一位自称CEO的人下达了一项“任务”：一个代码仓库，要求工程师将其安装到工作机器上。

该仓库用一个恶意版本替换了合法的pyenv组件，并创建了一个指向攻击者控制服务器的链接。币安表示，其端点工具当时未标记该零日恶意软件。

10月20日，入侵者利用那台机器和一个内部AI工具接触到了另外两名钱包工程师，其中一人拥有容器部署令牌。10月29日17:15至19:56 UTC之间，他们侵入了第三名工程师的计算机，利用被盗凭证部署了一个容器，并开始盗取资金。币安表示，今年已拦截了57起其他疑似与朝鲜有关的类似诱饵攻击。

遏制行动耗时四小时

资产迅速转移。从20:05到20:09 UTC，五个热钱包向一个攻击者地址发送了2.3346亿XRP。随后，Solana和Optimism钱包转移了约970,500 SOL和4420万OP，一个币安热钱包发送了18,270 BTC。

攻击者利用被入侵的签名服务激活了以太坊的EIP-7702，该提案允许账户将执行权委托给智能合约而无需暴露其密钥，并将币安一个热钱包的部分控制权移交给了攻击者控制的合约。

暂停提款并未堵死最终路线。攻击者已经提交了50笔签名交易，以设立运行在币安提款基础设施之外的链上委托。由于钱包采用了多方计算，不存在可以撤销这些委托的单一密钥，团队不得不临时制定程序。最后一笔未经授权的转账，2,961.9 ETH，于23:56 UTC结算。

币安于10月30日00:10 UTC清除该委托。

报告承认了问题。“这些挑战延长了完全遏制未经授权资产移动所需的时间，”报告写道，并接着表示公司正在审查其签名策略覆盖范围和热钱包控制措施。

据Teng周二分享的数据，在周日重新开放提款后的46小时内，客户取出了109.7亿美元，净流出额为52.8亿美元。到03:00 UTC，每小时存款已超过提款，Teng称这一转变为稳定迹象。周二，币安恢复了九个网络上数十种资产的提款。

此次入侵已成为华盛顿的辩论话题。CFTC主席Michael Selig表示，这次黑客攻击“恰恰证明了我们的观点”，即需要为离岸交易所设立联邦注册路径，该机构周二批准了美国监管场所的权益永久期货，扩大了自5月Kalshi的比特币永久期货开始的回流趋势。

币安表示，钱包系统和内部AI工具已在全新环境中重建；受影响设备已被更换，工程师的凭证被撤销，行为异常检测得到扩展。

正在委托进行独立审查，端点安全与开发者环境安全支出正在增加，外部公司被纳入计划设立的AI安全研究基金。报告称，某些技术细节将保持保密。