Binance 詳述假工作面試如何導致 63.4 億美元竊案

Binance 週二表示，63.4 億美元的竊案起因於一場假工作面試，歷經五個月後才開始有資金被移動。這是該交易所首次公開說明10月29日攻擊事件的經過。

Binance 同時發布了一份初步事件報告，並搭配由聯合執行長 Richard Teng 與首席安全官 Jimmy Su 主持的媒體簡報，內容描述了一連串行動，包括遭下毒的軟體下載、精心策劃的招募流程、繞過端點偵測的惡意軟體，以及被用來對付公司自家錢包工程師的內部 AI 工具。

Binance 表示，被盜資產中約有28.5億美元已被凍結或攔截，受影響的代幣中98%已用其自有資金補足，其餘則在公開市場購入。

「這不是單一錯誤或單一漏洞，而是一場持續數個月的行動，」Teng 在 X 上寫道。「我們公布完整報告，因為這些教訓的影響遠超 Binance。」

FBI 已將這起攻擊與北韓聯繫起來。Binance 的報告提及這項發現，但未予以採納。週一，平壤當局否認這項說法，領導人金正恩的胞妹金與正在官方媒體上稱其為「嚴重的政治挑釁」。

Binance 竊案前五個月的準備

根據 Binance 說法，最初的立足點出現在6月。一名錢包 DevOps 工程師尋找一款熱門 AI 編碼工具，並安裝了遭到竄改的 Homebrew 安裝程式。

Binance 的安全團隊察覺異常，更換了設備並輪換了憑證。然而，這起事件仍洩露了該工程師的職務，以及錢包基礎設施團隊中同事的名字。

9月，另一名工程師在一個正規招募平台上，被一名自稱專案總監的人聯繫。隨後與一名自稱人資代表的人進行了視訊面試，期間面試官分享個人社群媒體帳號以取得信任。接著與一名自稱執行長的人進行第二次談話，最後以一項「任務」作結：工程師被指示在工作電腦上安裝一個程式碼儲存庫。

該儲存庫以惡意版本取代了合法的 pyenv 元件，並建立了一個連向攻擊者控制伺服器的連結。Binance 表示，其端點工具當時並未標記這個零日惡意軟體。

10月20日，入侵者利用那台機器和內部 AI 工具，接觸到另外兩名錢包工程師，其中一人持有容器部署令牌。10月29日，在 17:15 至 19:56 UTC 之間，他們進入第三名工程師的電腦，使用遭竊的憑證部署了一個容器，並開始將資產轉出。Binance 表示，今年已攔截了57起其他疑似與北韓有關、使用類似誘餌的攻擊嘗試。

遏止行動耗時四小時

資產移動得很快。從 20:05 至 20:09 UTC，五個熱錢包向一個攻擊者地址發送了 2.3346 億枚 XRP。接著，Solana 與 Optimism 錢包移動了約 970,500 枚 SOL 與 4,420 萬枚 OP，Binance 熱錢包則發送了 18,270 枚 BTC。

攻擊者利用遭入侵的簽章服務啟動了 Ethereum 的 EIP-7702，該標準允許帳戶將執行權委派給智慧合約，無需暴露其金鑰，並讓攻擊者控制的合約取得了 Binance 熱錢包的部分控制權。

暫停提款並未封鎖這最後一條途徑。攻擊者早已提交了50筆簽章交易，以建立運行於 Binance 提款基礎設施之外的鏈上委派。由於錢包採用多方計算，沒有任何單一金鑰可以撤銷這些委派，迫使團隊臨時制定程序。最後一筆未授權轉帳為 2,961.9 ETH，於 23:56 UTC 完成結算。

Binance 於10月30日 00:10 UTC 清除了該委派。

報告承認了問題。「這些挑戰延長了完全遏止未授權資產移動所需的時間，」報告寫道，並接著表示公司正在檢討其簽章政策涵蓋範圍與熱錢包控制措施。

根據 Teng 週二分享的數據，在週日恢復提款後的46小時內，客戶提領了109.7億美元，淨流出達52.8億美元。到了 03:00 UTC，每小時存款已超過提款，Teng 稱此轉變為穩定跡象。週二，Binance 在九個網路上恢復了另外數十種資產的提款。

這起入侵事件已成為華府辯論的主題。CFTC 主席 Michael Selig 表示，這起駭客攻擊「恰好證明了我們的觀點」，即離岸交易所需要一條聯邦登記途徑；該機構週二批准美國受監管場所推出股票永續期貨，延續了從5月 Kalshi 比特幣永續合約開始的在岸化推動。

Binance 表示，錢包系統與內部 AI 工具已在全新環境中重建；受影響的設備已更換，工程師的憑證已撤銷，行為異常偵測也已擴大。

目前正委託進行獨立審查，並增加對端點與開發人員環境安全的花費，同時引進外部公司加入規劃中的 AI 安全研究基金。報告表示，部分技術細節將保持不公開。