撰文：Sam，Techub News
导语
10 月 30 日的币安热钱包被盗事件过去五天后，币安在 11 月 3 日晚发布了初步调查报告。这是币安第一次完整公开攻击链：攻击者用了将近五个月，先后借一个被篡改的 Homebrew 安装程序、一场以假乱真的招聘面试和公司内部的 AI 工具，逐步拿下三名工程师的电脑，最后在 10 月 30 日凌晨取得钱包签名服务的访问权限，并利用以太坊 EIP-7702 授权机制，在提现暂停后继续转走资产。
报告开头写道：「这本不应该发生。」币安称事件涉及资产约 63.4 亿美元，约 28.5 亿美元已被冻结或拦截，损失全部由币安承担，截至 10 月 31 日受影响代币已补足 98%。报告发布后，有业内人士以当年火币的安全规范作比较，称币安「有点太草台」；火币联合创始人杜均随后回应，客户资产安全不应成为交易所之间的竞争点，并呼吁建立跨平台安全联盟。
核心摘要
- 币安初步调查报告称，此次事件涉及数字资产约 63.4 亿美元，约 28.5 亿美元已被冻结或拦截；币安承担全部损失，截至 10 月 31 日受影响代币资产已补足 98%，剩余流动性较低的资产正在购入。
- 币安报告称这是一场多阶段攻击，攻击者综合使用了虚假招聘面试、恶意软件、内部 AI 工具入侵、终端设备攻陷和交易授权手段，并非单点入侵或简单钓鱼；FBI 已将事件归咎于朝鲜。
- 币安报告披露，攻击者在暂停提现后仍能转移资产，原因是恶意的 EIP-7702 授权已存在于链上、独立于币安的提现系统；受影响热钱包采用 MPC 技术，没有单一私钥可以立即撤销授权，最后一笔未授权转账于 07:56 确认，币安 08:10 才清除委托代码。
- 币安表示，入侵点均已封堵，受影响钱包系统已在全新环境中重建，并将邀请独立网络安全公司审查、扩大 AI 安全投入，筹备设立安全研究基金。
- 杜均表示，没有机构能做到绝对安全，客户资产安全应是行业共同底线，希望建立跨平台安全联盟，在威胁情报共享、风险预警、应急响应和被盗资产追踪上协作。
一、五个月的潜伏：从被篡改的 Homebrew 到内部 AI 工具
币安的报告把攻击准备分成四个阶段。
第一阶段是 2026 年 6 月的供应链攻击。钱包开发运维团队的工程师 A 为了安装一款热门 AI 编程工具，通过搜索引擎找到并下载了一个遭篡改的 Homebrew 安装程序。币安安全团队当时检测到异常，更换了设备并轮换了全部相关凭证，但工程师 A 的岗位信息，以及其钱包基础设施团队同事的信息，已经暴露给攻击者。报告附上了 SANS 互联网风暴中心 5 月 1 日的一篇分析链接，该文记录了一个通过搜索广告冒充 Homebrew 页面、诱导用户在终端运行脚本并植入 MacSync 窃密木马的案例。来源：SANS ISC
第二阶段是 9 月的社会工程攻击，也是整条攻击链中最具迷惑性的一环。软件工程师 B 在一个正规求职平台上收到一名自称「项目总监」的人的联系，起因是 B 在个人资料中写了在币安的工作经历。对方先安排了一轮由「人力资源代表」参与的实时视频面试，为了建立信任，面试者还把自己的社交媒体账号分享给 B，上面有个人生活照片和视频；第二轮面试在一款热门社交聊天应用上进行，面试者自称是这家虚构公司的 CEO。面试接近尾声时，B 被要求把一份包含代码仓库的「作业」下载到工作电脑上，仓库中的恶意代码在安装过程中就会执行。
币安称，这款恶意软件采用了复杂的混淆和规避检测技术，当时终端安全防护工具未能识别这一零日恶意软件。报告列出的操作显示，它把 Homebrew 目录下正常的 pyenv 文件删除，替换成一个 3,414 字节的恶意版本，再重建符号链接并启动 shell。攻击者还隐藏了恶意行为、清除了入侵痕迹。
第三阶段是 10 月 20 日。攻击者利用已被控制的工程师 B 的电脑，通过公司内部 AI 工具控制了工程师 A 和另一名钱包软件工程师 C 的设备，并很快在工程师 A 的电脑上发现了一个具有容器部署权限的令牌。
第四阶段是 10 月 30 日。01:15 至 03:56，攻击者登录工程师 C 的电脑，使用从工程师 A 处窃取的凭证部署了一个容器并执行恶意脚本，正式发起攻击。
币安还披露，2026 年以来其安全团队已检测并阻止了 57 起疑似与朝鲜有关的网络威胁，手段包括虚假招聘面试、伪装成热门开发工具的恶意软件、遭篡改的软件包和浏览器扩展、虚假视频会议应用等。来源：币安初步调查报告
二、10 月 30 日：签名服务被滥用，暂停提现也没能止损
报告称，攻击者利用未经授权获取的内部钱包签名服务访问权限，绕过正常提现流程发起交易。04:05 至 04:09，币安的五个热钱包向攻击者控制的地址转出 2.3346 亿枚 XRP；Solana 和 Optimism 网络上的热钱包分别转出约 970,500 枚 SOL 和 4,420 万枚 OP，比特币热钱包转出 18,270 枚 BTC。币安在收到大额转账的内部警报后启动调查。
随后，攻击者利用签名服务滥用了以太坊的 EIP-7702 授权机制。EIP-7702 允许账户在不暴露私钥的情况下，把部分执行权限委托给智能合约。攻击者提交了 50 笔签名交易，操纵账户 nonce 并建立恶意委托授权，使其控制的合约获得了币安受影响热钱包的部分执行权限。
这正是币安暂停提现后仍无法立即止损的原因。币安在报告中写道，恶意的 EIP-7702 授权已经存在于链上，其运行独立于币安正常的提现基础设施，暂停提现和关闭热钱包服务都不会让已有的链上授权自动失效；而受影响热钱包采用多方安全计算（MPC）技术，并不存在一个可以直接用来撤销授权的单一私钥，团队需要额外时间单独设计并执行一套撤销流程。
最后一笔未经授权的 2,961.9 ETH 转账于 07:56 在链上确认，这笔交易此前已广播、一直处于待确认状态。08:10，币安通过 Binance14 热钱包向空地址执行了一笔新的授权，清除了 EIP-7702 委托代码，此后未再发现未授权转账。币安承认，上述挑战延长了全面控制资产外流所需的时间，正在复盘应急响应流程、签名策略覆盖范围和热钱包控制机制。
三、损失与补足
币安称，此次事件涉及的数字资产价值约为 63.4 亿美元；截至报告发布，约 28.5 亿美元的资产已被冻结或拦截，具体金额仍需核对，并可能受市场价格波动影响。币安表示将承担全部损失，已保留超过 100% 的资金覆盖此次损失，截至 10 月 31 日，98% 的受影响代币资产已完成补足，用户可通过储备金证明页面核验，剩余流动性较低的资产正在购入。来源：币安储备金证明
报告发布次日，币安 11 月 4 日 23:26 发布进展公告 #7，称已回填约 98% 被盗资产，剩余约 2% 因相关代币流动性较低，补充速度将放缓；当天 08:00 生成的新一轮储备金证明快照覆盖 44 种代币，此前为 10 种。来源：币安公告 #7
与事发当天的说法相比，报告的口径有几处变化。币安 10 月 30 日上午的初步通报称，事件可能涉及一名 DevOps 工程师的笔记本电脑被入侵；报告则明确这是涉及三名工程师设备、横跨五个月的多阶段攻击。损失金额方面，区块链分析公司 TRM Labs 此前估计为约 63.6 亿美元，币安报告给出的是约 63.4 亿美元；冻结金额也从当天约 30 亿美元的说法调整为约 28.5 亿美元。来源：Techub News 复盘
归因方面，币安在报告中援引 FBI 的信息称朝鲜应对此次事件负责。据 BleepingComputer 等媒体报道，FBI 已于 10 月 31 日发布警报，将攻击归于朝鲜黑客组织 TraderTraitor，并要求交易所和区块链分析公司拦截相关地址的交易。来源：BleepingComputer
四、币安的整改与后续计划
币安称，截至 11 月 3 日，攻击中被利用的入侵点均已封堵，已完成以下措施：在全新环境中重建受影响的钱包系统；重建受影响的内部 AI 工具并加强访问控制；更换受影响设备；停用受影响工程师相关的凭证和令牌；完成全员设备的强化安全扫描；增强基于 AI 的行为异常检测；加强钱包服务风险控制；与执法部门、区块链情报机构及行业伙伴合作追踪并冻结资产。
接下来，币安计划邀请独立第三方网络安全专家全面审查此次事件并验证调查结果，扩大在 AI 驱动的威胁检测、终端防护、开发环境安全和行为监控上的投入，并与 AI 公司、行业参与者及安全机构筹备设立安全研究基金，开展聚焦区块链环境中 AI 安全的专项计划。币安同时表示，为防止攻击者利用相关信息，部分技术细节和安全措施将继续保密。
五、行业反应：「草台」质疑与跨平台安全联盟
报告在业内引发了不少讨论。y2z Ventures 合伙人 blanker 在 X 上发文称，自己「非常喜欢币安」，但这次「实在有点太草台了」。他回忆，2020 年在火币实习时，所有员工都被强制使用堡垒机加动态 MFA，离开座位必须锁屏，他一直以为这是交易所的标配，看完币安的复盘才发现火币当年在这方面「领先行业至少 6 年」。来源：blanker
火币联合创始人、Vernal Capital 创始人杜均转发并回应了这条帖文。他表示，李林时代的火币把安全放在第一位，客户资产保证金率始终要求不低于 105%；火币从 2013 年到 2022 年的 9 年间，前后约有 1 万名同事参与公司建设。但他也强调，安全从来不是一件容易的事，没有哪家机构敢说能做到绝对安全，行业今天的业务规模、技术复杂度和攻击手段都已远超当年。
杜均认为，客户资产安全不应该是交易所之间的竞争点，而应是整个行业共同坚守的底线。他希望行业推动建立跨平台的安全联盟，在威胁情报共享、风险预警、应急响应和被盗资产追踪等方面形成协作机制，「竞争归竞争，安全归安全。守护客户资产，是我们所有从业者共同的责任」。来源：杜均
币安方面也作出了回应。CZ 11 月 4 日发文称，如此规模的盗窃意味着发生了严重的安全失误，「没有平台无法被攻破，但这不能成为借口」；他承认「有些细节令人尴尬」，并称公开说明简化了实际情况，这似乎是一场持续数月甚至数年、针对数百名员工和系统的攻击，最终有少数被攻破。CZ 表示，分享这些细节虽然令人不适，但有助于整个行业吸取教训，作为股东，他期待币安透明说明问题、承担责任、接受批评并切实改进。来源：CZ
币安联合创始人何一当晚也回应称，对币安安全和权限管理的批评建议「我们都认」。她表示，报告发布前很多专业人士建议最好不写细节，但币安认为透明产生信任，如果报告在社会工程的复杂度和 AI 权限边界上能给同行提供警示，就有意义；币安已从各部门权限管理、安全环境、设备和 AI 工具等方面，按零信任和最小权限原则重构安全边界，后续将由安全审计出具报告。来源：何一
从币安的报告看，这次攻击几乎没有用到新的技术漏洞：被篡改的安装程序、假面试和社会工程都是朝鲜黑客组织反复使用的手法，币安自己今年就拦下了 57 起。真正让攻击得手的，是这些手法在三名工程师之间层层接力，最终串起了一条通往签名服务的路径，而内部 AI 工具成了其中的跳板。杜均提出的安全联盟能否落地还有待观察，但在威胁情报共享这件事上，这份报告本身已经是一个开始。
编辑说明：本文时间均为北京时间。事件经过、攻击链与整改措施均取自币安 11 月 3 日在 X 上发布的初步调查报告（中文版「2026年10月30日币安安全事件：调查初步发现与应对进展更新」，英文版同步发布），报告称调查仍在进行，结论将接受独立审查；FBI 归因取自 BleepingComputer 报道；杜均、blanker、CZ 与何一的观点取自四人 11 月 3 日至 4 日的 X 帖文，杜均有关火币保证金率与员工人数的说法为其本人陈述。本文未引用中文加密媒体的报道。
免责声明：本文仅为信息报道与分析，不构成任何投资建议。
