币安安全事件初报：63.4 亿美元数字资产受影响，公司承担全部损失
台北时间 11 月 3 日晚间，加密货币交易平台币安（Binance）在其官方 X 账号发布了关于 10 月 29 日安全事件的初步调查报告。报告指出，此次事件波及约 63.4 亿美元的数字资产，截至更新时，已有约 28.5 亿美元被冻结或拦截。币安承诺将承担此次事件的全部财务影响，用户不会因此蒙受损失。美国联邦调查局（FBI）的最新信息则将此次事件的责任指向朝鲜民主主义人民共和国（北韩）。
事件初步调查与回应
币安于台北时间 11 月 3 日约 22 时 33 分发布了题为《29 October Binance Security Incident: Initial Findings and Response Update》的初步报告，向用户、合作伙伴及业界致歉，并详细说明了 10 月 29 日发生的此次严重且高度复杂的安全事件的调查进展。声明强调，公司将全额承担被盗资金的财务损失，用户无需承担任何责任，并已预留超过所需资金 100% 的储备以覆盖潜在损失。
初步报告显示，约有 63.4 亿美元的数字资产受到影响。截至本次更新，约 28.5 亿美元的资产已被冻结或拦截，但这些资产的最终确认仍需核实，并可能受到市场价格波动的影响。美国联邦调查局（FBI）的最新信息则明确指出，朝鲜民主主义人民共和国（北韩）应为此事件负责。币安同时强调，这是一份初步报告，调查仍在进行中，部分技术细节将予以保密，并已聘请独立的网络安全公司进行复核。
截至 10 月 31 日，受影响代币资产的 98% 已得到回填，用户可在币安的“储备证明”（Proof of Reserves）页面进行验证。其余流动性较低的资产仍在购买过程中。公司已采取措施关闭攻击入口，重建或替换受影响的系统，并加强了设备管控、钱包服务风险控制，以及基于人工智能（AI）的行为异常检测。
币安表示，为围堵此次事件，公司暂停了提款服务，并与合作伙伴协调冻结受影响的代币，同时撤销了未经授权的权限，累计冻结了约 28.5 亿美元的资产。对于用户而言，财务缺口将由公司吸收，回填进度可参照储备证明页面公开验证的数字。
攻击路径与技术细节
根据初步报告，攻击者通过未经授权访问内部钱包签名服务，绕过了正常的提款流程发起了交易。在台北时间 10 月 30 日凌晨约 4 时 05 分至 4 时 09 分（UTC 10 月 29 日 20:05–20:09），五个热钱包被转移了 2.3346 亿枚 XRP。此外，Solana 和 Optimism 的热钱包也分别被转移了约 97.05 万枚 SOL 和 4,420 万枚 OP。随后，热钱包还被转移了 18,270 枚 BTC。币安在收到大额转账的内部警报后立即展开了调查。
攻击者随后利用签名服务，操作了以太坊的 EIP-7702 授权机制。该机制允许账户将部分执行权限委托给智能合约，而无需暴露私钥。攻击者通过此方式让恶意合约获得了热钱包的部分执行权限。值得注意的是，仅暂停提款服务无法阻止所有未经授权的资产转移，因为恶意的 EIP-7702 授权存在于链上，独立于正常的提款基础设施。攻击者通过提交 50 笔签名交易来操纵 nonce，建立恶意委托后，便能继续转移资产。
热钱包采用了多方计算（MPC）技术，这意味着不存在单一私钥可以立即撤销 EIP-7702 授权。团队不得不开发专门的程序来撤销授权，这耗费了更长的时间。最后一次未经授权的转出发生在台北时间 10 月 30 日上午 7 时 56 分（UTC 23:56），涉及 2,961.9 枚 ETH，此后未再出现未经授权的转出现象。同日上午 8 时 10 分（UTC 10 月 30 日 00:10），Binance14 热钱包向零地址发出新的授权，清除了 EIP-7702 委托。
攻击的根源与多阶段行动
调查显示，此次攻击是一次多阶段行动，结合了社会工程学（如假招聘面试）、恶意软件下载、内部 AI 工具被利用、端点设备沦陷以及高级交易授权手法。报告指出，在 2026 年 6 月，一名钱包 DevOps 工程师 A 在搜索并下载了被篡改的 Homebrew 工具以安装热门 AI 编程工具时，其行为被安全团队侦测到。尽管安全团队及时更换了设备并轮换了凭证，但 A 的角色以及钱包基础设施同事的信息仍可能暴露给了攻击者。币安表示，在 2026 年全年，安全团队已侦测并阻止了 57 起疑似与北韩相关的网络攻击，其手法包括假冒面试、伪装成开发工具的恶意软件、被篡改的软件包和浏览器扩展、虚假视频软件，以及窃取凭证或部署远程恶意软件的社会工程学攻击。
在 9 月，一名软件工程师 B 通过求职平台接触了一位自称“项目总监”的人士。B 先后经历了 HR 的视频面试和自称 CEO 的二面。在面试接近尾声时，B 被要求将包含恶意代码的“作业”仓库下载到工作电脑。该 0-day 恶意软件替换了合法的 pyenv 组件并与外部建立连接，当时端点防护未能侦测到。10 月 20 日，攻击者利用 B 的电脑，通过内部 AI 工具控制了工程师 A 和钱包软件工程师 C，并发现了 A 电脑上的容器部署权限 token。
10 月 29 日 UTC 17:15 至 19:56（台北时间约 10 月 30 日凌晨 1 时 15 分至 3 时 56 分），攻击者登录了 C 的电脑，并利用 A 的凭证部署了容器，随后触发了恶意脚本发动攻击，最终切入了钱包签名作业。
后续措施与行业影响
截至台北时间 11 月 3 日，币安表示已在新环境中重建了钱包系统，并重建了内部 AI 工具和访问控制。受影响的设备已被更换，相关凭证和 token 已作废，并完成了对所有员工设备的安全强化扫描。同时，公司加强了 AI 行为异常检测和钱包服务的风险控制，并与执法部门、链上情报机构和行业伙伴合作，追踪和冻结受影响的资产。
后续措施还包括聘请独立的第三方网络安全专家对事件进行全面复核并提出改进建议，加大对 AI 侦测、端点防护和开发环境安全的投资，以及筹设安全研究基金，与领先的 AI 公司、业界和安全公司合作，共同推动区块链环境下的 AI 安全倡议。对于用户和市场而言，此次事件的财务损失由公司承担，回填与冻结的进展已可通过公开页面和执法信息进行对照。此次初步报告详细披露了从社会工程学到 EIP-7702 的技术细节，也将交易所端点和开发工具供应链的风险问题，推向了整个行业的共同课题。
