币安称黑客利用虚假面试和内部AI工具实施了63亿美元盗窃案
内容提要
据Binance复盘，朝鲜黑客组织“TraderTraitor”历时数月，通过恶意谷歌广告、伪装招聘面试及虚假面试作业植入恶意软件，利用未检测到的0day后门和内部AI工具控制钱包，盗取约63亿美元加密资产。Binance表示已冻结或拦截约28.5亿美元，98%受影响代币已补足，用户未承担损失。
延伸解读
攻击链的递进性：从广告投毒到假面试
文章显示，攻击并非单点突破，而是分阶段推进：6月先通过恶意谷歌广告投放篡改安装包，获取开发者信息；9月再以招聘为名，用多轮面试和社交媒体资料建立信任，诱导下载伪装成面试作业的恶意软件。这种递进式社工手法说明，单次安全事件被处置后，攻击者仍可能换人、换入口继续渗透，企业需关注跨月度的异常关联。
0day与工具链替换：检测盲区在哪
Binance称6月首次恶意安装曾被检测并更换设备，但第二次攻击替换了pyenv可执行文件，以恶意版本建立后门，且该0day恶意软件当时未被终端防护工具发现。攻击者还采取混淆和清除痕迹措施。这提示，即使有端点防护，开发工具链中的合法组件被替换仍可能绕过检测，事后调查也会因痕迹被清理而更困难。
MPC钱包的响应限制：为何难以及时撤销
文章解释，热钱包采用多方计算（MPC），没有单一私钥可立即撤销恶意的EIP-7702授权，导致首笔未授权转账后近两小时内的交易难以阻止。这说明MPC在避免单点私钥风险的同时，也改变了应急响应方式：撤销授权需要多方协调，安全团队需提前设计针对MPC架构的快速阻断流程，而非依赖传统单私钥操作。
损失处置与未解疑问
Binance表示已冻结或拦截约28.5亿美元，98%受影响代币已补足，用户不承担损失，提现已基本恢复。但文章指出，为何此类“面试要求下载并执行代码”的长期警告仍未奏效，以及内部AI工具具体如何被用于控制钱包，均缺乏细节。读者应关注后续披露，而非仅看追回比例，因为攻击入口和AI工具滥用机制仍不清晰。
Q&A
币安63亿美元盗窃案是哪个黑客组织实施的？
据币安复盘，该盗窃案由朝鲜黑客组织“TraderTraitor”实施，美国联邦调查局（FBI）也将其认定为朝鲜的一个单位。
黑客最初是如何入侵币安开发人员的？
攻击始于2026年6月，一名开发人员下载了通过恶意谷歌广告传播的篡改安装程序，导致工程师信息及工作方式泄露。
黑客在面试环节用了什么手段植入恶意软件？
2026年9月，攻击者伪装成招聘方，通过多轮电话和面试建立信任，最终诱骗另一名工程师下载了伪装成面试作业的恶意软件。
币安的安全工具为什么没有检测到第二次攻击？
第二次攻击中，恶意软件采用了复杂的混淆和规避技术，将合法的开发工具组件替换为恶意版本，以执行命令并与攻击者控制的服务器通信。该0day恶意软件当时未被端点安全防护工具检测到，攻击者还采取措施隐藏活动并清除痕迹。
黑客是如何利用币安内部AI工具控制钱包的？
到2026年10月20日，攻击者利用币安内部AI工具控制了6月被入侵的第一名工程师以及第三名员工的钱包，并于10月29日登录第三名员工的电脑发动攻击。
币安为什么无法立即阻止未经授权的转账？
币安解释称，由于热钱包使用多方计算（MPC），没有单一私钥可以立即撤销恶意的EIP-7702授权，导致首次未经授权转账后近两小时内的交易无法被阻止。
币安在事件后采取了哪些补救措施？用户是否承担损失？
币安表示已冻结或拦截约28.5亿美元被盗资产，98%受影响代币已补足，正在完成剩余2%，提现已基本恢复。CEO Richard Teng称没有用户承担损失。
