币安公布63.4亿美元盗窃案初步调查：工程师被虚假招聘欺骗 在自己PC上执行恶意仓库
内容提要
币安公布10月29日安全事件调查：攻击者经数月准备，通过搜索引擎付费钓鱼网站和虚假招聘骗局入侵钱包团队工程师电脑，借内部AI工具获取钱包签名服务权限，转走约63.4亿美元资产。币安承担全部损失，已补充98%受影响资产，约28.5亿美元被冻结，FBI归因于朝鲜相关黑客。事件暴露币安内部安全培训不足。
延伸解读
钓鱼入口：搜索广告与供应链篡改
工程师A通过搜索引擎点击付费广告，下载了被篡改的Homebrew安装程序，导致钱包团队同事信息泄露。这并非高深攻击，而是利用开发者对常用工具和搜索结果的信任。文章指出，此类付费钓鱼网站近年来常见，员工若缺乏基本防范意识（如屏蔽搜索广告），极易成为突破口。币安安全团队虽发现异常并更换设备，但信息已泄露，为后续攻击埋下伏笔。
虚假招聘：社工攻击的精准渗透
攻击者通过正规求职平台联系工程师B，伪造项目负责人、HR和CEO面试，甚至准备社交媒体账号和视频建立信任，最终要求其在工作电脑上执行恶意仓库。这种骗局针对币圈从业者的求职需求，利用人性弱点绕过技术防御。文章认为，币安内部安全培训不到位，未能让员工识别这类经典社工手段，导致恶意程序成功感染工作电脑。
内部AI工具成跳板，签名服务失守
攻击者利用受感染的工程师电脑，借助币安内部AI工具控制另外两名钱包团队工程师的设备，并窃取容器部署权限令牌，最终获得钱包签名服务的未授权访问。文章披露，大额转账触发警报后，币安最初未发现签名授权机制问题，导致攻击者持续转账。这暴露了内部工具权限隔离和异常检测的不足，即使有警报，响应机制也存在滞后。
损失承担与后续风险
币安承担全部损失，截至10月31日已补充98%受影响资产，约28.5亿美元被冻结，FBI将攻击归因于朝鲜相关黑客。文章指出，尽管此次事件创下币圈最大规模攻击纪录，但类似骗局仍可能继续针对其他币圈公司和工程师。币安案例表明，仅靠终端安全工具和内部监控不足以防范社工攻击，持续的安全意识培训和权限最小化同样关键。
Q&A
币安10月29日安全事件中，攻击者是如何一步步入侵钱包团队的？
攻击者经过数月准备，先通过搜索引擎付费钓鱼网站诱骗工程师A下载篡改的Homebrew安装程序，导致钱包团队同事信息泄露；随后在9月通过虚假招聘骗局联系工程师B，诱使其执行恶意代码仓库，感染工作电脑；10月20日利用受感染电脑和内部AI工具控制另外两名工程师设备，最终获得钱包签名服务权限并转移资产。
币安工程师A和B分别遭遇了哪种骗局？
工程师A遭遇了搜索引擎付费钓鱼网站骗局：他在搜索Homebrew时点击了攻击者投放的广告，下载了被篡改的安装程序。工程师B遭遇了虚假招聘骗局：攻击者通过正规求职平台联系他，伪造公司CEO和HR面试，最后要求他在工作电脑上执行恶意代码仓库作为作业评估。
币安在此次事件中承担了哪些损失和应对措施？
币安承担全部损失：截至10月31日已补充98%受影响资产；截至11月3日约28.5亿美元资产被冻结或拦截；事件发生后币安暂停提现并启动调查，但最初未发现钱包签名授权机制问题，导致攻击者持续转账。
攻击者最终如何获得钱包签名服务的访问权限？
攻击者利用受感染的工程师电脑，借助币安内部AI工具控制另外两名钱包团队工程师的设备，发现工程师A电脑上有容器部署权限的令牌，于10月29日使用窃取的凭据部署容器并触发恶意脚本，从而获得内部钱包签名服务的未授权访问权限，绕过正常提现流程发起转账。
此次事件被归因于哪个黑客组织？转移了哪些资产？
美国联邦调查局将此次攻击归因于朝鲜相关的网络攻击活动。转移的资产包括：2.3346亿枚XRP、约97.05万枚SOL、约4420万枚OP、18270枚BTC，总价值约63.4亿美元。
币安内部安全存在哪些不足？
币安内部安全培训不到位，工程师未能识别常见的钓鱼和社交工程骗局；终端安全工具未能检测到恶意程序；内部安全监控未能发现异常；最初未发现钱包签名授权机制问题，导致攻击者持续转账。
