Binance详述黑客攻击：假招聘面试与AI工具遭入侵

Binance于2026年11月3日发布的初步调查结果称，黑客于2026年10月29日窃取约63.4亿美元数字资产前，曾利用虚假的招聘面试、恶意开发软件以及遭入侵的内部AI工具实施攻击。

Binance将自行承担财务损失，不会将损失转嫁给用户。Binance称，已拨备超过弥补损失所需金额100%的资金；截至2026年10月31日，已补足受影响代币资产的98%，并冻结或拦截了约28.5亿美元的资产，但最终金额仍需核对，且可能受市场价格波动影响。Binance正在购入剩余的流动性较差的资产。

用于说明资产补足情况的储备证明页面称，托管的用户资产均有1:1的储备支持。该页面使用默克尔树记录和zk-SNARK证明，让用户能够验证自己的余额是否列入负债报告。

目前的调查结果仍属初步结论。调查仍在进行，独立审查尚未完成；Binance暂不披露部分技术细节，以免帮助恶意行为者策划攻击。

钱包遭攻击前，攻击者已潜伏数月

2026年6月，一名钱包开发运维工程师在尝试安装通过搜索引擎找到的一款热门AI编程工具时，下载了遭篡改的Homebrew安装程序。Binance发现异常后更换了设备并轮换了相关凭据，但这名工程师的岗位以及钱包基础设施团队的同事当时已暴露在攻击者面前。

2026年9月，另一名软件工程师通过一个正规的求职平台收到联系，对方冒充项目主管。工程师先与一名自称人力资源代表的人进行了实时视频面试，随后又在一款热门社交聊天应用中参加第二轮面试，对方自称是一家虚构公司的首席执行官。面试接近尾声时，工程师被要求将一份包含恶意代码库的作业下载到工作电脑上。作业中的代码在安装过程中执行。

恶意软件用恶意版本替换了合法的pyenv组件，并与攻击者控制的服务器通信。Binance称，当时终端防护未能检测到这种零日恶意软件；与此同时，攻击者采取措施掩盖活动并清除入侵痕迹。

2026年10月20日，攻击者利用第二名工程师遭入侵的电脑和一款内部AI工具，将控制范围扩大至最初遭攻击的开发运维工程师和另一名钱包软件工程师。随后，攻击者在该开发运维工程师的电脑上发现了一个容器部署权限令牌。10月29日17:15至19:56 UTC期间，攻击者登录第三名工程师的电脑，使用从开发运维工程师处窃取的凭据部署了一个容器，并触发恶意脚本，发动钱包攻击。

链上授权增加了遏制攻击的难度

攻击者未经授权访问内部钱包签名服务，发起了不经过Binance常规提款流程的交易。20:05至20:09 UTC期间，Binance的五个热钱包向一个由攻击者控制的地址转出2.3346亿枚XRP。随后，资金又从Solana和Optimism热钱包流出；此外，Binance的一个热钱包向攻击者控制的地址转出18,270枚比特币。

攻击者还利用了以太坊的EIP-7702授权机制。该机制允许账户在不暴露私钥的情况下，将某些执行权限委托给智能合约。攻击者通过50笔签名交易操纵账户随机数，并建立恶意委托授权，使攻击者控制的合约获得对Binance一个热钱包的部分执行权限。这些授权使资产能够脱离交易所的提款基础设施继续转移。

因此，暂停提款并关闭热钱包服务，并不能使现有链上权限失效。由于该钱包采用多方计算，没有可立即撤销权限的单一私钥，因此必须执行专门的流程，这花费了额外时间。最后一笔未经授权的转账为2,961.9枚以太币；该笔交易此前一直处于待处理状态，最终于23:56 UTC在链上完成。此后未发现更多未经授权的转账。2026年10月30日00:10 UTC，Binance通过其Binance14热钱包执行了一项指向零地址的新授权，清除了恶意委托代码。

重建系统，FBI另行归因

截至11月3日，Binance已在新环境中重建受影响的钱包系统，也重建了受影响的内部AI工具及其访问控制。Binance还更换了受影响的设备，停用了相关凭据和令牌，完成了对员工设备的强化扫描，扩大了基于AI的行为异常检测，并加强了钱包服务的风险控制。

目前正在聘请独立的第三方网络安全专家，以验证调查结果并提出其他措施。Binance 正在加大对人工智能赋能的检测、终端防护、开发环境安全和行为监控的投入。此外，Binance 还在着手设立安全研究基金，并与人工智能公司、行业参与者及专注于区块链环境人工智能安全的安全企业开展有针对性的合作项目。

在另一份日期为2026年10月31日的通知中，FBI表示，朝鲜的 TraderTraitor 行动者对此负责；该局及其美国特勤局（USSS）和国税局刑事调查部门（IRS-CI）合作伙伴观察到，这些行动者主要将被盗资产兑换为以太币，并预计他们还会通过去中心化金融（DeFi）和即时兑换服务进一步洗钱。各机构敦促节点运营商、交易所、DeFi 服务、区块链分析公司及其他虚拟资产服务提供商，拦截涉及所列地址或源自这些地址的交易。

这份叙述揭示了一个超出恶意软件检测范畴的遏制难题：更换首台遭入侵的设备，并未切断攻击者与钱包团队的接触；暂停提款，也未能消除链上权限。如今，独立审查将核查 Binance 对这条事件链的重建情况，并评估其重建后的控制措施是否能解决这一问题。