币安披露63.4亿美元盗窃案初步调查：两起钓鱼骗局如何击穿防线

币安近日公布了一起涉案金额高达63.4亿美元盗窃案的初步调查结果。调查显示，攻击链条的起点并非高深的技术漏洞，而是两起针对工程师个人的钓鱼与社会工程学骗局。币安表示，所有损失将由币安自行承担。

损失处置与外部归因

按照币安披露的进展，截至10月31日，受影响代币资产的98%已经完成补充；截至11月3日的通报，约有28.5亿美元的资产已被冻结或拦截。美国联邦调查局将此次攻击归因于朝鲜相关的网络攻击活动。

工程师A：搜索引擎里的假Homebrew

调查显示，钱包团队的工程师A为安装常用的AI编程工具，通过搜索引擎搜索Homebrew关键词，并点击了攻击者付费投放的钓鱼网站，结果下载的是被篡改的Homebrew安装程序。

币安称，当时其安全团队已经发现异常，随后更换该工程师的设备并轮换相关凭证。但此时攻击者已经了解到这名工程师的工作职责，以及其所在钱包基础设施团队同事的相关信息，黑客顺着这个方向继续开展攻击。

这起攻击可以追溯到2026年6月，不过工程师A遇到的问题当时并未造成严重后果。但其导致的钱包团队同事信息泄露，为后续针对钱包团队成员的攻击埋下了隐患。

工程师B：伪造的招聘面试与恶意仓库

9月份，攻击者又通过正规求职平台联系工程师B，这名工程师的公开资料提到自己在币安的工作经历。攻击者假冒项目负责人，安排所谓的人力资源面试和公司CEO面试，还准备了社交媒体账号、个人照片和视频来建立信任。

在第二轮面试接近结束时，工程师B被要求在工作电脑上下载作业，用于求职评估。这份代码仓库在安装过程中执行恶意程序，替换本机开发工具pyenv的组件，以便执行命令和连接攻击者控制的服务器。

币安表示，恶意程序使用了混淆、规避检测和清除痕迹等手段，当时的终端安全工具未能检测到它。从结果来看，币安内部的安全监控也未能发现异常，于是这个恶意程序成为攻击的突破口。

借内部AI工具跳板，入侵签名服务

到10月20日，攻击者利用受感染的工程师电脑，借助币安内部AI工具取得对另外两名钱包团队工程师设备的控制，其中包括此前已经受到供应链攻击的工程师A。

攻击者随后发现工程师A的电脑上有一个具备容器部署权限的令牌。10月29日17:15至19:56 UTC，攻击者登录另一名钱包工程师的电脑，使用窃取的凭据部署容器并触发恶意脚本。最终攻击者获得内部钱包签名服务的未经授权访问权限，绕过币安正常的提现流程发起转账。

币安披露的资产转移包括：2.3346亿枚XRP、约97.05万枚SOL、约4420万枚OP、18270枚BTC。币安自称大额转账触发公司内部警报后，其启动调查并暂停提现，但实际情况是币安最初并未发现钱包签名授权机制问题，导致发现异常后攻击者仍然持续发起多笔成功的转账。

经典骗局为何仍能奏效

无论是工程师A还是工程师B遇到的钓鱼或社工行为，都是近年来黑客制造的经典骗局。在搜索引擎上点击付费钓鱼网站着实不应该，至少这名工程师应该安装uBlock Origin屏蔽搜索引擎上的广告。

工程师B遇到的骗局也非常常见。近年来黑客经常打造虚假人设，面向币圈公司发起招聘骗局，有些是诱导入职币圈公司，有些则是要求求职者下载恶意仓库交作业，成功率相当高。

这里不太适合指责工程师A和工程师B，毕竟不能要求所有人都是安全工程师，但这似乎也说明币安的内部安全培训不到位，至少这些经典骗局应该通过内部安全培训宣讲，提高员工的安全意识。

不过即便币安此次黑客事件创下币圈历史上最大规模的攻击纪录，接下来估计还有其他币圈公司、币圈工程师继续遇到类似的骗局，肯定还会有币圈公司继续中招。