币安被盗事件复盘：从员工电脑到热钱包签名服务

币安被盗事件复盘：从员工电脑到热钱包签名服务

2026 年 10 月 29 日，攻击者取得币安内部钱包签名服务的未授权访问，在常规提现流程之外发起交易。币安估计受影响资产约 63.4 亿美元，TRM Labs 按转出时的资产价格估算约 63.6 亿美元流出。币安另披露约 28.5 亿美元资产被冻结或拦截，冻结金额与最终追回金额需要分别核算。FBI 将攻击归因于朝鲜的 TraderTraitor。资料采集时间为 2026 年 11 月 4 日，链下经过依据币安初步调查。 币安调查 · TRM Labs 链上分析 · FBI 通报

假面试把外部代码带进工作电脑

币安披露，6 月，一名钱包运维工程师下载了被篡改的 Homebrew 安装程序。安全团队更换设备并轮换凭据，工程师身份及同事信息已经暴露。9 月，另一名工程师参加假招聘面试，在工作电脑上运行了含恶意代码的面试作业。项目初始化时，恶意程序替换本机开发工具的组件，并与攻击者控制的外部服务器通信。两起事件之间的完整取证关联尚未公开。 币安调查

外部代码一旦在员工账户下执行，就可以使用该账户已有的权限和网络条件。只检查公网流入，会漏掉感染设备主动发起的外连。开发环境隔离的关键，是让不可信代码所在的环境无法读取企业凭据或接触生产网络。

一枚部署令牌把终端风险带进生产环境

币安称，10 月 20 日，攻击者从已入侵的终端出发，经内部 AI 工具控制了钱包团队另外两名工程师的设备，其中一台持有容器部署令牌。10 月 29 日，攻击者登录另一台受控设备，利用窃取的凭据部署容器并触发恶意脚本。内部工具的具体缺陷、令牌权限和容器调用签名服务时的身份仍未公开。 币安调查

部署权限决定谁能把代码放进生产环境，服务身份决定代码在那里能调用什么。两道边界若相互独立，即使有人拿到部署令牌，仍要通过签名服务的鉴权与审批。单靠内网访问限制，无法约束已经运行在获准网络里的工作负载。可结合站内的防火墙规则与回滚教程理解网络层隔离。

签名服务如何把链下入侵变成链上转账

币安披露，攻击者绕过常规提现流程取得了签名服务的访问。公链验证交易是否满足链上的授权规则，交易所则要判断该请求是否确实有对应的业务审批。若攻击者能让合法签名服务生成恶意操作所需的签名，即使私钥或密钥份额没有被导出，钱包仍可能被盗用。 币安调查

北京时间 10 月 30 日 04:05 左右，XRP Ledger 出现异常转账。随后 Solana、Optimism 等网络也出现流出。约 04:20，一个比特币热钱包转出 18,270 BTC。TRM Labs 追踪到十条链上的资产流出，大部分发生在约 20 分钟内。除以太坊出现 EIP-7702 委托外，其余九条链采用普通签名转账。多链异常支持了 TRM 对热钱包签名基础设施遭入侵的判断。 TRM Labs 链上分析

暂停提现之后，为什么仍要撤销链上委托

EIP-7702 允许普通以太坊账户通过签名指定委托代码。对该账户发起调用时，可以在其上下文中执行指定代码。普通转账签名批准一笔交易，委托授权则可能持续影响账户如何处理后续调用，直到被替换或清除。 EIP-7702 规范

币安称，攻击者利用签名服务建立了指向其控制代码的委托。停止提现可以切断常规业务路径，清除链上委托则需要额外交易。受影响的钱包使用多方计算签名（MPC），团队为此执行了专门的撤销流程。北京时间 07:56，最后一笔已知的未经授权转账确认。08:10，币安清除了 Binance14 热钱包的委托。 币安调查

资金冻结与追踪各自解决什么问题

部分代币发行方能冻结指定地址中的代币。BTC 和以太坊主网的原生 ETH 没有能执行同类冻结的代币发行方。TRM 后续观察到部分未冻结资产经过兑换、借贷和跨链服务流转。调查人员需要关联不同资产和不同链的交易，只追踪单个地址的 USDT 转账会漏掉部分资金路径。 TRM Labs 后续追踪

四道可以独立阻断的边界

短期凭据与可撤销授权的思路，也可以用站内的 OpenSSH 用户证书教程作类比。对钱包团队，最直接的演练问题是：假设开发电脑和部署令牌同时失守，攻击者还必须通过哪些独立检查，才能让热钱包签出一笔交易？