幣安於11月3日表示，駭客利用虛假求職面試、惡意軟體以及一個遭入侵的內部AI工具，於10月29日入侵其錢包系統，竊取63.4億美元。
摘要
- 攻擊者利用遭入侵的員工電腦與竊取的部署憑證，觸及幣安的錢包簽署基礎設施。
- 惡意的以太坊授權使得在幣安暫停正常提款服務後，轉帳仍能持續進行。
- 幣安表示約28.5億美元已被凍結或攔截，客戶損失已獲彌補。
- 專家預期對託管防護措施的需求將更為強勁，同時警告受監管平台仍面臨風險。
根據幣安的初步事件報告，這起攻擊歷經數月發展，結合了員工欺騙、遭入侵的軟體以及對內部系統的未授權存取。
該交易所表示，截至10月31日已補充98%受影響的代幣資產，並正在購買其餘流動性較低的加密貨幣。執行長Richard Teng表示，提款已大致恢復，用戶不會承擔任何損失。
幣安攻擊者從開發者工具轉向錢包系統
報告追溯至6月的一次早期接觸，當時一名錢包DevOps工程師在搜尋AI編碼工具時，下載了遭竄改的Homebrew安裝程式。安全人員偵測到異常，更換了裝置並輪換相關憑證。
然而，幣安表示，這次接觸暴露了該工程師的角色以及從事錢包基礎設施工作的同事。
9月時，第二名工程師透過合法招募平台被一名冒充專案總監的人接觸。在與一名自稱人力資源代表的視訊面試之後，又與一家虛構公司所謂的執行長進行了另一次面試。
在接近尾聲時，該工程師被指示將一個作業儲存庫下載到工作電腦上。惡意程式碼在安裝過程中執行，以遭入侵的版本取代了合法的pyenv開發工具。
幣安形容該惡意軟體此前未被其端點安全工具偵測到，並表示它會隱藏活動並清除痕跡。
10月20日，攻擊者利用遭入侵的電腦與一個內部AI工具，取得了兩名錢包工程師電腦的控制權。其中一台持有容器部署權杖。
數天後，即10月29日，攻擊者利用這些竊取的憑證部署了一個容器，並執行了一個觸及錢包簽署作業的惡意腳本。
以太坊權限使轉帳在提款停止後仍持續進行
根據報告，10月29日UTC時間20:05至20:09之間，五個幣安熱錢包將2.3346億枚XRP轉至攻擊者控制的地址。其他錢包則發送了約970,500枚SOL、4,420萬枚OP以及18,270枚BTC。
攻擊者隨後利用簽署服務，透過以太坊的EIP-7702機制建立惡意權限，該機制允許錢包將執行委託給智慧合約程式碼。
先前的錢包攻擊調查結果說明了攻擊者如何利用以太坊的EIP-7702功能，授予一個惡意智慧合約權限，以從幣安名為Binance 14的熱錢包中轉移資金。
幣安表示，暫停提款無法使已在以太坊上建立的權限失效。其多方計算錢包需要一套專門程序才能撤銷這些權限，因為沒有單一私鑰可供立即撤銷。
最後一筆未授權轉帳涉及2,961.9枚ETH，在先前已廣播並持續待處理後，於UTC時間23:56最終確認。幣安於10月30日UTC時間00:10清除了Binance 14的委託。
在10月31日的一份警報中，FBI將此次盜竊歸咎於北韓的TraderTraitor活動。該機構表示，正與美國特勤局及國稅局刑事調查部門合作，並敦促服務提供商封鎖與已識別地址相關的交易。
專家認為採用將持續，託管保護成為焦點
Cryptex Finance聯合創始人兼執行長Joe Sticco告訴crypto.news，他並不預期此事件會對採用造成長達數年的挫折。
他指出Tether、Circle及DeFi協議凍結受影響資產的行動，證明業界參與者能在重大中斷期間進行協調。Sticco預期此事件可能增加對受監管交易所及更強託管實務（包括冷儲存）的需求。
CoinShares研究主管James Butterfill強調了託管所附帶的法律保護。
「此事件凸顯了規範託管的法律框架為何重要。MiCA為Coinbase Luxembourg等授權實體的客戶提供了實質上更強的保障，包括客戶資產隔離，以及因可歸咎於提供商的事件所導致的託管損失責任，」Butterfill告訴crypto.news。
「這些保護強化了問責，但授權無法防止每一次駭客攻擊、保護投資者免受市場損失，或提供一般的投資者賠償計畫。」
Butterfill補充說，受監管的加密託管提供了更強的保護，但不會使持有資產等同於受存款保障計畫涵蓋的銀行存款。
Binance重建受影響系統並委託審查
Binance表示，約28.5億美元已被凍結或攔截，尚待對帳及市場價格變動。其先前的復原承諾所撥出的金額超過了估計的全部損失，用於替換受影響資產。
該交易所表示，已重建受影響的錢包環境及內部AI工具，更換了遭入侵的設備，停用了憑證，並掃描了員工設備。
Binance正聘請獨立網路安全公司審查此事件，並計畫增加在開發者安全、端點保護及行為監控方面的支出。
