币安称63.4亿美元黑客攻击始于虚假求职面试

比特币杂志

币安称63.4亿美元黑客攻击始于虚假求职面试

币安周二在其首次公开披露10月29日袭击事件时表示，这起63.4亿美元的盗窃案始于一场虚假的求职面试，在首枚代币被转移之前，整个过程持续了五个月。

币安发布的另一份初步事件报告，与联合创始人兼首席执行官Richard Teng和首席安全官Jimmy Su举行的媒体简报会一同发布。报告描述了一场结合了恶意软件下载、精心策划的招聘流程、能够逃避端点检测的恶意软件，以及攻击者利用内部AI工具反制公司钱包工程师的活动。

币安表示，已冻结或拦截约28.5亿美元的被盗资产，并从自有资金中补回了98%受影响代币，剩余部分已在公开市场购回。

Teng在X上写道：“这不是一次失误或一次漏洞——这是一场长达数月的活动。”“我们发布完整报告是因为其中的教训远不止于币安。”

美国联邦调查局（FBI）将此次袭击归因于朝鲜。币安的报告引用了这一发现，但并未自行做出归属认定。平壤周一否认了这一说法，金正恩的妹妹金与正通过国家媒体称其为“严重的政治挑衅”。

币安黑客攻击经历了五个月的准备

据币安称，这次黑客攻击的第一个立足点在六月形成。一名钱包DevOps工程师搜索了一款流行的AI编程工具，并下载了一个被篡改的Homebrew安装程序。

币安的安全团队发现了这一异常，更换了设备并轮换凭证，但这一事件暴露了该工程师的角色以及钱包基础设施团队同事的姓名。

九月，另一名工程师在合法的求职平台上被一名伪装成项目总监的人接触。随后进行了一场与所谓人力资源代表的视频面试，面试官分享了个人社交媒体账号以建立信任。第二次与所谓CEO的面试以一项“任务”结束：一个被指示安装在工程师工作电脑上的代码仓库。

该仓库用恶意版本替换了合法的pyenv组件，并打开了通往攻击者控制服务器的通道。币安表示，当时的端点工具未标记出该零日恶意软件。

10月20日，攻击者利用该机器和内部AI工具接触了另外两名钱包工程师，其中一人持有容器部署令牌。10月29日，UTC时间17:15至19:56之间，他们登录了第三名工程师的电脑，部署了带有被盗令牌的容器并启动了资金转移。币安表示，今年使用类似诱饵阻止了其他57次涉嫌与朝鲜有关的尝试。

四小时完成遏制

资金迅速转出。UTC时间20:05至20:09之间，五个热钱包向攻击者地址发送了2.3346亿枚XRP。Solana和Optimism上的钱包随后分别转出了约970,500枚SOL和4420万枚OP。随后，一个币安热钱包发送了18,270枚BTC。

攻击者利用受 compromised 的签名服务调用了以太坊的EIP-7702，该协议允许账户将执行权委托给智能合约而不暴露其密钥，从而使攻击者控制的合同获得了对币安热钱包的部分控制权。

暂停提款并不能阻止最后一个通道。攻击者提交了50笔签名交易以建立链上委托，这些委托在币安的提款基础设施之外运作。由于钱包使用了多方计算（MPC），不存在可以撤销它们的单一密钥，因此团队必须现场制定程序。最后一笔未经授权的转账2,961.9 ETH于UTC时间23:56结算。

币安在UTC时间10月30日00:10清除了该委托。

报告承认了这一差距。“这些挑战延长了完全遏制未经授权资产移动所需的时间，”报告称，并补充说公司正在审查其签名政策覆盖范围和热钱包控制措施。

根据Teng周二分享的数据，周日提款重新开放后的46小时内，客户提款了109.7亿美元，净流出为52.8亿美元。到UTC时间03:00，每小时存款超过提款，Teng将此称为稳定的迹象。周二，币安在九个网络上重新开放了数十种资产的提款。

此次泄露已成为华盛顿的讨论话题。商品期货交易委员会（CFTC）主席Michael Selig表示，这次黑客攻击“证明了我们关于离岸交易所需要联邦注册路径的观点”。周二，该机构批准了美国受监管场所的股票永续期货，延续了自五月以来通过Kalshi的比特币永续合约推动的本土化进程。

币安表示，它已在新环境中重建了钱包系统和内部AI工具，更换了受影响的设备，吊销了工程师的凭证，并扩大了行为异常检测。

该公司正在委托独立审查，增加对端点和开发者环境安全的支出，并计划与外部公司合作设立AI安全研究基金。报告称，一些技术细节将保持私密。

本文 币安称63.4亿美元黑客攻击始于虚假求职面试 最初出现在 比特币杂志，由 Micah Zimmerman 撰写。