Binance披露黑客借假面试与恶意软件窃取63.4亿美元

Binance在周二发布的一份新安全公告中，详细说明了其对公司如何被入侵以及黑客如何在短短20分钟内窃取数十亿美元的初步调查结果。据Binance称，此次黑客攻击源于一名工程师轻信了一场虚假的求职面试，并下载了恶意软件。随后，黑客得以在公司网络中横向移动，利用一个内部AI工具，并获取了一个钱包签名服务的访问权限，从而能够在正常提现流程之外发起交易。

Binance在安全公告中写道：“这本不该发生，对于此事给我们的用户、合作伙伴以及整个行业带来的担忧、混乱和不确定性，我们深表歉意。”公告还表示，公司已拨备资金以弥补损失，并“重建或替换”了在此次攻击中受影响的内部系统。该公司表示：“这不是一次孤立的入侵事件，也不是一起简单的钓鱼事件。”

尽管有超过60亿美元从Binance账户中被盗，但其中近一半——在可能的情况下——已被加密货币行业的部分机构冻结，这意味着黑客无法动用这些资金。然而，仍有数十亿美元掌握在朝鲜黑客手中，他们一直试图将窃取的资金洗白为可以获取和变现的形式。这一过程可能需要数月时间。

Binance的分析称，此次黑客攻击是黑客数月工作的累积结果，最终攻击发生在10月29日。在资金开始从Binance的热钱包中、跨十余条不同区块链被转出后不久，多家加密货币追踪公司便将此次攻击归咎于朝鲜（DPRK）黑客，尤其是手法老练的TraderTraitor组织，该组织去年曾在另一起黑客攻击中窃取超过15亿美元。FBI于10月31日迅速将TraderTraitor与Binance被黑事件关联起来。

安全公司Sophos威胁情报高级总监Rafe Pilling表示：“Binance的说法与我们了解的TraderTraitor作案手法一致。攻击者并非只是窃取了一个钱包密钥。他们攻陷了工程师，利用这一访问权限了解并在环境中移动，最终颠覆了用于授权交易的系统。”

Binance本身并未直接将矛头指向TraderTraitor黑客，但该公司提到了FBI对朝鲜的归因，并承认此前曾遭朝鲜网络犯罪分子针对。该公司的公告称：“在整个2026年，Binance安全团队发现并阻止了57起疑似与朝鲜有关的网络威胁案件。”

Binance表示，与此次黑客攻击相关的活动最早可追溯至今年6月。公告称，当时公司称为“工程师A”的一名工程师下载了其在网上搜索到的“被篡改的Homebrew安装包”。虽然公司表示此事已被发现并处理，但该员工的相关信息后来“暴露给了黑客”。

Binance称，9月初，另一名仅被称为“工程师B”的软件工程师在“一个合法的求职平台”上被联系，随后参加了一场视频面试，假招聘者分享了看似真实的社交媒体账号和个人照片，以使其显得可信。这名Binance工程师随后——毫不意外地——进入了第二轮面试，该轮面试通过在线聊天进行。Binance的报告称：“面试接近尾声时，工程师B被要求下载一份包含恶意代码仓库的‘作业’到其工作电脑上。”

该公司写道：“该恶意软件采用了复杂的混淆和规避技术，包括用恶意版本替换合法的开发工具组件，以执行命令并与攻击者控制的外部服务器建立通信。”该公司补充说，黑客还采取措施隐藏其活动，这是一种常见做法。

Binance称，10月底，即黑客攻击前一周多，攻击者利用对这名工程师机器的访问权限，“控制”了数月前已被攻陷的工程师A以及“另一名钱包软件工程师C”的钱包。随后，Binance称，10月29日，攻击者登录了另一名员工软件工程师C的电脑，使用窃取的登录信息，然后发动了攻击。据Binance称，在盗窃当晚，攻击迅速展开。该公司写道：“攻击者利用对内部钱包签名服务的未授权访问，在正常提现流程之外发起交易。”

Sophos的Pilling表示，TraderTraitor通过详细的规划以及能够理解其所攻击对象的服务如何运作，在攻击中“表现出色”。他说：“最初的入侵只是一个立足点。真正的攻击是围绕受害者实际如何转移资金精心设计的。”

尽管Binance表示其调查结果只是调查的第一步，但安全和加密货币追踪专家表示，黑客正在努力洗白并变现窃取的加密货币。根据TRM Labs的分析，自2017年初以来，与朝鲜有关的黑客已窃取约120亿美元的加密货币——其中超过一半来自今年的盗窃案。

尽管金额天文数字，但目前尚不清楚有多少资金流回朝鲜。正如Binance案一样，一些加密货币可以被冻结并变得无法访问，而其他交易可以被一些加密货币交易所阻止。加密货币追踪公司Elliptic表示，Binance攻击案中的洗钱活动“极其复杂”，很可能是自动化的。Elliptic联合创始人兼首席科学家Tom Robinson在一篇博客文章中写道：“在最初的三年半时间里，它在11条区块链上使用了约12,000个钱包，大约每25秒就有一个新钱包，交易超过40,000笔。”

（原文较长，此处译出前 6000 字，完整内容请点「打开原文」。）