20 分钟转走大额资产，币安 63.4 亿美元安全事件始末
BestBlog编程类文章 · 软件开发
📌 一句话摘要 本文详尽还原了朝鲜黑客组织 TraderTraitor 通过虚假招聘、篡改软件包、劫持内部 AI 工具等多阶段手段，攻克币安钱包系统，盗取 63.4 亿美元数字资产的全过程及应急处置。 📝 详细摘要 币安于 2026 年 10 月 29 日发生一起价值 63.4 亿美元的重大安全事件。调查显示，攻击者并非直接针对钱包系统漏洞，而是持续了近五个月的精心策划。攻击始于 2026 年 6 月，一名 DevOps 工程师在搜索 AI 编码工具时安装了被篡改的 Homebrew 包，攻击者随后收集了内部人员信息。2026 年 9 月，攻击者以虚假"项目总监"身份联系第二名工程师，安排两轮面试，最终要求其在工作电脑上下载恶意代码。恶意软件在安装时自动运行，替换真实的 pyenv 文件，创建符号链接并启动 zsh shell，成功绕过端点防护并清除痕迹。10 月 20 日，攻击者利用被控制的设备和内部 AI 工具，控制了另外两名工程师，其中一人持有容器部署令牌。10 月 29 日，攻击者登录第三名工程师的电脑，部署容器并运行恶意脚本，最终利用钱包签名服务绕过正常提现流程转移资金。 💡 主要观点 攻击采用多阶段供应链与社会工程学组合策略 攻击者先篡改软件安装包收集内部人员信息，再通过虚假招聘面试向工程师投递恶意代码，最后借助企业内部 AI 工具横向渗透，形成闭环攻击路径。 恶意代码具备高度隐蔽性与自清除能力 0Day 恶意软件在安装过程中自动运行，替换系统文件、创建符号链接、启动 zsh shell，成功绕过端点防护工具，并主动清除操作痕迹。 利用钱包签名服务与 EIP-7702 实现权限劫持 攻击者绕过正常提现流程，将钱包权限委托给恶意代码，连续发送 50 笔签名交易最终成功，将资金控制权转移至攻击者控制的账户。 币安采取多维度应急处置并承担全部损失 平台启动紧急响应，冻结 28.5 亿美元被盗资金，利用 SAFU 储备金、保险基金及公司资金补足用户资产，同时重建钱包系统、更换设备并引入 AI 异常检测机制。 💬 文章金句 攻击者通过篡改软件安装包收集内部人员信息，随后利用虚假招聘面试向工程师投递恶意代码，再借助企业内部 AI 工具横向渗透，最终获取钱包系统的关键访问权限。 恶意代码在安装过程中自动运行，将真实的 pyenv 文件替换为恶意副本，新建符号链接并启动 zsh shell。 攻击者利用钱包签名服务，绕过正常提现流程转移资金。UTC 时间 20:05 至 20:09，五个热钱包共转出 2.3346 亿 XRP。 攻击者随后利用以太坊 EIP-7702 功能实施后续攻击。该功能允许账户在不泄露私钥的情况下，将部分执行权限委托给智能合约。 目前已有约 28.5 亿美元的被盗资金被冻结或拦截。币安表示将自行承担全部损失。 📊 文章信息 AI 初评： 88 来源： FreeBuf 作者： FreeBuf 分类： 软件编程 语言： 中文 阅读时间： 8 分钟 字数： 1884 标签： 编程与工程 , 安全 , AI安全事件 , AI安全与伦理 , AI 编程 阅读完整文章