币安披露63.4亿美元黑客攻击事件：98%资产追回，朝鲜关联遭认定

2026年11月3日，币安首次公开披露一起创纪录的网络攻击事件。此次攻击始于6月，通过被篡改的开发工具入侵内部系统，历经数月潜伏，最终于10月29日完成大规模资金转移，涉及约63.4亿美元数字资产，成为加密货币行业历史上最严重的单起盗窃案。

尽管攻击者成功绕过部分防御体系，但币安安全团队在事前已识别并阻止57起类似威胁，显示出其对国家支持型黑客活动的持续监控能力。目前，受影响资产中已有98%通过链上追踪与冻结机制恢复，交易所预留超100%资金覆盖损失，确保用户权益不受影响。

四阶段攻击路径：从社会工程到权限渗透

攻击第一阶段发生在2026年6月，一名工程师在安装一个伪装成热门AI编程工具的恶意软件时，触发了初始入侵。该程序通过修改Homebrew安装包植入后门，使攻击者获得初步访问权限，并掌握内部人员角色信息。

第二阶段为高阶社会工程学操作。攻击者利用求职平台，伪装成项目总监与币安员工接触。在视频面试中，对方展示真实社交媒体账号以建立信任，随后诱导工程师下载含恶意代码的“作业”文件。该文件使用混淆技术替换合法组件，仅70字节差异即实现远程控制。

第三阶段于10月20日展开。攻击者借助已入侵设备，获取另一名工程师持有的容器部署权限令牌，从而打通通往钱包签名服务的关键通道。

10月29日夜：三小时内的资金外流

UTC时间17:15至19:56期间，攻击者登录第二名工程师电脑，部署恶意容器并执行脚本。资金转移自20:05开始，短短几分钟内，五个热钱包向攻击者地址发送2.33亿XRP、约97万SOL及4,420万OP。随后，18,270 BTC也被划转。

币安在收到警报后立即暂停提款，并联合多方协调冻结行动，成功拦截28.5亿美元。最后一笔2,961.9 ETH转账于23:56完成，而交易所则在次日凌晨00:10清除核心热钱包的委托代码，标志着遏制流程基本结束。

EIP-7702机制加剧遏制难度

不同于传统热钱包被直接清空，本次事件中攻击者利用以太坊的EIP-7702授权功能，将执行权委托给恶意智能合约。该机制允许账户在不暴露私钥的情况下授权外部操作，使攻击者可通过提交50个签名交易锁定授权状态。

由于币安热钱包采用多方计算（MPC）架构，无法通过常规方式撤销私钥，必须额外开发链上撤销流程。这一结构性复杂性解释了从首次转账到最终转账之间长达三小时的时间差。

57起未遂攻击凸显持续威胁

币安在报告中强调，2026年全年共发现并阻断57起疑似朝鲜关联的网络攻击。这些案例涵盖伪造招聘、恶意软件包、虚假视频会议工具等手段，反映出国家支持行为体对加密行业的长期渗透意图。

美国联邦调查局（FBI）已将此次事件归因于朝鲜民主主义人民共和国，币安虽引用该结论，但仍保持“疑似”表述，以保留调查开放性。

尚未解开的谜题与后续行动

尽管98%资产已补充，实际追回比例仍受市场价格波动影响。目前约有45%的资金处于可恢复状态，其余部分因流动性较低仍在处理中。

币安未披露具体求职平台、虚构公司名称或内部AI工具细节，称出于防范模仿攻击考虑将部分技术信息保密。同时，交易所正聘请第三方机构审查调查结果，并设立专门基金推动区块链环境下的AI安全研究。

“我们分享这份初步报告，是因为当行业共同学习时，安全性会得到提升。”币安表示，独立审查将成为验证此次应对成效的重要节点。