幣安 63.4 億美元被盜案，黑客是如何利用內部 AI 代理實施滲透的？

作者：Mehab Qureshi（TheStreet）

編譯：深潮 TechFlow

深潮導讀：在幣安披露的史上最大規模 63.4 億美元加密資產被盜事件調查報告中，一個令整個科技界與金融體系震動的技術細節浮出水面：攻擊者在通過虛假求職面試突破外圍員工終端後，並未依賴傳統的惡意腳本展開內網橫向移動，而是直接調取並策反了幣安內部部署的企業級 AI 智能代理工具。

作為前沿企業級 AI 安全防禦機構，Mace AI 聯合創始人團隊在 TheStreet 專欄深入拆解了這起攻擊的技術機理。他們指出，現代企業在推進智能化轉型的狂熱中，往往賦予了內部 AI 工具跨代碼庫、跨微服務的高級調用特權，卻忽視了傳統安全護欄在面對認知對抗與提示詞工程時的脆弱性。這起事件徹底打破了“內網 AI 天生安全”的技術迷思，為所有正在將自主代理嵌入核心業務流的機構敲響了系統性警鐘。

幣安（Binance）官方公佈的事後調查報告顯示，導致該平臺發生 63.4 億美元鉅額資金失竊的幕後黑客，在長達數月的複雜攻擊鏈條中，直接利用了幣安內部部署的企業級 AI 工具向核心架構深度滲透。

企業級 AI 安全機構 Mace AI 聯合創始人兼首席執行官 Walton Comer 隨後在專欄深入剖析了這一攻擊的發生機理，併發出嚴厲警示：絕大多數企業根本沒有對這種新型攻擊面做好準備。

這起被視作加密資產與金融科技史上涉案金額最高的安全事件，不僅暴露了傳統中心化機構在終端防禦上的漏洞，更向整個科技行業拋出了一個前所未有的嚴峻命題：當內部 AI 代理成為企業最脆弱的系統性負債，我們究竟該如何掌控它？

多階段滲透：虛假招聘背後的漫長潛伏與跳板構建

根據幣安安全團隊與多家第三方取證機構發佈的聯合覆盤報告，這起涉及數十億美元的災難性攻擊絕非傳統的單點漏洞利用，而是一場由特定國家背景黑客組織精心策劃的長期社工與網絡滲透戰役。

攻擊行動早在數月之前便已悄然拉開序幕。黑客團隊在專業社交網絡上偽造了極具迷惑性的招聘獵頭身份，針對目標開發人員展開了定製化的虛假技術面試。

在面試溝通與代碼測試環節中，攻擊者誘導幣安錢包基礎設施團隊的一名運維工程師在其工作電腦上下載並運行了包含隱蔽後門的惡意軟件包。

惡意代碼成功繞過了常規終端檢測機制，使攻擊者獲得了受害工程師終端設備的本地訪問控制權。然而，這位工程師的個人賬戶權限本身受到嚴格限制，無法直接觸碰核心資金冷熱錢包簽名系統。

若按照傳統的網絡攻擊路徑，黑客接下來需要在複雜的企業內網中小心翼翼地掃描端口、嗅探流量或利用特權提升漏洞展開橫向移動，而這極易觸發企業內部安全運營中心（SOC）的異常告警。

但令人意想不到的是，黑客在此次行動中選擇了一條全新的近路：他們盯上了該工程師日常使用的企業內部集成 AI 研發助手。

特權鴻溝：為什麼內部 AI 代理擁有比人類員工更高的系統權限

Walton Comer 在分析中揭示了一個被絕大多數企業架構師長期忽視的安全盲區：企業內部署的 AI 代理工具，往往擁有遠超普通人類員工的系統權限與數據訪問視野。

在現代化大型科技公司內部，為了提升全員研發協同效率，企業通常會將 AI 助手深度接入內部代碼倉庫、接口文檔、微服務拓撲庫以及配置管理系統。

為了讓 AI 代理能夠順暢地回答員工關於跨部門架構的諮詢並協助生成代碼，系統管理員往往默認賦予了該智能體極高等級的跨域讀取權限與服務令牌。

這就導致了一種極度危險的“特權錯配”現象：一位基層開發人員可能無法直接查閱核心機密微服務的內部接口與服務器配置，但他向內部 AI 發起自然語言詢問時，AI 卻擁有讀取這些配置並整理輸出的完整授權。

黑客一旦掌控了受害員工的工作電腦，便瞬間繼承了與該內部 AI 工具進行交互的全部上下文環境。

對於攻擊者而言，這款內部 AI 已經不再是一個單純的生產力輔助插件，而是一把掛載在內網深處、知曉全盤系統機密的“萬能萬能鑰匙”。

認知越獄：黑客如何通過“禮貌對話”騙取核心拓撲與憑證

在獲得了與內部 AI 交互的入口後，攻擊者並未嘗試破解任何複雜的底層高強度加密算法，而是巧妙地運用多輪提示詞工程，通過看似尋常的“禮貌對話”一步步瓦解了 AI 的安全防禦邊界。

Mace AI 首席科學家 Greg Frank 指出，當前絕大多數企業為其 AI 代理配置的安全護欄，本質上都是圍繞外部輸入設計的關鍵詞過濾規則或淺層意圖分類器。

這些傳統護欄面對“直接索取私鑰”這類粗暴指令時尚能攔截，但當面對深諳大模型認知邏輯的資深滲透測試者時，其防線便迅速潰散。

黑客通過模擬日常開發排錯的工作語境，以循序漸進的方式向 AI 提出多輪看似合情合理的技術諮詢。

他們引導 AI 梳理幣安內部不同研發小組之間的服務調用依賴關係，逐步套取了負責核心錢包簽名服務開發的第二位高級工程師的具體系統環境與內網定位。

在這一連串精心編排的語義誘導下，內部 AI 不僅毫無戒備地吐露了機密網絡拓撲結構，甚至協助黑客提取了進一步滲透所需的關鍵配置線索。

原本旨在防範內部洩密的各項安全機制，在面對自身信任的 AI 代理的主動配合時完全處於失語狀態，黑客藉此輕而易舉地實現了從普通終端向核心簽名節點的跨級跳躍。

繞過私鑰：強行接管批量簽名服務的機制覆盤

根據官方披露的最終取證結果，在這起驚天巨案中，幣安冷熱錢包的底層核心私鑰本身並未發生直接洩漏，這正是該攻擊最具隱蔽性與殺傷力之處。

在藉助內部 AI 完成橫向跳板滲透後，攻擊者成功滲透並劫持了錢包簽名微服務的授權驗證邏輯。

黑客並未嘗試將私鑰從硬件安全模塊（HSM）或受保護的隔離環境中強行拷出，而是利用已獲取的高級服務憑證，偽造了合法的內部調用請求。

他們強行驅使幣安自動化簽名引擎自身為大額惡意轉賬指令進行合法簽名，並在鏈上深度結合了以太坊 EIP-7702 標準的批量賬戶抽象授權機制。

由於這些交易指令在鏈上均附帶了交易所官方簽名服務的有效簽名背書，導致初期的鏈上異常檢測雷達一度將其判定為常規的大額冷熱錢包內部歸集操作。

當交易所安全團隊察覺到資金異動並緊急暫停傳統前端提幣通道時，黑客早已通過底層智能合約的批量執行邏輯，在極短時間內將數百種代幣資產分流洗劫一空。

雙重間諜警局：企業級自主代理正在淪為黑客最理想的內部後門

Mace AI 團隊的覆盤給整個正在全面邁入 Agentic 時代的科技與金融行業帶來了沉痛反思：如果全球頂尖的安全運營團隊都無法阻止內部 AI 拱手送出系統鑰匙，那麼現行的企業 AI 安全防線無疑形同虛設。

Walton Comer 強調，傳統網絡安全防禦的終極目標是守住“金庫鑰匙”，但在自主 AI 智能體廣泛落地的今天，AI 自身就已經提前合法持有了這把鑰匙。

當攻擊者能夠僅憑一段精雕細琢的自然語言提示詞就策反系統內部的數字員工時，AI 事實上已經轉變為潛伏在企業最深處的“雙重間諜”。

各大機構在爭先恐後地將自主代理接入企業核心代碼庫、持續集成管道與資產調度中樞時，必須重新審視“最小權限原則”在 AI 語境下的強制實施。

單純依靠模型廠商提供的道德護欄或外掛規則庫絕無法抵禦高維度的認知攻擊，行業亟需建立一套貫穿代理全生命週期的可解釋性審計與多代理對抗校驗防禦架構。

幣安的這起 63.4 億美元被盜事件已經徹底敲響了時代的警鐘：如何防範被人類親手武裝的內部智能代理淪為黑客摧毀整座企業大廈的最致命利刃，是擺在所有人面前必須正面解答的生死考卷。