幣安 63 億美元被盜：一場潛伏四個月、假招聘與內部 AI 工具協同的攻擊

作者：A Fox in Web3 研究團隊

編譯：深潮 TechFlow

深潮導讀：2026 年 10 月 29 日，全球加密行業遭遇了有史以來涉案金額最高的一次重大安全事件。黑客在數小時內從幣安熱錢包中洗劫了高達 $63 億的各類代幣資產，這一驚人規模不僅數倍於此前 Bybit 的失竊紀錄，更是互聯網誕生以來單次涉案資金最為龐大的網絡搶劫案之一。

然而與以往大型中心化交易所遭遇攻擊後走向擠兌清算、乃至耗費數年重組的悲慘命運截然不同，整個行業在此次風暴中展現出了前所未有的協同韌性。從鏈上偵探的實時報警，到 Tether 與 Circle 在數十分鐘內緊急凍結近 $30 億穩定幣，再到 Aave 等頭部 DeFi 協議果斷熔斷阻斷洗錢通道，一場全球範圍的聯合阻截讓黑客最終未能帶走過半戰果。

更為重要的是，幣安依託自身 SAFU 基金與儲備金在數日之內全額墊付了 98% 的失竊敞口，整個加密二級市場不僅沒有發生踩踏，反而以極其平靜的走勢消化了衝擊。本文全景還原了這起涉及虛假面試、新型惡意軟件與內部 AI 工具權限濫用的國家級網絡戰細節，為全行業審視安全基建與防禦縱深提供了不可多得的真實切片。

10 月 29 日上週四，朝鮮黑客從全球最大加密貨幣交易所幣安（Binance）竊取了約 $63 億資產。這不僅刷新了加密貨幣歷史上的最高被盜紀錄，涉案金額更是今年 2 月 Bybit 被盜金額的整整 4 倍。

黑客發起了一場長達四個月的縝密滲透行動。他們通過被篡改的下載安裝包、精心編造的虛假求職面試，以及幣安內部正在使用的 AI 工具，最終攻破了防護防線。

在事件發生後的數小時內，Tether 和 Circle 等穩定幣發行機構迅速凍結了價值數十億美元的被盜資產。幣安官方則表示，已通過自身資金全額補齊了 98% 的失竊資產。

目前來看，幣安平臺用戶沒有遭受任何資金損失，加密市場二級價格也幾乎未受波及。這充分印證了整個加密行業在應對重大安全黑天鵝事件時的成熟度與抵禦能力已今非昔比。

上週發生的這起針對幣安交易所超過 $60 億資產的安全入侵，不僅是加密史上規模最大的盜竊事件，甚至極大概率也是全互聯網歷史上單筆涉案金額最高的網絡大劫案。這是一起註定載入史冊的歷史性事件，儘管其過程極度令人痛心。

然而令人刮目相看的是，包括 Circle 和 Tether 在內的眾多行業核心參與者在事發後迅速做出反應，果斷凍結了被黑客竊取的大量 USDC 與 USDT。幣安更是在極短時間內全額墊付了所有受損資產，二級市場在價格走勢上也基本消化了這一衝擊。

從諸多維度來看，這起事件集中折射出了加密世界最糟糕的一面，同時也展現了它最卓越的一面，這也正是我必須在本週寫下這篇深度覆盤的原因。

幣安失竊 $63 億：史上最大規模加密黑客劫案

10 月 29 日上週四，數十億美元的加密資產開始毫無徵兆地從幣安的熱錢包（Hot Wallets）中洶湧流出。熱錢包通常與互聯網實時保持連接，是各大中心化交易所用於即時處理用戶日常提幣的核心週轉渠道。

在異動發生的數分鐘內，社交平臺 X 上的鏈上安全分析師們便捕捉到了異常的資金流向。不到一個小時，全網便已經確信：幣安正在遭受大規模黑客入侵。幣安聯合創始人 CZ 是最早在社交媒體上公開確認這一險情的核心人物之一。

圖：CZ 於社交平臺率先公開確認幣安遭遇黑客攻擊

根據幣安官方後續公佈的損失統計，本次失竊的資產總價值約為 $63.4 億，被盜代幣橫跨比特幣、以太坊、Solana、Ripple 以及其他多條主流區塊鏈公鏈。

若以美元計價，這一驚人數字毫無爭議地刷新了加密貨幣歷史上的單次被盜最高紀錄，大約是 2025 年 2 月 Bybit 交易所被盜 $14 億紀錄的 4 倍之多。

知名鏈上數據分析平臺 Arkham 迅速將黑客控制的鏈上地址歸集到了同一個實體標籤之下。數據顯示，在發起攻擊的當天，超過 $57 億巨資靜靜沉澱在黑客的 55 個核心地址中。隨著黑客開始在鏈上頻繁轉移和拆分資金，這一數字迅速擴散至超過 1 萬個衍生地址。

圖：Arkham 鏈上追蹤頁面聚合的黑客關聯地址與資產分佈

本週二，幣安正式對外發布了一份初步調查報告，詳細披露了整起入侵事件的來龍去脈。幣安在報告開篇便做出了誠懇致歉：“這樣的嚴重事件本不應該發生。對於給廣大用戶、合作伙伴以及整個行業帶來的擔憂、混亂和不確定性，我們致以最深切的歉意。”

圖：幣安官方發佈的初步調查報告與致歉聲明

作案手法拆解：四個月潛伏、偽造面試與 AI 提權滲透

這是一起極度縝密且技術極其老練的針對性國家級網絡攻擊。沒有任何外部黑客直接盜走幣安的私鑰，相反，攻擊者耗費了整整四個月的時間步步為營滲透進幣安內部網絡，直至能夠操縱幣安自有的內部系統直接代為簽署提幣交易。

幣安官方將這次攻擊定性為“一場高度複雜的跨階段聯合滲透行動”，並系統梳理了攻擊者得手的四個核心關鍵階段：

階段一（6 月）：一名負責幣安錢包系統的核心工程師在網上搜索一款熱門 AI 編程輔助工具時，不慎下載了被惡意篡改的仿冒安裝包。儘管幣安的安全防護團隊迅速捕獲了這一異常，並立即為該工程師更換了全新的工作筆記本電腦，但攻擊者卻藉此成功鎖定了該工程師在錢包團隊的關鍵職能身份。

階段二（9 月）：黑客團伙在合法的正規求職招聘網站上偽裝成某 Web3 項目的總監，主動物色並接觸了第二名幣安工程師。在與假冒的 HR 招聘代表完成視頻面試，並隨後與假冒的首席執行官（CEO）進行第二輪深度視頻技術面試後，這名工程師被要求在其工作電腦上下載一份所謂的“編程作業測試題”。該測試代碼中暗藏了此前從未在野外曝光過的全新惡意木馬程序，成功繞過了幣安部署的所有端點安全檢測軟件。

階段三（10 月 20 日）：攻擊者以該受感染的工作電腦作為跳板，巧妙利用了幣安內部部署的一套內部 AI 協作工具，成功橫向滲透並奪取了另外兩名核心工程師的工作站控制權。在此過程中，攻擊者搜尋並竊取到了一個極高權限的訪問令牌（Permission Token），該令牌賦予了他們在幣安系統環境中自由啟動和部署軟件的特權。

階段四（10 月 29 日）：黑客利用這些竊取到的高危特權憑證，長驅直入滲透進負責幣安出金簽名的內部簽名服務（Signing Service）節點，開始肆無忌憚地自行偽造並簽署非法的熱錢包出金指令。

利用虛假求職招聘與編程作業進行投毒滲透，是朝鮮黑客團伙屢試不爽的經典作案套路。幣安官方透露，僅在今年一年之內，幣安安全團隊便成功攔截了 57 起疑似來自朝鮮黑客的針對性攻擊，其中絕大多數攻擊的手法與本案如出一轍。而本次攻擊之所以最終得逞，僅僅是因為黑客進行了足夠漫長的潛伏與持續試探，最終尋找到了系統防線的薄弱環節。

實際的資產盜竊行動始於 UTC 時間 10 月 29 日 20:05。幣安旗下的 5 個熱錢包地址突然向攻擊者地址批量轉出了 2.33 億枚 XRP，緊接著，大額的 Solana、Optimism 以及 18270 枚比特幣被迅速洗劫。

在以太坊網絡上，黑客甚至狡黠地利用了去年以太坊升級剛剛引入的“EIP-7702”新協議特性。該特性允許普通的以太坊外部賬戶（EOA）將賬戶的操作執行控制權直接授予特定的智能合約代碼。攻擊者通過被攻破的幣安內部簽名服務，直接為他們自己部署的惡意合約簽署了全權控制授權，從而一舉奪取了幣安核心熱錢包的支配權，並迅速將其搬空。

這一巧妙的手法使得幣安團隊在事發後極難在鏈上進行攔截。即便幣安在內部緊急暫停了整個交易所的提幣接口，但由於 EIP-7702 的委託授權已經被永久寫入到了以太坊區塊鏈的賬本底層，攻擊者可以繞過幣安的任何內部系統，直接調用自己的智能合約在公鏈上繼續轉移資金。

此外，幣安的錢包安全架構普遍採用了多方計算（Multi-Party Computation，簡稱 MPC）技術。在該架構下，錢包私鑰被拆解為多個秘密碎片存儲在不同的物理節點中，沒有任何單一人士或單一設備能夠單獨掌握完整私鑰。

在平日裡，這是極具安全冗餘的優秀防禦設計；然而在遭遇突發鏈上劫持的極端情況下，這也意味著幣安無法通過任何一把單一私鑰快速發起鏈上簽名來撤銷 EIP-7702 的委託權限。幣安技術團隊不得不臨時緊急開發了一套複雜的專用協作處置腳本，導致最後一筆未經授權的非法資產轉移直到攻擊爆發將近 4 個小時後才被徹底阻斷。

多方閃電阻擊：穩定幣發行方與 DeFi 協議聯手截流

在被盜的 $63 億鉅額資產中，近一半為各類穩定幣，其中包括約 $17 億 USDT 以及 $8.24 億 USDC。與比特幣或以太坊等純原生加密資產不同，這些穩定幣是由中心化實體公司 Tether 與 Circle 發行的，具備在智能合約層面任意凍結指定鏈上地址代幣的技術能力。而在本次危機中，這兩家發行巨頭的響應速度極其迅疾。

在資金大規模外流開始約 40 分鐘後，Tether 官方就迅速鎖定了黑客的主要接收地址，並在此後成功凍結了被盜的大部分 USDT 資產。

圖：Tether 首席執行官 Paolo Ardoino 宣佈凍結黑客接收地址中的 USDT

與此同時，Circle 首席執行官 Jeremy Allaire 也公開宣佈，其團隊“在與執法機構的緊密協調下”，緊急凍結了涉案的 8.23 億枚 USDC。

圖：Circle 首席執行官 Jeremy Allaire 宣佈配合執法部門凍結 8.23 億枚 USDC

據幣安官方通報，在多方閃電聯動的圍追堵截下，目前已有接近 $30 億的被盜資金被成功凍結或中途攔截。這意味著黑客最終實際能夠掌控並帶走的資金，不足其最初盜取總額的一半。

狡猾的黑客顯然預見到了穩定幣即將面臨的全面凍結風險，他們在鏈上與時間展開瘋狂競速，試圖在 Uniswap 上迅速將穩定幣兌換為以太坊（ETH），因為以太坊底層沒有任何中心化實體能夠施加資產凍結。黑客甚至將約 $6000 萬 USDT 存入了頭部去中心化借貸協議 Aave，試圖以此為抵押借出純淨的 ETH。

面對黑客的抵押洗錢行徑，Aave 社區與治理團隊迅速做出決策，緊急凍結了其核心借貸市場，暫停了所有新的存款與借貸功能，同時保障原有正常用戶依然可以自由取款與還款。Solana 鏈上的頭部借貸協議 Kamino 同樣出於審慎防範，迅速暫停了其相關市場交易。

圖：Aave 官方宣佈緊急暫停核心借貸市場以阻斷黑客抵押借貸

賦予 Tether 與 Circle 在危急時刻挽救數十億美元資產的中心化控制力，在平日裡恰恰也是加密純粹主義者最為詬病的一點，因為這意味著任何持有 USDT 或 USDC 的普通用戶的資產理論上都有被凍結的潛在可能。然而無可否認的是，在本週這場驚心動魄的資產攔截戰中，這種中心化干預權無疑發揮了至關重要的正面救市作用。

真兇浮出水面：朝鮮國家級黑客團伙的洗錢鏈路

10 月 31 日，即攻擊爆發整整兩天後，美國聯邦調查局（FBI）正式發佈官方網絡安全警報，明確將本次攻擊歸咎於朝鮮國家級黑客組織，具體實施該行動的代號為“TraderTraitor”。該黑客小組正是今年早些時候策劃 Bybit $14 億大劫案的幕後元兇，同時也是更具知名度的朝鮮黑客大本營“拉撒路集團（Lazarus Group）”旗下的核心特勤分支。

圖：美國聯邦調查局（FBI）發佈網絡安全警報確認朝鮮黑客團伙作案

事實上，早在 FBI 正式通報的前一天，頂尖區塊鏈分析機構 TRM Labs 與 Chainalysis 便已通過精密的鏈上行為圖譜鎖定了朝鮮黑客的作案痕跡。Chainalysis 甚至敏銳地捕捉到，今年 9 月另一家主流交易所 Bitget 遭遇 $3.88 億黑客盜竊後的洗錢資金，在鏈上與本次幣安失竊的資金流發生了交叉與混合，強有力地印證了這兩起惡性大案均出自同一團伙之手。

圖：Chainalysis 監測發現幣安被盜資金與 9 月 Bitget 失竊資金出現混合

據 FBI 的最新偵查信息顯示，攻擊者目前正全力以赴將手中尚未被凍結的各類資產集中兌換為 ETH，並計劃通過各大 DeFi 協議與即時兌換服務進行混幣洗錢。在當年的 Bybit 案中，該黑客團伙便曾藉助名為 Thorchain 的跨鏈去中心化兌換協議，將大部分失竊的 ETH 逐步洗練為比特幣。分析人士預計，他們此次極大概率將如法炮製類似的洗錢鏈路。

在本次盜竊中直接失竊的 18270 枚比特幣總價值高達約 $14 億。黑客已將這些比特幣分散轉移至 19 個全新生成的獨立鏈上地址中，其中絕大多數地址恰好各自均勻存放著整整 1000 枚 BTC。

鑑於比特幣在底層架構上絕對無法被任何人強行凍結，黑客目前已經開始對部分兌換而來的比特幣展開混幣洗錢，其核心手法是通過“CoinJoin”聯合交易將大量來自不同用戶的比特幣混合打包，從而徹底混淆每筆資金的原始流入與流出路徑。

TRM Labs 預計，剩餘的被盜資產將陸續穿梭於各大跨鏈橋、即時兌換平臺以及場外交易（OTC）經紀商之間；與此同時，各大鏈上安全監測公司正在持續將涉案地址同步標記至全球各大合規交易所，全力圍堵黑客將代幣兌換為法幣離場的任何通道。

中心化交易所劫難史：行業防禦與自愈能力的進化

令人嘆息的是，幣安並不是這波黑客攻勢中唯一的受害者。在幣安遇襲後的短短數日之內，攻擊者又從巴西最大的加密交易所 Mercado Bitcoin 竊取了約 $4600 萬資產；知名鏈上偵探 ZachXBT 亦披露，一家未具名的歐洲加密企業疑似遭遇了超過 $1.06 億的鉅額安全損失。

圖：Bankless 報道幣安案發數日內接連發生的另外四起加密安全事件

此外，部分使用老舊版本 BTCPay（一款自託管比特幣支付套件）的商戶亦遭遇了資金盜竊，另有數十家去中心化金融（DeFi）前端網站因域名註冊商被劫持而導致訪問用戶的錢包遭受洗劫。

儘管目前沒有確鑿證據表明這些案件之間存在直接的技術關聯，但同樣的應急預案再次挽救了局面：Tether 迅速凍結了與 Mercado Bitcoin 被盜相關的涉案資金，該交易所隨後宣佈其平臺客戶未遭受任何實際損失。

回顧加密行業的歷史，交易所遭受黑客洗劫幾乎是一部貫穿行業發展始終的殘酷演進史：

2014 年門頭溝 Mt. Gox 損失了約 65 萬至 85 萬枚比特幣並宣告破產倒閉，數以萬計的受害用戶在絕望中苦苦等待了整整十年，直到 2024 年才終於陸續迎來破產賠償的兌付啟動。

2016 年 Bitfinex 交易所失竊約 12 萬枚比特幣，平臺最終決定對全體用戶的賬戶餘額執行 36% 的無差別強制平攤扣除（Haircut），併發行了名為 BFX 的補償債權代幣。

2018 年日本 Coincheck 交易所遭遇入侵，損失了價值約 $5.3 億的 NEM 代幣。

2019 年幣安自身也曾在一次嚴重的安全漏洞中失竊了 7000 枚比特幣。

2025 年 Bybit 交易所失竊 $14 億，創下了在上週之前行業歷史上的最高被盜紀錄。

在行業的蠻荒早期，哪怕是一場數千萬美元規模的黑客攻擊，往往都直接宣告著一家交易所的徹底傾覆，並給廣大投資者帶來難以挽回的滅頂之災。然而在本次涉案高達 $63 億的世紀風暴中，幣安明確宣佈將全額承擔所有資金損失，其資金來源包括專用的“SAFU”用戶資產安全基金、商業保險基金以及平臺自身的雄厚財力儲備。

截至 10 月 31 日，幣安官方通報已全額墊付了 98% 的被盜資產，平臺的全部幣種充值與提現通道亦在週日全面恢復如常運營。

圖：幣安首席執行官 Richard Teng 通報資金全額墊付及充提業務恢復進展

所有的儲備金動態與資產兌付真實性，均可以在幣安公開的“儲備證明（Proof of Reserves）”鏈上審計頁面中進行公開透明的實時核驗。

圖：幣安儲備證明（Proof of Reserves）實時透明展示資產健康狀況

更為令人震撼的是，在狂風暴雨平息之後，幣安平臺的整體資金流向不僅沒有出現恐慌性的大潰逃，反而在此後數日錄得了規模可觀的淨資金流入。

圖：CZ 分享數據顯示案發後平臺資金不僅未現擠兌反而出現淨流入

整個加密二級市場的表現同樣從容得令人難以置信。比特幣價格在消息傳出後僅微跌不足 5%，價格始終穩穩站上 $76000 關鍵防線之上。全網因恐慌造成的槓桿爆倉清算規模僅約 $15 億，與去年“10/10 閃崩”中高達 $190 億的毀滅性爆倉相比，市場展現出了超乎尋常的消化能力。

以我個人的審視來看，過去這一週集中呈現出了加密世界最黑暗的一面，同時也彰顯了它最具希望的一面。最黑暗的一面在於，一個擁有國家機器做後盾的黑客軍團，能夠潛心耗費四個月時間悄然侵入全球頂尖的加密交易所內部，實施了行業歷史上涉案最為龐大的驚天劫案，並在隨後數日接連引爆多起衍生攻擊。

而最具希望的一面則體現在危機爆發後全行業的驚人協同與自愈力：鏈上偵探在一小時內精準斷案並全網預警；穩定幣巨頭雷霆凍結數十億美元黑款；DeFi 協議主動切斷黑客套現退路；執法部門在兩天內鎖定作案元兇；受害交易所更是在數日之內完成了全額自掏腰包的百億級賠償墊付。

甚至在風暴過後，幣安主動向全行業鉅細靡遺地公開了自己被攻擊的完整技術覆盤，並深刻指出：“唯有全行業共同汲取血的教訓，整體防禦體系才能實現真正的迭代升級。”面對朝鮮等國家級黑客日益膨脹的野心與攻擊手段，整個加密世界的集體防禦網與應急響應速度也在以驚人的速度同步進化。

中心化交易所遭遇黑客攻擊是一個老生常談的話題，而那條歷經歲月洗禮的加密古訓從未過時：“不是你的私鑰，就不是你的幣（Not your keys, not your coins）”。幣安憑藉深不見底的財務底蘊能夠輕鬆扛下 $63 億的鉅額損失，但絕大多數交易所根本無法承受這樣的致命重擊。正因如此，將大額資產妥善保存在由你自己掌控私鑰的獨立錢包中，依然是每位加密探索者在這個波詭雲譎的世界中最不可動搖的立身之本。

但最重要的是，加密生態自誕生起就始終在黑客的嚴酷淬鍊與烈火洗禮中前行，而每一次挺過風暴的它，都在變得比以往任何時候都更加堅不可摧。