Ing. Calogero Bono
10月29日，全球最大的加密货币交易所币安遭遇了据信是有史以来规模最大的加密货币盗窃。据TRM Labs的分析，约63.6亿美元被转移，其中大部分在约20分钟内完成。交易所暂停了充值和提现，表示用户资金安全，并承诺弥补所有损失。对于负责服务器、账户和支付系统的人来说，这件事值得关注，因为据称攻击始于一名工程师的笔记本电脑。
进入正题前先了解几个术语。热钱包是联网的加密货币钱包，交易所用它来处理客户的提现。稳定币是锚定一美元价值的数字货币，例如USDT或USDC。DevOps是负责公司软件和基础设施的技术人员。私钥是授权从钱包转出资产的秘密代码。TraderTraitor是多位分析师对一个专门攻击加密企业的朝鲜黑客组织的称呼。
10月29日币安究竟发生了什么？
据Wired报道，周四美国东部时间下午4点起，攻击者开始迅速从币安分布在多条区块链上的钱包中转出约63亿美元的加密货币。币安在调查期间几乎立即暂停了充值和提现。
据BleepingComputer引用的TRM Labs分析，约63.6亿美元从十条区块链上的钱包中流出，几乎全部在约20分钟内完成。涉及的网络包括以太坊、比特币、Tron和Solana。资金被转入攻击者控制的多个地址。
这一数额是有史以来最高的。据The Verge的说法，它约为此前纪录的四倍，即去年Bybit被盗的14.6亿美元。币安在2019年也曾遭到攻击，当时损失约4000万美元。
关于数字要保持留意，因为各方说法并不一致。Tom's Hardware在最初的报道中称被盗56亿美元，并说明这一总额是临时数字。随后TRM和币安的估算趋于一致，都在63亿至64亿美元之间。
攻击是如何实施的？
一名工程师的笔记本电脑
币安表示，此次事件可能涉及其一名DevOps工程师的笔记本电脑。攻击者借此得以进入一个服务容器，并发出未经授权的提现交易。相关地址的授权随即被撤销。
之后，事件的描述变得更加复杂。公司在X上发文称，后续调查发现了更多的入侵点，这是一次复杂的攻击，目前正与执法部门合作处理。联席CEO Richard Teng表示，攻击者不只是利用了一名工程师的权限，而且这并非一次点击就能完成的单一操作。他还称，目前没有证据显示钱包私钥外泄。
历时数日的准备
据Wired引用的TRM分析，准备工作至少在盗窃前36小时就已开始。攻击者的一个钱包在测试阶段收到了三笔小额提现。10月29日一早，攻击代码先后在两个钱包上进行了测试。之后，最终版本又在第三个钱包上测试，测试资金被原路退回。四小时后，同样的代码被植入币安的一个热钱包。
Tom's Hardware补充称，被清空的热钱包包括Binance 14、Binance 16和Hot Wallet 34，它们保管的是汇集起来的客户资金。同一篇文章强调，目前尚不清楚是通过窃取的密钥、被攻破的签名流程还是其他方式实现的。这一部分仍悬而未决。
谁在背后实施了这次盗窃？
币安没有将责任归于任何组织。Teng表示，调查没有将其归因于任何个人。据Wired报道，无论是公司还是执法部门，都没有指出与朝鲜黑客有关。
不过，区块链分析公司的判断指向了这一方向。TRM和Chainalysis将此次攻击归因于TraderTraitor，即BleepingComputer also称为Lazarus Group和APT38的朝鲜国家级黑客单位。Chainalysis表示可信度很高。Elliptic表示并未将攻击明确与该组织联系起来，但发现了相似之处。其联合创始人Tom Robinson称，如果确定是朝鲜所为，仅此一次盗窃就几乎相当于该政权迄今在加密货币领域盗取总额的两倍。
来源提到了几项线索。Chainalysis实时观察到，币安的资金与上个月针对Bitget的攻击资金发生了混合，而那起攻击已被归因于朝鲜相关行为者。Elliptic提醒，针对加密企业员工是TraderTraitor的标志性手法，攻击者曾通过Tornado Cash为钱包充值，并像Bybit案件那样提前进行了攻击测试。据Wired报道，FBI此前正是将Bybit案件归因于TraderTraitor。
这些是私营企业基于链上链下活动分析作出的判断，并非司法结论。
有多少资金被冻结，又有多少已经无法追回？
这里的数字并不一致，因为情况每小时都在变化。被冻结资金的估算从约24亿美元（Tom's Hardware）、27亿美元（TRM，经BleepingComputer引用）、28亿美元（Elliptic），一直到约30亿美元（币安，经The Verge引用）不等。
冻结并不等于追回。稳定币发行方可以把盗窃者的地址列入黑名单，使其无法再转移或兑换这些代币。据TRM称，Tether、Circle、Ripple和World Liberty Financial都已采取行动，而Arbitrum的安全委员会在其网络上冻结了8426枚ETH和7460万枚ARB。Tom's Hardware提醒，通常只有在所有人证明权属之后才会返还资金，而且这一过程往往耗时很长。
问题在于没有机构能够管控的加密货币。Robinson估计，剩余的33亿美元主要是比特币、以太坊和XRP，无人能够冻结。只有当它们进入交易所或其他服务时，才可能被拦截。他认为未来几个月会有一部分资金被截获，但被冻结的总额不太可能大幅增加。
TRM还描述了与冻结赛跑的过程。据称攻击者向做市商卖出了USDT，并在Aave上以USDT为抵押借入ETH。TRM表示，目前攻击者控制着超过42万枚ETH和18270枚BTC，约合24亿美元，已超出发行方的控制范围。Chainalysis则指出了前所未见的洗钱模式，以及数以千计利用自动化处理以掩盖踪迹的交易。
用户会不会蒙受损失？
据币安称，不会。公司表示，将通过SAFU基金和自有资金弥补所有损失，并会在清理完成后发布更新的储备证明（Proof of Reserves）。它还表示，已为此次事件计提超过63.4亿美元的公司资金，其中50亿美元已经以被盗的同种代币形式持有。这些都是公司的声明，并非独立核实的结果。
SAFU基金创立于2018年，由10%的交易手续费注资。据Tom's Hardware称，该基金目前持有15000枚BTC，按文中提到的价格约合11.7亿美元。The Verge则称，上一次估值时这一应急储备约为13亿美元。两者的差异取决于比特币价格。无论如何，该基金只能覆盖损失的一部分，因此公司自有资金的部分同样关键。2019年，币安曾用SAFU全额弥补了被盗的7000枚BTC。Tom's Hardware还提到，前CEO赵长鹏也预期用户将获得赔偿。同一来源称，Binance.us网站至今似乎未受影响。
币安还提醒，有骗子利用此次事件行骗，他们通过伪装成公司的电子邮件、短信和电话实施诈骗。对于任何赔偿或恢复提现的提议都应保持警惕，不要打开收到的链接，只使用官方网站和应用程序。
需要了解的局限
- 数字并不确定。被盗总额和被冻结金额会因来源和时间而有所不同。
- 将攻击归因于朝鲜的说法来自分析公司，而非币安或司法机关。Elliptic本身也区分了归因与相似之处。
- 确切的攻击方式目前仍不清楚。币安提到笔记本电脑之外还有多个入侵点，并称没有私钥外泄的证据。其他假设仍然存在。
- 赔付承诺是公司的声明。我们不清楚具体的时间表和方式，也不知道储备证明的结果。
- 我们不知道最终能追回多少。关于无法冻结部分的估算来自个别分析师。
这件事对数字化工作者意味着什么
即使你不管理加密货币，也能从中吸取教训。币安的案例涉及一台笔记本电脑、一个服务容器，以及使用有效凭证完成的未经授权提现。任何拥有技术员工和特权访问权限的企业，即便规模很小，也可能遇到同样的情形。
第一，拥有敏感访问权限的人所使用的设备也是基础设施的一部分。能访问生产服务器的开发者笔记本，应当与服务器获得同等级别的保护。如果你的系统托管在附带安全更新的托管和服务器服务上，部分工作已经外包，但访问权限和权限设置仍然是你自己的责任。
第二，限制单个访问权限能做的事。Teng强调，这次攻击并非一次点击的单一动作，但这个例子说明了分离角色、为敏感操作要求多重审批、实时监控异常资金流动的重要性。二十分钟对于人工反应来说太短了。
第三，时间因素与自动化。The Verge也提到了这一点，它提及OpenAI的一份报告，其中一个模型能够在以太坊测试网上盗取模拟加密资产。对此我们曾撰文介绍一个自主黑客，以及它对意大利中小企业意味着什么。攻击者越来越多地使用自动化工具，而人工防御的速度越来越跟不上。
第四，人的因素。Elliptic提醒，朝鲜黑客会针对员工下手，Wired引用的Sophos则指出，该组织过去曾制作虚假应用程序以进入企业。这种风险也涉及账户诈骗，就像我们在介绍利用Meta的AI盗取账户的黑客时所讨论的那样。安装第三方软件（包括开源软件）的人，应当阅读这篇关于企业中开源软件的合规与安全，以及商业使用无风险指南。
最后是你与供应商的关系。如果某项服务保管着你客户的资金或数据，就应询问它如何保护员工的账户和笔记本电脑，以及发生事故时会怎样处理。
我们的看法
最值得关注的不是金额本身，而是攻击的精密程度与切入点之间的巨大反差。要清空十条区块链上的钱包，至少在一开始，只需接触到一个人和一台笔记本电脑。如果人员和操作层面的防线薄弱，再精妙的加密手段和架构也毫无用处。对此，币安目前披露的细节很少，但在调查仍在进行时这是可以理解的。
我们对于公司迅速发布通告并承诺赔付持肯定态度，但仍保持谨慎。当超过二十亿美元在攻击者手中且无法冻结时，要说用户资金是安全的，就必须看到具体数字。届时，可以由第三方核验的储备证明将是真正的考验。
我们也对整个行业提出批评。热钱包中汇集了客户的资金，本身就是目标。在2025年Bybit事件之后，同样的剧本以四倍的规模再次上演。一次准备了36小时并多次测试的攻击，或许本应留下一些迹象。我们期待了解这些迹象是否被忽视了。另外，我们也要承认自身的局限，归因来自私营企业，而它们有动机展示自身能力，因此应当把这些结论视为权威的假设，而非定论。
常见问题
币安被盗了多少钱？
据币安和大多数来源称约为63亿美元，据TRM称为63.6亿美元。Tom's Hardware最初的统计为56亿美元，但那只是临时数字。这将是加密货币历史上规模最大的盗窃。
如果我在币安有账户，我会损失资金吗？
据币安称不会，因为它将通过SAFU基金和公司资金弥补所有损失。这是公司的声明。目前充值和提现已暂停，在检查完成之前，资金无法动用。
谁对币安发动了攻击？
目前尚未得到官方确认。TRM和Chainalysis将攻击归因于朝鲜组织TraderTraitor，而Elliptic发现了相似之处，但并未明确与之关联。币安和执法部门都没有指认任何责任人。
黑客是如何进入的？
币安提到，一名DevOps工程师的笔记本电脑被攻破，从而获得了服务容器的访问权限，并实施了未经授权的提现。之后公司表示还发现了其他入侵点。它并未确认私钥外泄。
被盗资金还能追回吗？
只能部分追回。被冻结资金的估算在约24亿至30亿美元之间，主要是稳定币，但冻结并不等于返还。比特币、以太坊和XRP无法冻结，而据Elliptic称，被冻结的部分不太可能大幅增加。
未来几周值得关注的事项
接下来有三个方面值得关注。币安会公布多少攻击方法的细节，更新后的储备证明结果如何，以及约24亿美元无法冻结资金的流向，这些资金在转入交易所时可能会被拦截。与此同时，有三项实际措施可以立即采取。
- 检查公司中谁拥有特权访问权限，将权限缩减到必要范围，并保护负责服务器和生产环境人员的设备。如需具体帮助，可以了解Meteora Web机构的服务。
- 对声称与币安攻击有关、或提供赔付的电子邮件、短信和电话保持警惕。只通过官方网站和应用程序登录，不要点击收到的链接。
- 不要把资金或关键数据集中存放在一个地方。如果你使用交易所，只保留必需的部分，并在储备证明发布后认真查看。
