Ing. Calogero Bono
Binance 周日开始分阶段重新开放提现，此前 10 月 29 日发生了约 63 亿美元的盗窃事件。周六，FBI 将此次攻击归咎于与 Lazarus 相关的朝鲜团伙 TraderTraitor。Binance 表示已经覆盖了约 95% 的金额，并且不会把损失转嫁给用户。这件事之所以重要，是因为它是有记录以来规模最大的加密货币盗窃案，也说明一台被攻陷的电脑就可能打开通往同等规模损失的大门。
在进入事实之前，先了解几个术语。 TraderTraitor 是 FBI 对朝鲜网络活动的称呼，该组织也被称为 Lazarus、Jade Sleet 和 APT38。DeFi 指去中心化金融服务，无需中介即可转移资金。Instant swap 是可以即时将一种加密货币兑换成另一种的服务。SAFU 是 Binance 用于保障用户的基金。Proof-of-Reserves 是展示余额以 1:1 比例得到覆盖的页面。
FBI 对 Binance 盗窃案说了什么？
在 BleepingComputer 转述的声明中，FBI 称朝鲜应对 2026 年 10 月 29 日前后发生的、价值超过 60 亿美元的虚拟资产盗窃负责。该活动被称为 TraderTraitor。
此前 TRM Labs 和 Chainalysis 已将此案与同一团伙联系起来，此次归因即沿袭其结论。不过 The Verge 指出，该机构提供的其他细节或证据很少。我们也在这篇文章中讨论过相关内容。
资金是如何被盗的？
据 Binance 此前透露，入侵始于一名 DevOps 工程师被攻陷的笔记本电脑。攻击者借此进入服务容器，并发出了未经授权的提现。
在十条区块链上被盗的金额约为 63.6 亿美元，其中大部分在短短 20 分钟内完成。最初的经过梳理可参见这篇报道。
被盗资金流向了哪里？
FBI 观察到 TraderTraitor 主要将资金兑换成以太坊，并预计其会通过 DeFi 平台和即时兑换服务进一步洗白。
FBI、特勤局和美国国税局刑事调查部门要求交易所、区块链运营商及其他服务提供商冻结与这些地址相关的交易。公布的名单共有 628 个地址，其中 608 个为以太坊，19 个为比特币，1 个为 Solana。
Binance 的提现什么时候恢复？
据 TechCrunch 报道，重新开放是分阶段进行的，取决于网络和资产类型。周日上午，状态页面显示情况并不统一，比特币部分暂停，以太坊存款正常而提现部分恢复。
Punto Informatico 称第一阶段涵盖 15 个网络，包括比特币、以太坊和波场。Binance 提醒可能因交易量较大而出现延迟，并承诺在调查结束后发布详细报告。
需要了解的局限
仍有几个问题悬而未决。FBI 公开提供的细节和证据很少。Binance 尚未发布完整的事件报告。各方信息对提现开始的时间说法不一，被盗金额也在 63 亿至 63.6 亿美元之间波动。95% 的覆盖率是交易所自己公布的数字，并未经过独立核实。被追回的资金有多少，目前也还不清楚。
这对数字行业从业者意味着什么
攻击过程已经很清楚。薄弱环节是一名拥有特权访问权限的人员的电脑。据消息来源称，朝鲜团伙还会假扮招聘人员，伪造录用材料，诱使开发者安装恶意软件。如果你负责服务器或敏感权限，请把工作设备和个人设备分开，并限制权限。一个提供托管安全更新的主机服务可以减少攻击面，但无法取代安全培训。另一起通过第三方脚本实施的盗窃案，可参见 Polymarket 的案例。
我们的看法
最值得关注的不是金额，而是攻击方式。数十亿美元的损失，往往是因为一台笔记本电脑被入侵，而不是因为加密算法被攻破。Binance 给出的应对方案，包括公布覆盖率和分阶段提现，让人安心，但其依据仍是交易所自己提供的数字。最终报告出来之后才能做出判断。FBI 的归因虽然与私人机构的分析相符，但仍需要更多公开证据来支撑。
常见问题
谁盗取了 Binance 的 63 亿美元？
根据 FBI 的说法，是朝鲜团伙 TraderTraitor，也被称为 Lazarus。这一归因与 TRM Labs 和 Chainalysis 的分析一致。公开的证据却很有限。
Binance 用户会损失资金吗？
Binance 表示不会。它称损失不会转嫁给用户，并且已经覆盖了约 95% 的金额。剩余的 5% 涉及流动性较差的代币。
Binance 的提现现在已经可以用了吗？
只是部分可以。重新开放是分阶段进行的，取决于网络和资产类型。由于交易量较大，可能会出现延迟。
攻击是如何发生的？
Binance 将其归因于一名 DevOps 工程师被攻陷的笔记本电脑。攻击者借此进入了一个服务容器，并发出了未经授权的提现。
被盗资金现在去了哪里？
这些资金主要被兑换成以太坊。FBI 预计资金会通过 DeFi 服务和即时兑换平台继续洗白，并已公布 628 个需要冻结的地址。
未来几周关注 Binance 事件需要留意什么
运营层面的危机正在收尾，信息层面的问题却还没有结束。最终报告和被盗资金的去向才是关键。
- 等 Binance 的详细报告发布后，将其与 FBI 的说法进行对照。
- 在转移资金之前查看各网络的状态页面，因为重新开放是分阶段进行的。
- 确认覆盖率是否超过 95%，以及流动性较差的代币是否已经补足。
来源
- bleepingcomputer.com, FBI links $6.3 billion Binance crypto heist to North Korean hackers
- techcrunch.com, Binance resumes withdrawals following $6.3 billion breach
- theverge.com, North Korea linked to massive Binance crypto heist
- punto-informatico.it, Binance ripristina i prelievi, FBI conferma autori del furto
