延伸阅读
币安被盗数十亿：暂停提款为何没能立刻止损
来源：知乎 · 查看原文
10月29日晚间，全球最大加密货币交易所币安（Binance）遭遇了一起规模空前的安全事件。这起事故并非简单的黑客入侵，而是一场持续数月、涉及内部供应链与权限管理的复杂攻击。攻击者通过精心设计的社会工程手段，逐步渗透进币安的内部系统，最终触达了核心的热钱包签名服务。这一事件不仅造成了数十亿美元的资产流失，更暴露了现代区块链基础设施中一个常被忽视的深层逻辑：在去中心化的链上世界里，平台端的“暂停”指令，并不等同于链上权限的即时撤销。
根据币安于11月3日发布的初步调查报告，此次攻击的时间线远比外界最初猜测的要漫长。早在6月，一名负责钱包运维的工程师在安装AI编程工具时，下载了被篡改的Homebrew安装程序，导致设备被植入恶意代码。尽管安全团队随后更换了设备并轮换凭证，但攻击者已获取了该员工及其同事的岗位信息。9月，另一名软件工程师在遭遇伪装成招聘的钓鱼攻击后，其工作电脑被远程接管。到了10月，攻击者利用受控电脑和内部AI工具进一步扩大控制范围，窃取了钱包运维人员的容器部署凭证。最终，在10月29日20:05 UTC左右，攻击者利用这些凭证部署容器，未经授权访问了内部钱包签名服务，并发起了一系列大额转账。独立安全机构TRM Labs的链上追踪显示，十条区块链上的币安钱包在约二十分钟内出现了资产转出，受影响资产估值约为63.4亿美元。目前，币安已冻结或拦截约28.5亿美元，并承诺自行承担财务损失，预留资金以保障用户权益。
此次事件中最具技术启示意义的细节，在于为何在平台暂停提款服务后，资产依然能够继续外流。传统认知中，交易所关闭提款通道即可切断资金流出，但本次攻击利用了以太坊EIP-7702机制的特性。该机制允许普通账户通过签署授权，指定智能合约代码执行操作。攻击者通过被滥用的签名服务，在链上建立了恶意委托，使其控制的智能合约获得了对热钱包的部分执行权限。这种授权一旦写入链上，便独立于平台的中心化服务存在。即使币安关闭了网页端的提款入口，这些已生效的链上授权依然有效，攻击者无需经过平台审批，即可直接调用权限发起交易。此外，由于相关热钱包采用了多方计算（MPC）技术，签名需多方协同完成，没有单点私钥可供紧急撤权，导致团队需额外开发专门的撤销流程，耗费了关键时间。直到10月30日00:10 UTC，币安才从热钱包发出新授权，清除了恶意委托代码，而最后一笔未经授权的转账在10月29日23:56 UTC上链。这一时间差揭示了“停止新请求”与“撤销既有授权”是两个完全不同的工程动作，前者是服务层面的开关，后者是链上状态的变更。
从风险管理的角度看，此次事件打破了“私钥未泄露即安全”的固有思维。攻击者并未直接窃取完整私钥，而是借用了系统的签名能力，让内部服务替未经批准的交易“签字”。这表明，数字资产的安全边界已从单纯的密钥保管，扩展至权限管理的动态控制。FBI在10月31日的通报中，将此次盗窃归因于朝鲜相关的TraderTraitor活动，这进一步凸显了国家级攻击手段对传统安全防御体系的穿透力。对于行业而言，币安的案例提供了一个残酷但必要的教训：在引入MPC、AI工具等新技术以提升效率的同时，必须重新审视应急响应的底层逻辑。工程团队不能仅依赖“关闭服务”这一单一手段，而需建立一条独立于正常业务流程、经过预先演练的紧急撤权路径。同时，签名系统必须严格区分普通转账请求与改变账户执行权限的授权请求，因为后者一旦生效，其影响是持续且难以即时逆转的。此次事件虽已得到初步遏制，但它留下的工程难题——如何在去中心化链上实现中心化式的紧急刹车——仍是所有加密基础设施提供商必须直面并解决的命题。