币安63亿美元被盗事件全解析：从虚假面试到四分钟盗币的完整入侵链

2025年11月3日，币安公布初步调查报告，披露了这起约63亿美元资产被盗事件的完整攻击链条。黑客未依赖单一系统漏洞，而是通过长达数月的供应链污染、社会工程渗透与内部横向移动，最终在约四分钟内转出首批资产。FBI将攻击归因于与朝鲜关联的黑客组织，朝方予以否认。

一、事件概览

协调世界时10月29日晚8时05分至09分，黑客未经授权访问币安钱包，向其控制的地址转移了2亿3346万枚瑞波币（XRP），当时价值约2.96亿美元。截至当晚11时56分，比特币等多种虚拟货币也被陆续转出。币安为遏制资产流出暂停提现并冻结受损资产，但未能阻止所有未经授权的转移。在约63.4亿美元受影响资产中，约28.5亿美元已被冻结或拦截。

二、入侵过程：四个阶段

阶段一：早期侦察与供应链污染（6月）

攻击者首先盯上币安钱包开发团队的一名工程师。该工程师在尝试安装一款流行的AI编程辅助工具时，下载了被篡改的Homebrew安装程序。Homebrew是macOS上常用的软件包管理器，黑客将恶意代码嵌入其中，使该工程师的设备悄然感染。币安安全团队虽检测到异常并更换了设备、轮换了凭证，但为时已晚——黑客已借此摸清了该工程师的职务角色，以及他在钱包基础设施团队中的同事信息。

阶段二：虚假面试投放恶意软件（9月）

真正的突破口出现在9月。另一名币安软件工程师通过正规求职平台收到了一家"虚构公司"项目主管的邀约。在首轮视频面试中，对方甚至分享了带有个人照片和动态的社交媒体账号以建立信任，手法比以往的社会工程攻击更为精细。第二轮面试由假冒的"首席执行官"通过社交聊天软件进行，临近结束时，对方要求该工程师下载一份"面试作业"——一个包含恶意代码的代码仓库。该恶意软件在安装过程中执行，用恶意版本替换了合法的开发工具组件，并建立了与黑客控制的外部服务器的通信。币安承认，当时的终端安全工具未能立即检测到这一恶意软件。

阶段三：内部横向移动（10月20日）

10月20日，即正式盗币的九天前，黑客利用已被感染的工程师电脑，并借助币安内部的一款AI工具，进一步控制了另外两名钱包开发与运维工程师的系统。其中一名工程师的电脑上存有容器部署权限令牌，黑客迅速发现了这一权限。

阶段四：实施盗币（10月29日）

10月29日，攻击者访问了第三名工程师的电脑，使用从第一名工程师处窃取的凭证部署了一个容器，并触发脚本执行盗币操作。协调世界时当晚8时05分至09分，首批2亿3346万枚瑞波币被转出。由于XRP不具备稳定币那样的冻结机制，这批资产一旦转出便难以拦截。此后至当晚11时56分，比特币等多种加密资产也被陆续转出。

三、事后处置

币安表示将承担全部用户损失，不动用用户资金。截至10月31日，受影响代币资产中已有98%得到补足，剩余流动性较低的资产正在采购中。币安已重建受影响的钱包系统与内部AI工具，停用涉事工程师的全部凭证，并聘请独立第三方网络安全公司进行审查。

四、核心警示

这起事件的核心在于：攻击者并未正面突破币安的外部防线，而是通过一份看似正常的面试作业，让一名工程师主动将恶意代码引入了公司内网。当开发者工具链与AI辅助工具成为攻击载体，传统边界防御的失效速度远比预期更快。