Binance 遭駭時間線：從員工裝置入侵到錢包資產失竊

Chainalysis 測得 Binance 分布於多條區塊鏈的熱錢包出現約 $6.4 billion 的未經授權轉帳，交易自 10 月 29 日美東時間下午 4:20 左右開始。Chainalysis 觀察到 Binance 失竊資金在鏈上與先前被歸因於 Bitget 失竊案的資金混合，因此判定此次竊案由北韓 TraderTraitor 組織所為。

目前的公開紀錄將攻擊者較早期、較廣泛的滲透，與其取得錢包作業權限區分開來。Security Alliance 估計，與 Binance 9 月員工裝置遭入侵有關的滲透行動，在竊案發生前已持續約八週。Cointelegraph 報導，Binance 將這段裝置遭入侵的期間與錢包作業權限遭取得的時間點分開說明；該交易所表示，攻擊者直到 10 月 20 日才取得後者。

• 2026 年 6 月： Binance 表示，一名 Wallet DevOps 工程師在嘗試安裝 AI 程式開發工具時，下載了遭竄改的 Homebrew 安裝程式。
• 9 月： Binance 表示，第二名工程師在假冒招募流程中收到惡意面試作業，裝置因而遭入侵。
• 10 月 20 日： 據 Binance 說法，攻擊者利用第二名工程師遭入侵的電腦與內部 AI 工具，進一步控制另外兩名錢包工程師的裝置。
• 10 月 29 日之前： Binance 表示，攻擊者在一名受害工程師的電腦中找到容器部署權限權杖。
• 10 月 29 日： Binance 表示，攻擊者進入錢包簽章作業；Chainalysis 測得，未經授權的轉帳自美東時間下午 4:20 左右開始。
• 11 月 3 日： Chainalysis 表示，截至美東時間上午 11:30，約 $2.8 billion 的失竊資產已遭凍結。

對正在比較不同資產託管模式的中心化交易所用戶而言，這份事件時間線最關鍵的差別，在於員工裝置長期遭入侵，與攻擊者後續觸及錢包作業是兩個不同階段。Binance 的說法顯示，攻擊者先入侵裝置，再經由內部 AI 工具滲透更多錢包工程師的裝置，取得部署權杖，最終進入錢包簽章作業。

評估營運風險位於何處時，這段攻擊路徑格外重要：依 Binance 描述，事件並非單一環節失守，而是牽涉員工端點、內部工具、憑證與錢包基礎設施。這是根據 Binance 公布的事件順序所作的推論，並非其承諾進行的獨立審查所得結論。

Binance 表示，已重建受影響的錢包系統與內部 AI 工具、更換受影響裝置、撤銷相關憑證與權杖，並強化錢包服務的風險控管。

現有研究仍留下幾個待解問題：

• Binance 內部 AI 工具的哪項技術弱點讓攻擊者得以橫向移動？
• 在估計長達八週的入侵期間，哪些監控機制未能偵測到 9 月的裝置入侵？
• 已凍結的加密貨幣最終能追回多少？
• Binance 承諾進行的獨立審查，是否會改寫初步時間線或根因分析？
• 為何公開估算的損失規模分別為約 $6.3 billion 與 $6.4 billion？

應把 Binance 公布的攻擊路徑當作提問清單，而不是所有平台風險皆相同的證據。改變交易方式前，請先確認：

• 誰能控制提領或錢包簽章。
• 哪些裝置與憑證可以授權敏感操作。
• 使用自託管錢包，是否代表你必須自行保管助記詞、簽章裝置並管理授權。
• 平台是否公布事件時間線、應變措施與獨立審查。
• 對外公布的凍結資金，是否與已追回資金分開說明。

前兩項檢查源自 Binance 公布的攻擊路徑。凍結資金與追回資金之間的差異，在現有研究中仍是未解問題。