Binance 黑客攻击时间线：从员工设备失陷到钱包失窃

Chainalysis 测得，Binance 多条区块链上的热钱包发生了约 $6.4 billion 的未经授权转账，始于 10月29日美东时间 4:20 p.m. 左右。Chainalysis 观察到被盗的 Binance 资金在链上与此前已归因于 Bitget 盗窃事件的资金混合，因此将此次盗窃归因于朝鲜 TraderTraitor 团伙。

目前的公开记录将攻击者长期潜伏于 Binance 系统，与其取得钱包操作权限区分开来。Security Alliance 估计，与 Binance 9月员工设备失陷相关的入侵在盗窃发生前持续了约八周。Cointelegraph 报道，Binance 将这段设备失陷窗口与钱包操作权限的获取时间区分开来；该交易所称，攻击者直到 10月20日才取得后者。

• 2026年6月： Binance 表示，一名 Wallet DevOps 工程师在尝试安装一款 AI 编程工具时，下载了被篡改的 Homebrew 安装程序。
• 9月： Binance 表示，第二名工程师在一次虚假招聘流程中收到恶意面试任务，设备随后失陷。
• 10月20日： 据 Binance 称，攻击者利用第二名工程师已失陷的电脑和一款内部 AI 工具，控制了另外两名钱包工程师的设备。
• 10月29日之前： Binance 报告称，攻击者在一名设备已失陷的工程师电脑上发现了容器部署权限令牌。
• 10月29日： Binance 表示，攻击者进入了钱包签名操作环节；Chainalysis 测得，未经授权的转账始于美东时间 4:20 p.m. 左右。
• 11月3日： Chainalysis 表示，截至美东时间 11:30 a.m.，约 $2.8 billion 被盗资产已被冻结。

对于正在比较不同资产托管模式的中心化交易所用户，已披露时间线中的关键区别，在于员工设备长期失陷与攻击者后来渗透至钱包操作系统并非同一阶段。Binance 的说法显示，攻击者从已失陷设备入手，继而利用内部 AI 工具，控制更多钱包工程师的设备，获取部署令牌，最终进入钱包签名操作环节。

这条攻击链有助于判断运营风险究竟存在于哪些环节：Binance 所描述的事件涉及员工终端、内部工具、凭证和钱包基础设施，并非单一环节孤立失守。这是根据 Binance 所披露攻击路径作出的推断，并非其承诺开展的独立审查所得结论。

Binance 表示，已重建受影响的钱包系统和内部 AI 工具，更换受影响的设备，撤销相关凭证与令牌，并加强钱包服务的风险控制。

现有研究仍留下若干待解问题：

• Binance 内部 AI 工具存在什么技术弱点，使攻击者得以横向移动？
• 在估计约为八周的窗口期内，哪些控制措施未能发现 9月的入侵？
• 最终能追回多少被冻结的加密资产？
• Binance 承诺开展的独立审查，是否会改变初步时间线或根因判断？
• 为何公开估算将损失规模表述为约 $6.3 billion 或 $6.4 billion？

应把 Binance 披露的攻击路径当作提问清单，而不是据此认定每个平台的风险状况都相同。在改变交易方式前，请核查：

• 谁控制提现或钱包签名。
• 哪些设备和凭证可以授权敏感操作。
• 使用自托管钱包后，是否需要由你自行保护助记词、签名设备和授权。
• 平台是否公布了事件时间线、应对措施和独立审查。
• 披露被冻结资金时，是否将其与已追回资金明确区分。

前两项核查源于 Binance 披露的攻击路径。被冻结资金与已追回资金之间的区别，在现有研究中仍是一个待解问题。