63.4亿美元被盗！Binance披露假招聘面试与内部AI工具渗透攻击全程

全球最大加密货币交易平台 Binance 近日披露了一起重大安全事件。根据 Binance 于2026年11月3日发布的初步调查报告，此次事件涉及约 63.4 亿美元的数字资产。

调查显示，这并非一次简单的钓鱼攻击，而是一场持续数月的多阶段攻击行动。攻击者先后利用被篡改的开发工具、虚假招聘面试以及内部 AI 工具，逐步渗透工程师的工作设备，最终通过未授权访问内部钱包签名服务，绕过正常提现流程发起交易。

从最初的恶意软件植入，到利用招聘面试实施社会工程攻击，再到滥用内部 AI 工具获取更多系统权限，攻击者逐步建立起对钱包基础设施的控制能力，最终造成重大资产损失。

攻击链条：从恶意软件到假招聘面试

Binance 披露，攻击最早可以追溯到2026年6月。

当时，一名负责钱包 DevOps 的工程师（Engineer A）通过搜索引擎下载 AI 编程工具，在安装过程中使用了被篡改的 Homebrew 安装程序，导致工作设备遭到入侵。攻击者借此获取了部分内部人员信息，以及钱包基础设施团队的组织关系。

虽然 Binance 随后发现异常，更换了受影响的设备并轮换相关凭据，但攻击者已经掌握了部分内部人员及其工作职责信息。

2026年9月，攻击者将目标转向另一名工程师（Engineer B），并通过正规的求职平台伪装成企业项目总监，向其发出招聘邀请。整个过程设计得相当逼真。

攻击者安排了两轮面试。第一轮由自称 HR 的人员进行实时视频沟通，甚至通过分享社交媒体账号、个人照片和视频等方式建立信任；第二轮则由一名自称公司 CEO 的人参与。面试接近尾声时，Engineer B 被要求下载一份包含代码仓库的技术作业，并在公司电脑上运行。

然而，这份所谓的技术作业实际上暗藏恶意代码。程序在初始化过程中便执行了恶意操作，并通过替换正常开发工具组件、代码混淆等方式实现隐蔽运行，同时尝试清理相关痕迹。由于恶意代码具备较强的规避能力，当时终端安全防护工具并未检测到此次入侵。

至此，攻击者成功通过一次看似正常的招聘面试，进一步控制了企业内部工程师的工作设备。

滥用内部 AI 工具，突破钱包签名服务

攻击并未止步于工程师终端。

2026年10月20日，攻击者利用已经失陷的 Engineer B 电脑，进一步滥用 Binance 内部 AI 工具，获取对 Engineer A 及另一名钱包软件工程师（Engineer C）设备的控制能力。随后，攻击者发现 Engineer A 的电脑中保存着具有容器部署权限的令牌。这一发现为后续攻击提供了关键条件。

10月29日，攻击者利用窃取的凭据登录 Engineer C 的电脑，部署恶意容器并执行攻击脚本，进一步获取了对内部钱包签名服务的未授权访问能力。随后，攻击者开始发起未经授权的资产转移。

根据 Binance 披露的信息，攻击者首先通过五个热钱包向其控制的地址转移了约 2.3346 亿枚 XRP，随后又涉及 SOL、OP、BTC 等数字资产。

在后续攻击中，攻击者还利用以太坊 EIP-7702 授权机制，为其控制的智能合约授予了对 Binance 热钱包的部分执行权限。EIP-7702 允许账户将特定执行权限委托给智能合约，而不需要直接暴露账户私钥。此次事件中，攻击者滥用这一机制，使恶意合约获得了对相关热钱包的部分执行权限。

这意味着，攻击者不仅获得了内部系统访问能力，还进一步利用链上授权机制实施资产转移，使攻击不再完全依赖 Binance 正常的提现基础设施。

Binance 表示，攻击者在建立恶意授权后，即使平台暂停正常提现，也无法立即阻止所有链上资产转移。平台还需要通过专门的链上交易撤销相关授权，增加了事件处置的复杂性。最终，攻击者通过这条攻击链绕过正常提现流程，造成约 63.4 亿美元数字资产受到影响。

应急处置与资产追踪

事件发生后，Binance 迅速采取了一系列应急处置措施，试图阻止攻击进一步扩大，并恢复受影响系统的安全状态。

根据 Binance 于11月3日发布的调查报告，主要补救措施包括：

• 更换受影响设备：对遭到入侵的员工设备进行更换，吊销相关账号凭据和访问令牌。
• 全面安全扫描：对员工终端开展增强型安全扫描，排查潜在的恶意程序及异常行为。
• 重建钱包系统：在新的环境中重建受影响的钱包系统，降低原有环境中残留风险。
• 重建内部 AI 工具：重建受影响的内部 AI 工具及其访问控制机制。
• 加强风险监测：强化钱包服务风险控制，并扩大基于 AI 的行为异常检测能力。
• 追踪和冻结资产：联合执法机构、区块链分析公司及行业合作伙伴追踪被盗资产。

Binance 表示，此次攻击利用的入口已经关闭，攻击路径涉及的系统也已完成重建或替换。

在资产处置方面，Binance 披露，截至2026年11月3日，约有 28.5 亿美元的数字资产已被冻结或拦截，具体金额仍可能受到后续核算及市场价格波动影响。此外，截至10月31日，受影响的代币资产已有 98% 得到补充，剩余部分仍在处理中。Binance 表示，此次事件造成的资金影响将由平台承担，不会转嫁给用户。

Chainalysis 披露：假招聘已成持续性攻击手法

区块链分析公司 Chainalysis 此前披露，过去 18 个月内，类似的朝鲜关联假招聘攻击已造成超过 1430 万美元损失。攻击者通过一系列规模较小的攻击不断完善手法，逐渐将攻击目标转向更高价值的加密资产。

部分攻击还利用区块链隐藏命令与控制（C2）通信指令，通过 TRON、Aptos 和 BSC 等多个区块链建立具有冗余能力的通信链路，进一步提高恶意程序的隐蔽性和持久性。

这类攻击将社会工程、恶意软件、开发环境入侵和区块链技术结合起来，使攻击活动能够在不同系统和网络环境中持续进行。面对供应链攻击与链上授权机制的组合拳，传统安全边界正面临前所未有的挑战。更多安全攻防与逆向技术实战案例，欢迎前往云栈社区交流探讨。