币安63亿被盗事件：何一、Richard Teng与安全负责人全面复盘

本内容来自币安联席 CEO 何一、Richard Teng 及首席安全官 Jimmy Xu 在币安公开 Space，回应 10 月 30 日发生的重大安全事件。币安方面表示，攻击者通过入侵内部钱包签名服务，绕过正常提现流程转移约 63.4 亿美元加密资产。截至分享时，约 28.5 亿美元资产已被冻结或拦截。币安承诺自行承担损失，并表示已补足约 98% 的受影响代币资产，用户资金未出现缺口，提现服务也已恢复。

Jimmy 介绍，攻击者涉嫌通过虚假招聘和技术面试，诱导一名工程师在工作电脑上运行恶意代码，进而取得内部系统访问权限。攻击者还利用链上授权机制，在币安暂停提现后继续转移资金。币安认为此次事件涉及具有国家背景的黑客组织，并称其安全团队在 2026 年已阻止 57 起疑似与朝鲜有关的网络攻击。

何一表示，尽管内部有人担忧公开技术细节可能带来额外风险，她仍坚持提高事件透明度。币安计划重建相关钱包基础设施、加强内部系统隔离，并引入独立安全审查。谈及未来发展，何一认为，加密行业需要更加重视真实业务价值，RWA、股票永续合约及传统金融与加密市场的融合将是重要方向。

以下金额、攻击归因、资产恢复情况及安全措施主要来自币安管理层的公开陈述，尚不代表独立调查结论。

63.4 亿美元资产受影响，币安称已冻结或拦截约 28.5 亿美元

主持人 Jessica： 能否介绍一下 10 月 30 日究竟发生了什么，以及币安目前的处理进展？

Richard Teng： 这次事件不应该发生，我们对此承担全部责任。

10 月 30 日，攻击者获得了内部钱包签名服务的未授权访问权限，并在正常提现流程之外发起交易。系统检测到异常的大额资金转移后，我们立即展开调查，暂停提现，并与合作伙伴协调冻结相关资产。

此次事件涉及约 63.4 亿美元数字资产。截至目前，约 28.5 亿美元已经被冻结或拦截，相关工作仍在继续。

我们决定由币安承担全部财务损失，不会让用户承担损失。

这次资金冻结能够快速推进，离不开稳定币发行方、区块链分析公司和执法机构的配合。链上交易的透明性让各方能够实时追踪资金流向，并协调采取行动。

Jessica： 何一，你最初得知攻击事件时是什么反应？

何一： 当时是阿布扎比的午夜，我准备睡觉，刷 X 时看到很多人在讨论币安是否遭到黑客攻击。我立即查看内部工作群，发现团队已经开始调查和处理。

作为非技术背景的管理者，我当时最关注的是用户资产是否安全，以及应该如何向社区说明情况。

虽然最初还不知道最终损失金额，但我们很快与主要股东和董事会负责人沟通，决定公开承诺由币安承担损失，确保用户不会因此遭受资产损失。

当时攻击还在持续，我们也在不断更新情况。Tether、Circle、USD1 以及 Aave、Arbitrum、Polygon 等行业合作伙伴迅速提供了帮助，部分资产在几个小时内就得到冻结或拦截。

这让我感受到，虽然加密行业平时竞争激烈，但面对重大安全事件时，行业各方仍然能够迅速合作。

币安称用户资金未受损，98% 的受影响代币资产已补足

Jessica： 用户最关心的是资金安全。币安如何证明用户资产仍然得到保障？暂停提现是否与 FTX 当年的情况类似？

Richard Teng： 我们的立场非常明确：用户资金没有出现缺口。

此次受到影响的是币安自身的钱包和资产头寸，而不是用户资金。绝大部分用户资产仍然存放在冷钱包中，我们没有发现钱包私钥泄露或用户数据泄露的证据。

目前，我们已为覆盖损失预留超过所需金额的资金，约 98% 的受影响代币资产已经补足。剩余约 2% 主要是流动性较低的资产，采购和补足需要更多时间，但同样已经获得资金保障。

用户可以通过币安公开的储备金证明（Proof of Reserves）核查相关余额。

至于暂停提现，我认为不能简单与 FTX 相提并论。FTX 当时的问题是客户资金存在缺口，而币安暂停提现是为了控制安全事件、保护现有资金。

我们在确认相关系统安全后恢复了提现服务。暂停提现是一项风险控制措施，并不意味着平台缺乏偿付能力。

虚假招聘攻破工程师电脑，链上授权让攻击在暂停提现后继续

Jessica： 币安拥有大型安全团队和多年安全投入，攻击者究竟如何突破防线？

Jimmy Xu： 这是一次持续数月、具有明确目标的攻击，而不是普通的随机网络诈骗。

今年 9 月，一名软件工程师通过正规招聘平台收到所谓项目负责人的联系。攻击者知道他具有币安工作背景，因此这次接触具有明显针对性。

随后，工程师参加了两轮面试。第一轮是与假冒 HR 的人员视频交流，对方还提供包含个人照片和视频的社交账号来建立信任。第二轮则通过社交软件进行，另一名攻击者冒充虚构公司的 CEO。

面试接近结束时，对方要求工程师在工作电脑上下载一份代码作业。实际上，这个代码仓库包含恶意程序，在安装和配置过程中执行。

恶意程序通过替换正常开发工具的组件执行指令，并与攻击者控制的外部服务器通信。我们认为其中使用了零日恶意软件，当时的第三方终端安全产品未能检测出来。攻击者还采取措施隐藏活动痕迹，增加了调查难度。

今年以来，我们的安全团队已经识别并阻止 57 起疑似与朝鲜有关的网络攻击，包括虚假招聘、伪装成开发工具的恶意软件、被植入恶意代码的软件包和浏览器扩展，以及假冒视频会议应用等。

这些攻击表明，针对员工的社会工程攻击已经成为行业面临的重要风险。

Jessica： 为什么币安暂停提现后，攻击者仍然能够继续转移资产？

Jimmy Xu： 这是本次事件最重要的技术教训之一。

攻击者利用了一种链上交易授权机制。暂停提现只能阻止币安自身的提现基础设施继续处理新请求，但攻击者此前建立的恶意授权已经存在于链上，不再依赖币安的提现系统。

因此，暂停提现虽然必要，却不足以彻底阻止攻击。

我们必须通过额外的链上交易撤销这些授权。但受影响的热钱包采用多方计算（MPC）架构，没有一把可以直接使用的完整私钥来立即撤销授权。

安全团队必须在极短时间内设计并执行专门的撤销程序，这也是为什么阻止资金继续流出花费了数小时，而不是几分钟。

我们希望公开这一技术问题，让采用类似钱包架构的平台提前了解相关风险。

AI 同时增强攻击与防御，何一坚持公开安全事件细节

Jessica： AI 在这次攻击和安全防御中分别发挥了什么作用？

Richard Teng： AI 既是攻击工具，也是防御工具。

AI 正在改变网络攻击的成本结构，让攻击者能够更快、更大规模地发动复杂攻击。过去需要专业团队完成的工作，现在可能通过自动化工具实现，社会工程攻击也变得更加逼真。

但同样的技术也可以帮助安全团队识别异常行为、追踪资金和提高响应效率。

因此，我们正在增加对 AI 异常检测、行为监控和终端安全的投入，并与 AI 企业及网络安全公司合作。

没有任何机构能够保证百分之百的安全，但我们必须持续改进防御体系。

Jessica： 何一，为什么你坚持公开技术信息？

何一： 事实上，内部一些高级管理人员和法务团队曾建议，不要在公开报告中披露过多技术细节，但我没有接受这个建议。

我认为，币安过去近十年能够获得社区信任，一个重要原因就是愿意公开面对问题。

出现错误时，我们应该承认、改进，而不是试图隐藏。如果披露更多信息能够帮助其他平台了解攻击方式、提高安全水平，这件事就有价值。

我负责 HR 团队，也遇到过类似的可疑招聘案例。例如，面试时出现的人与后来到办公室的人不是同一个人；还有候选人的身份资料与网络环境存在异常，在我们进一步核查后，对方便突然失去联系。

这些情况说明，攻击者可能长期研究企业招聘和内部管理流程，利用身份伪装寻找机会。

AI 既可能成为攻击者的武器，也可以成为防御者的盾牌。我们需要持续提高安全能力，同时把经验分享给行业。

重建钱包和内部系统，引入独立安全审查

Jessica： 币安已经采取哪些整改措施？接下来如何避免类似事件再次发生？

Jimmy Xu： 截至 11 月 3 日，我们已经完成多项紧急整改。

首先，在新的环境中重建受影响的钱包系统和内部 AI 工具，并加强访问权限控制。同时，更换受影响员工的设备，撤销相关凭证和访问令牌，对员工设备开展强化安全扫描。

我们还升级了基于 AI 的异常行为检测，以及钱包服务的风险控制措施，并继续与执法机构、链上分析公司和行业合作伙伴追踪相关资产。

更长期的重点是加强系统隔离，包括区分内外部网络流量、隔离工作内容与敏感数据，以及强化企业设备上的文件存储和网络访问控制。

核心原则是，即使单个员工设备遭到入侵，也不应该进一步演变为系统性安全事件。

接下来有三个主要方向：

• 第一，引入外部安全专家开展独立审查，验证事件调查结果，并提出进一步的改进建议。我们不能只依赖内部团队自行判断系统是否安全。

• 第二，增加 AI 安全投入，重点加强威胁检测、终端防护、开发环境安全和异常行为监控。这次事件说明，内部 AI 工具和开发环境也必须被视为关键基础设施。

• 第三，加强行业合作。我们正在推动建立安全研究基金，并计划与 AI 公司、安全机构及其他行业参与者合作，研究区块链环境中的 AI 安全威胁。

此外，我们还将重新审查钱包签名策略、热钱包控制机制和事件响应流程，缩短未来发现、控制和处理攻击所需的时间。