63.4亿美元加密资产遭窃！Binance披露攻击内幕：黑客利用假招聘面试和AI工具渗透内部系统

全球最大加密货币交易平台 Binance 近日披露了一起重大安全事件。根据 Binance 于2026年11月3日发布的初步调查报告，此次事件涉及约 63.4亿美元的数字资产。

调查显示，这并非一次简单的钓鱼攻击，而是一场持续数月的多阶段攻击行动。攻击者先后利用被篡改的开发工具、虚假招聘面试以及内部AI工具，逐步渗透工程师的工作设备，最终通过未授权访问内部钱包签名服务，绕过正常提现流程发起交易。

从最初的恶意软件植入，到利用招聘面试实施社会工程攻击，再到滥用内部AI工具获取更多系统权限，攻击者逐步建立起对钱包基础设施的控制能力，最终造成重大资产损失。

Binance披露，攻击最早可以追溯到2026年6月。

当时，一名负责钱包DevOps的工程师（Engineer A）通过搜索引擎下载AI编程工具，在安装过程中使用了被篡改的Homebrew安装程序，导致工作设备遭到入侵。

攻击者借此获取了部分内部人员信息，以及钱包基础设施团队的组织关系。

虽然Binance随后发现异常，更换了受影响的设备并轮换相关凭据，但攻击者已经掌握了部分内部人员及其工作职责信息。

2026年9月，攻击者将目标转向另一名工程师（Engineer B），并通过正规的求职平台伪装成企业项目总监，向其发出招聘邀请。

整个过程设计得相当逼真。

攻击者安排了两轮面试。第一轮由自称HR的人员进行实时视频沟通，甚至通过分享社交媒体账号、个人照片和视频等方式建立信任；第二轮则由一名自称公司CEO的人参与。

面试接近尾声时，Engineer B被要求下载一份包含代码仓库的技术作业，并在公司电脑上运行。

然而，这份所谓的技术作业实际上暗藏恶意代码。程序在初始化过程中便执行了恶意操作，并通过替换正常开发工具组件、代码混淆等方式实现隐蔽运行，同时尝试清理相关痕迹。

由于恶意代码具备较强的规避能力，当时终端安全防护工具并未检测到此次入侵。

至此，攻击者成功通过一次看似正常的招聘面试，进一步控制了企业内部工程师的工作设备。

攻击并未止步于工程师终端。

2026年10月20日，攻击者利用已经失陷的Engineer B电脑，进一步滥用Binance内部AI工具，获取对Engineer A及另一名钱包软件工程师（Engineer C）设备的控制能力。

随后，攻击者发现Engineer A的电脑中保存着具有容器部署权限的令牌。

这一发现为后续攻击提供了关键条件。

10月29日，攻击者利用窃取的凭据登录Engineer C的电脑，部署恶意容器并执行攻击脚本，进一步获取了对内部钱包签名服务的未授权访问能力。

随后，攻击者开始发起未经授权的资产转移。

根据Binance披露的信息，攻击者首先通过五个热钱包向其控制的地址转移了约2.3346亿枚XRP，随后又涉及SOL、OP、BTC等数字资产。

在后续攻击中，攻击者还利用以太坊EIP-7702授权机制，为其控制的智能合约授予了对Binance热钱包的部分执行权限。

EIP-7702允许账户将特定执行权限委托给智能合约，而不需要直接暴露账户私钥。此次事件中，攻击者滥用这一机制，使恶意合约获得了对相关热钱包的部分执行权限。

这意味着，攻击者不仅获得了内部系统访问能力，还进一步利用链上授权机制实施资产转移，使攻击不再完全依赖Binance正常的提现基础设施。

Binance表示，攻击者在建立恶意授权后，即使平台暂停正常提现，也无法立即阻止所有链上资产转移。平台还需要通过专门的链上交易撤销相关授权，增加了事件处置的复杂性。

最终，攻击者通过这条攻击链绕过正常提现流程，造成约63.4亿美元数字资产受到影响。

区块链分析公司Chainalysis此前披露，过去18个月内，类似的朝鲜关联假招聘攻击已造成超过1430万美元损失。

攻击者通过一系列规模较小的攻击不断完善手法，逐渐将攻击目标转向更高价值的加密资产。

部分攻击还利用区块链隐藏命令与控制（C2）通信指令，通过TRON、Aptos和BSC等多个区块链建立具有冗余能力的通信链路，进一步提高恶意程序的隐蔽性和持久性。

这类攻击将社会工程、恶意软件、开发环境入侵和区块链技术结合起来，使攻击活动能够在不同系统和网络环境中持续进行。