币安遭朝鲜黑客63亿美元盗刷：社会工程与EIP-7702漏洞详解

2026年6月,一位币安的钱包运维工程师想装一个AI编程工具。 他在搜索引擎里搜了一下。 点进去,下载,安装。 那是一个被动过手脚的Homebrew安装包。 币安的安全团队发现了异常。 反应很快:换掉设备,轮换所有相关凭证。 教科书式的处置。 但有一样东西,他们换不掉。 从那一刻起,攻击者知道了这个人是谁,在哪个团队,身边的同事是谁。 四个月后,63.4亿美元消失了。

先说一个数字。 整个2026年,币安的安全团队检测并拦截了57起疑似朝鲜背景的网络攻击。 57起。 也就是说,平均每周都有人在敲门。 他们挡住了56次。

9月。 另一位币安的软件工程师,在一个正规的求职平台上挂着简历。 简历上写着他在币安的经历。 一个自称"项目总监"的人主动找上门,说有个岗位想聊聊。 第一轮面试,是真人视频。 对面是一位HR。 为了让他放下戒心,这位HR把自己的社交账号发给了他—— 上面有生活照,有视频,有一个真实的人该有的一切痕迹。 币安在报告里专门写了一句: 这比以往见过的社会工程手法,更高级,也更具欺骗性。 第二轮面试,换到了一个常用的聊天软件上。 对面自称是这家公司的CEO。 公司是假的。 面试快结束的时候,对方说: 有个小作业,你下载一下,当技术测试。 他在工作电脑上,下载并运行了它。

那份代码,在安装环节悄悄自动执行。 它做的事情很简单,也很狠: 把电脑上一个正常的开发工具pyenv,替换成带后门的版本。 然后连上攻击者的服务器。 然后清理自己留下的痕迹。 那是一个0day。 币安当时的终端安全软件,没有查出来。

接下来的部分,是整件事里最黑色幽默的一段。 10月20日。 攻击者站在这台被攻破的电脑上,做了什么? 他用了币安内部的一个AI工具。 用这个工具,他把手伸向了另外两个人: 那位6月份被换过电脑的钱包运维工程师。 和另一位钱包软件工程师。 然后他发现:运维工程师的电脑上,有一个容器部署权限的令牌。 6月的那次清理,换掉了设备,换掉了凭证。 但没能换掉一件事: 攻击者已经记住了这个人的名字。

10月29日,下午5点15分到晚上7点56分。 攻击者登录了第三位工程师的电脑。 用第一位工程师被偷的凭证。 部署了一个容器。 触发了一个脚本。 然后,晚上8点05分。

8点05分到8点09分,四分钟。 五个热钱包,送出了2.3346亿枚XRP。 Solana链上,约97万枚SOL。 Optimism链上,4420万枚OP。 币安收到了大额转账的内部告警,立刻开始调查。 然后比特币热钱包送出了18,270枚BTC。 币安做了一件所有人都会做的事: 暂停提现。 关掉热钱包服务。 然后他们发现:没用。

因为攻击者用的不是提现。 他用了以太坊的EIP-7702。 这个机制允许一个账户,把部分执行权委托给一个智能合约—— 不需要暴露私钥。 攻击者提交了50笔签名交易,操纵账户nonce,建立起恶意的委托授权。 一旦建立,这些授权就活在链上。 它和币安的提现系统,没有任何关系。 你关掉自己的门,没有用。 因为对方已经在你的墙上,开了一扇只有他能用的窗。

更麻烦的是: 这个热钱包用的是MPC——多方计算。 这意味着,世界上不存在一把"单一的私钥",可以用来立刻撤销那些授权。 这本来是最先进的安全设计。 此刻它变成了最大的拖累。 安全团队不得不现场开发一套专门的流程,去撤销链上的授权。 这需要时间。 而时间,正是对方唯一需要的东西。

最后一笔未授权转账,是2,961.9枚ETH。 在UTC时间23点56分,链上确认。 10月30日凌晨0点10分。 币安从Binance14热钱包发出一笔新的授权,指向零地址。 清除了那段EIP-7702委托代码。 窗户,终于被钉死了。 此时距离第一笔转账,过去了四个多小时。 账面上少了63.4亿美元。

后来的数字: 约28.5亿美元被冻结或拦截。 币安宣布由公司全额承担损失,不让用户承担。 截至10月31日,98%的受影响代币资产已经补回。 FBI确认:朝鲜。

但整件事最值得盯着看的,不是技术。 是入口。 不是防火墙被攻破。 不是加密算法被破解。 不是有人暴力撞开了金库的门。 是有人告诉一个工程师: 我们觉得你很优秀,想请你来聊一个机会。 然后真人出镜,聊了一轮。 然后发来生活照,证明自己是个活人。 然后再聊一轮。 然后说:做个小作业吧。

现在打开领英,还能搜到一大批在职的币安员工。 姓名、职位、所在城市,写得清清楚楚。 他们每一个人,都是下一轮的潜在目标。 而这件事真正可怕的地方在于—— 你没法要求一个人不找工作。 你没法要求一个人不写简历。 你没法要求一个人,在被夸奖的时候完全不动心。

世界上最严密的金库,防的是撬锁的人。 而这一次,门是从里面打开的。 开门的人没有被收买,没有被胁迫,也没有犯傻。 他只是收到了一份看起来很体面的工作邀约。 你可以换掉一台电脑。 可以轮换掉所有的密钥。 可以在一年里挡下56次攻击。 但你换不掉人性里最普通的那一格: 想被看见。 而这一次,看见他的人,来自平壤。🫠