币安一台笔记本被攻陷，63亿美元创纪录被盗

币安表示，黑客在周四晚间的一次攻击中从这家全球最大的加密货币平台盗走了63亿美元。如果这一数字属实，这将是有记录以来规模最大的加密货币盗窃案。入侵并非利用智能合约的零日漏洞，也不是跨链桥的缺陷，而是据The Record报道，入口是一名工程师的笔记本电脑。这台笔记本让攻击者得以接触能够授权提现交易的系统，攻击者随后在一次集中操作中转走了数十亿美元。

截至行业完成统计时，约30亿美元已被攻击者试图洗钱途经的其他平台冻结。Tether、Circle、Ripple、World Liberty Financial和Arbitrum都加入了冻结行动。攻击者在抛售稳定币并以其余资产抵押借贷后，仍带走了超过24亿美元的以太坊和比特币。币安暂停了存取款，承诺以公司资金全额赔付所有损失，并表示暂停将持续48小时，期间将与执法部门合作。

已确认的信息

这里的“已确认”指币安本人公开表态，或多家独立区块链情报公司在链上观察到。以下三点符合这一标准。

• 63亿美元资金通过未经授权的提现交易转出。币安发布事后分析报告，将入侵追溯至其一名工程师使用的被攻陷笔记本电脑。
• 攻击者试图通过合作平台转移资金后，约30亿美元被这些平台冻结。Tether、Circle、Ripple、World Liberty Financial和Arbitrum参与了冻结。
• 攻击者兑换了稳定币，并以其他被盗资产作抵押借贷，目前仍持有超过24亿美元的以太坊和比特币。

同样已确认的是，这场行动的准备时间很长。TRM Labs表示，证据显示准备工作在盗窃发生前36小时就已开始：先是通过少量Tornado Cash提现为操作者钱包注资，随后进行试运行，并提前获取签名，最后在一次集中执行中完成转移。最后这一点尤为关键。预先签名的交易同时执行，是在没人察觉之前转走63亿美元的方式。TRM表示，在Bybit和KelpDAO盗窃案中也看到了同样的模式。

哪些说法尚待证实，由谁提出

目前的归因主要依据区块链情报公司，而非政府声明，至少目前如此。TRM Labs和Chainalysis都将矛头指向TraderTraitor，即美国联邦调查局多次认定为多起重大加密货币盗窃案幕后黑手的朝鲜黑客组织。Chainalysis表示，其“高度确信朝鲜（DPRK）”实施了此次币安攻击，并称在与Bitget被盗资金混同的钱包中发现了币安的资金。Bitget上月报告因朝鲜黑客损失超过3.87亿美元。

TRM Labs以“基于可靠的链上与链下情报”将此次盗窃归因于TraderTraitor。从其公开材料看，其论据是模式匹配：为操作者钱包注资的Tornado Cash资金、远早于盗窃时间的准备工作，以及预先签名后的集中执行。这些确实是真实的战术特征，该组织的过往记录也佐证了这一判断。美国联邦调查局将TraderTraitor与13亿美元的Bybit盗窃案、6亿美元的Ronin Bridge攻击、1亿美元的Harmony Horizon跨链桥攻击，以及4月近3亿美元的KelpDAO盗窃案联系在一起。但钱包资金混同和战术重叠，仍是有力的间接证据，并非确证。截至周五，尚无任何政府机构正式将此次币安盗窃案归因。

另有一项说法值得注意：币安联合创始人Yi He表示用户资金安全，公司将承担所有黑客攻击损失。这是一项承诺，而非资产负债表审计。即便对币安而言，填补63亿美元的缺口也是重大承诺，而具体的赔付机制，包括赔付哪些内容、以何种资产、按什么时间表进行，尚未公布细节。

目前仍未知的信息

公开信息中的空白，恰恰是事件响应人员最关心的部分：这台笔记本是如何被攻陷的，以及在准备与执行之间的36小时内，日志显示了什么。据报道，币安的事后分析报告指出了被攻陷的设备和未经授权的提现，但并未说明该工程师最初是如何被攻陷的，例如钓鱼、恶意下载或被投毒的工具，也没有说明那些预先获取的签名是否需要人工审批，而这本应是触发警报的环节。

同样未知的还有：该笔记本能够访问哪些内部系统，为何单一终端能通向如此大规模的提现授权路径，以及在准备窗口期内是否有任何检测被触发。TRM认定准备工作始于36小时前，这意味着攻击者在一天半的时间里理论上处于活跃且可被发现的状态。他们在实践中是否被发现，只有币安的遥测数据能够回答，而目前尚无答案。

36小时的窗口才是真正的重点

我处理过入侵速度极快的事件，从初始访问到造成损失不到一小时；也遇到过攻击者潜伏数周的案例。这起事件介于两者之间，这恰恰是令人不安之处。36小时的准备，包括链上注资交易和签名收集，并不隐蔽。只有在没人盯着正确位置的情况下，它才会不可见。

公开报道中没有迹象表明采用了什么特别的技术：被攻陷的终端、可访问具备签名能力系统的权限、预先获取的签名，以及一次集中执行。平淡无奇，而最大的损失通常就是这样。由于数额巨大，外界很可能用“精密”来形容这次盗窃，但损失之所以如此惊人，是因为一台笔记本的信任关系背后系着大量价值，而不是入侵手法有多高明。如果你的检测模型只针对恶意软件，而没有针对工程师会话在异常时间或异常规模下请求提现签名的行为，那么你抓得住前一类攻击者，却会漏掉这一类。

冻结行动本身值得冷静审视。在数小时内追回63亿美元中的30亿美元，协调工作确实令人印象深刻，这需要Tether、Circle等机构迅速依据情报行动，而对手同样快速地转移资金。但它也揭示了行业去中心化宣传一直刻意回避的一点：加密货币真正有效的控制层，是少数稳定币发行方和交易所，它们能够通过协商冻结资产。这不是批评，而是架构事实，防御者应当以此为前提做规划，而不是围绕营销话术来做。

在需要之前预先协商冻结机制

30亿美元的冻结之所以能够实现，是因为相关关系和渠道早已存在。对任何持有大量加密货币资金的机构而言，教训在于：这种协调无法在事件发生时临时拼凑，必须事先协商好，并假定你会晚发现问题，因为每个人都会晚发现。

1. 在事件发生前，与稳定币发行方、跨链桥和主要交易所建立经过测试的直接升级联络渠道，包括非工作时间的联系路径，以及各方对冻结请求所需的确切证据格式。
2. 用书面形式明确何种情况会触发冻结请求：哪些交易金额门槛、哪些交易对手，以及贵组织中谁能在凌晨三点授权提出请求。
3. 对签名基础设施而非仅仅是终端进行监控：对提现签名请求、交易量异常，以及任何在变更窗口之外触及提现系统的会话发出警报。
4. 将能访问资金或签名系统的工程师工作站视为最核心资产：硬件隔离，禁止普通网页浏览和收发邮件，任何超过较低门槛的提现都需要二次审批。
5. 与资金、SOC和事件响应团队一起演练盗窃场景的前60分钟，因为冻结窗口以分钟计，而攻击者对此心知肚明。

值得一提的是更广泛的背景：微软同日发布调查报告，描述了朝鲜操作人员利用AI建立空壳公司并定制钓鱼诱饵，部分团队借助ARTEX渗透测试工具，通常以加密货币和金融机构为目标。如果币安的入侵是从这类诱饵开始的，那将符合TraderTraitor既有的战术模式，但这仍属推断，而非已确认的报道。可以确定的是，据报道中引用的联合国调查人员数据，仅过去一年，朝鲜的加密货币行动就已窃取超过20亿美元，而且节奏正在加快：Bybit、KelpDAO、Bitget，如今又是币安。

结论

在下一次复盘中，有三个问题值得考虑。第一：你的环境中，哪些单一终端能够直接或通过可访问的系统授权资金转移？如果其中一台被攻陷，你能否在一小时内发现？第二：过去36小时的签名活动日志显示了什么，是否有人查看过？第三：如果今晚你必须请Tether、Circle或竞争交易所冻结资金，你是否拥有联系人、渠道和授权，能在十分钟内完成？

币安对第三个问题的回答挽回了30亿美元。对前两个问题的回答，则是事后分析报告仍然欠我们的。一台笔记本，36小时的准备，63亿美元流出。真正起作用的控制措施，是事先协商好的那些；而那些没有到位的，都是被想当然地认为存在的。