币安披露失窃链路：开发工具与AI成入口

一份招聘作业、一个搜索结果里的安装程序，按这篇报道的描述，最终连到了交易所的热钱包授权。攻击者没有只盯着钱包，而是从员工的开发环境进入，逐步取得凭证，再触碰资产执行权限。

原文援引币安初步公告，称事件造成 63.6 亿美元损失。对程序员更有参考价值的是这条攻击链：开发工具、内部 AI 和钱包授权如何接到一起。以下按报道拆解；原文未附调查材料，相关规模与技术归因仍需后续证据支持。

招聘作业为什么能成为入侵入口

报道描述了两条入口。

第一条始于 9 月。攻击者通过真实求职平台联系员工，安排看似正常的 HR 和「CEO」面试，再让员工下载所谓的作业代码库。求职平台是真的，不代表招聘者和代码可信。连续的面试环节，则给后面的下载请求增加了可信度。

第二条发生在工具安装环节。一名工程师为安装热门 AI 编程工具，通过搜索引擎下载了被篡改的 Homebrew 安装程序。报道将其归为供应链攻击，但没有说明被污染的是哪个下载站、安装脚本或分发渠道，也未点名该 AI 工具。

两条路径都利用了开发者熟悉的动作：拿代码、装工具。原文没有提供恶意程序的执行细节，因此不能断言「下载即感染」，也不能确定究竟是哪一步触发了执行。

内部 AI 出现在攻击链里，说明了什么

按报道转述的币安公告，攻击者利用受感染的员工电脑与内部 AI 工具横向移动，进一步获取其他员工的控制权和权限 Token。横向移动，就是拿下一台电脑后，继续寻找能进入其他账号、设备和系统的通道。

这里最需要追问的是 AI 工具承担了什么角色。它能读取哪些内部资料，是否连接其他系统，使用谁的身份执行操作？原文都没说清，不能直接把事件归因于模型漏洞或提示注入。

AI 工具接入内部系统后，安全审查必须覆盖它能调用的权限。

报道还称，端点安全工具没有检测到相关「零日」恶意软件，攻击者替换了合法开发工具组件并清除痕迹。这能说明公告所描述的防护失效，却不足以解释失效原因。原文没有给出样本分析、检测日志或独立复核结果。

为什么用了 MPC，还要额外撤销钱包授权

资产环节涉及两个概念：EIP-7702 委托授权机制，以及多方计算（MPC）钱包架构。

按照公告的解释，攻击者利用 EIP-7702，把热钱包的部分执行权限委托给恶意合约。问题因此不只在于谁持有签名材料，还在于钱包已经允许谁执行操作。

币安称，热钱包采用 MPC 架构，不存在可立即撤销授权的单一私钥，需要发起额外链上交易撤销恶意委托。不过，原文没有交代攻击者如何通过签名与授权流程，也没有解释 MPC 如何具体影响撤销过程。这一技术因果仍不完整。

规模方面，报道援引 TRM Labs 称，10 月 29 日约 20 分钟内转出约 63.6 亿美元，约为 2025 年 2 月 Bybit 被盗 15 亿美元的 4 倍。原文两处人民币折算分别为 423.92 亿元和 424.18 亿元；Bybit 对应约 100.04 亿元。

处置数字也要分开看：截至 11 月 3 日，约 28.5 亿美元、折合约 189.96 亿元人民币的资产被冻结或拦截；截至 10 月 31 日，98% 受影响加密资产已获补充。

补充资产、冻结资产和追回资产，是三种不同的处置结果。

原文没有说明补充资金来源，也没有说明被冻结资产能否最终返还。

我的判断

这篇报道最有用的提醒，是开发环境的风险可以一路传导到生产权限。招聘代码、安装程序、员工凭证和内部工具，应当放进同一条权限链里审视。

但它仍是一份初步公告的新闻转述。所谓「高度复杂」「零日」，以及内部 AI 的实际作用，都缺少可供核验的技术细节。「全球最大」的纪录判断也依赖报道引用的数据，当前输入不足以独立确认。

它也没有提供对照实验，无法据此判断某款端点产品、某种 AI 安全方案或 MPC 架构孰优孰劣。相较于继续堆叠检测工具，限制开发终端可接触的生产凭证、收紧内部工具的执行权限，更直接对应这条攻击链；这是基于报道路径的防护判断，并非作者已经验证的效果。

能拿来做什么

• 接手陌生前端或 Node 面试仓库时，先检查安装脚本和执行入口，再在隔离环境中运行，避免让它接触日常开发机上的凭证。
• 安装 AI 编程工具及 Homebrew 等依赖时，从已核验的官方入口获取安装命令，核对脚本来源，不把搜索排名当作可信证明。
• 盘点内部 AI 工具能读取的资料、持有的 Token 和可执行的操作，把读取资料与修改生产系统的权限分别审查。
• 排查凭证泄露时，同时检查攻击者是否新增了持续授权或委托；处置清单不能只包含换电脑、重置密码和撤销 Token。