返回

2026/11/02

史上最大加密货币盗窃案始于一台笔记本电脑，而非区块链：Binance事件的教训

Binance被盗并非源于密码学被攻破，而是始于一台被入侵的DevOps笔记本电脑。本文梳理已确认与未确认的信息，并给出五项自查建议。

2026年10月29日，攻击者在短短几个小时内，从至少十条区块链上的Binance热钱包中盗走资金。Binance估计损失约为63亿美元，这几乎可以肯定是加密货币史上规模最大的盗窃案。失守的并不是密码学。根据Binance的初步调查结果，攻击始于一名DevOps工程师使用的一台被入侵的笔记本电脑。

因此，这起事件的意义远远超出加密货币交易所的范畴。任何组织都有能够批准敏感操作的人员、设备和系统，例如生产环境部署、付款、签名以及云端特权访问。本文将区分已确认的事实与仍属初步的信息，解释为什么被入侵的特权终端可能比被盗的密钥更危险，并列出五项可以在您自己的环境中执行的检查。

要点

  • Binance的初步调查指出，入侵入口是一名DevOps工程师被入侵的笔记本电脑；Binance表示尚未发现钱包私钥泄露的证据。这两项结论均为初步结论。
  • 控制了请求和批准签名的系统的攻击者，并不需要窃取密钥。
  • FBI和多家区块链分析公司将此次盗窃归咎于朝鲜黑客组织TraderTraitor；Binance本身尚未点名攻击者。
  • 最重要的防御措施，不只是保护密钥本身，而是保护围绕密钥的人员、终端和审批路径。
  • 同样的模式也适用于云控制台、SSH、CI/CD流水线，以及能够在生产环境中执行操作的AI智能体。

发生了什么，哪些仍属初步信息

据区块链分析公司TRM Labs报告，资金于10月29日UTC时间20:05左右开始流出Binance钱包，大部分价值在约20分钟内被转移。在BleepingComputer报道的初步声明中，Binance表示，此次事件可能涉及一名DevOps工程师被入侵的笔记本电脑，攻击者通过该电脑进入一个服务容器，并提交了未经授权的提款交易。Binance随即暂停提款，撤销了受影响的授权，并开始与执法部门合作。

此后，Binance表示其调查”发现了更多的入侵点”。联席CEO Richard Teng表示，此次攻击并非单个工程师的权限所能完成；据Elliptic引述，他还表示攻击”没有经过我们正常的审批控制”。Binance承诺发布详细的事后复盘报告，但截至本文撰写时（11月2日）尚未发布。

要点截至撰写时的状态
涉及金额据Binance估计约为63亿美元；分析公司根据计算方法和定价的不同，报告的数字为63.6亿至64.3亿美元。
入侵入口初步结论：一名DevOps工程师被入侵的笔记本电脑。Binance此后又报告了更多入侵点。
私钥泄露Binance表示尚未发现钱包私钥泄露的证据。调查仍在进行中。
攻击者FBI于10月31日将此次盗窃归咎于朝鲜的TraderTraitor，与TRM Labs、Chainalysis和Elliptic的判断一致。Binance尚未点名攻击者。
冻结资金尚无定论。Binance称约30亿美元已被锁定；截至11月1日，Elliptic已核实约28.5亿美元在链上被冻结或查扣，其中大部分为稳定币。
客户影响Binance表示将自行承担损失，用户资金安全。提款已于11月1日开始分阶段恢复。

冻结并不等于追回。Tether和Circle等稳定币发行方可以冻结其发行的代币，但比特币、XRP及其他原生资产无法通过这种方式冻结，而且大部分被盗资产仍在被洗钱。

为什么被入侵的特权终端可能比被盗的密钥更危险

私钥被盗是一个严重的问题，但它是一个单一且容易理解的问题：轮换密钥后，被盗的副本就基本失去了价值。而控制了特权工程师设备的攻击者则处于完全不同的位置。他们可以利用本来就合法请求签名的系统，使用有效凭据调用内部服务，并发送看起来像正常业务操作的交易。

链上证据与这一判断相符。TRM Labs评估认为，多条链上的模式”表明Binance的热钱包签名基础设施遭到入侵”，也就是说，攻击者能够让Binance自己的系统为攻击者选定的交易签名。在Ethereum上，安全公司Blockaid发现，一个热钱包批量签署了EIP-7702授权，将该钱包的控制权交给了攻击者的合约。这些签名是如何获得的仍未得到证实，我们将在另一篇后续文章中介绍这一机制。

这并不是新鲜事。在2025年2月的Bybit盗窃案中（FBI同样将其归咎于TraderTraitor），攻击者入侵了一家钱包服务商的开发人员电脑，并篡改了Bybit签名人所批准的交易。在这两起事件中，密钥都完全按照指令执行了操作。问题在于，发出指令的到底是谁。

五项防御检查

1. 将特权设备与日常工作分开

用于批准生产变更、签署交易或管理基础设施的设备，不应与用于收发邮件、聊天、浏览网页和安装开发工具的设备相同。请使用专用的、经过加固的管理工作站或隔离的虚拟桌面，不使用个人账户，并只允许少量经批准的软件。TraderTraitor曾多次利用虚假招聘和恶意编程测试入侵开发人员的电脑；使用独立设备可以让此类入侵远离审批路径。

2. 要求多人审批，并增加时间缓冲

任何单个人员、设备或服务账户都不应能够独自转移大额资产或变更生产环境。要求使用不同设备的人员进行审批，设置单笔交易和单位时间内的金额上限，并为大额或异常操作增加延迟（时间锁）。即使只有几分钟的延迟，也能让监控系统和相关人员有机会作出反应。

提示：确认审批人能够看到自己实际批准的内容。在Bybit事件中，签名人批准了一笔真实内容已被篡改的交易。审批界面应显示准确的操作、目标地址和金额，并且这些信息应独立于发起请求的系统生成。

3. 加固终端并持续监控

在每台特权设备上运行EDR，并确保有人全天候审查其告警。及时为系统打补丁，阻止未签名或未经批准的软件，使用硬件安全密钥等防钓鱼的MFA，并限制管理员会话和令牌的有效时长。将开发工具（包括软件包、IDE扩展以及AI编程助手）视为攻击面的一部分。

4. 检测异常并能够快速冻结

Binance的资金在几分钟内就被转移。请为最敏感的操作定义”正常”的基线，例如交易量、目标地址、时间段和签名频率，并对偏离情况进行实时告警。准备一个能够在几秒钟内暂停提款、部署或签名的紧急停止机制，事先确定谁有权触发，并进行实际演练。

5. 审计哪些人和哪些系统能够调用签名和生产访问权限

列出所有能够请求签名、批准付款或变更生产环境的人员、服务账户、容器、流水线和API密钥。逐一检查其是否仍需要该访问权限、权限范围是否已尽可能缩小，以及其使用记录是否保存在攻击者无法删除的位置。尽可能取消常驻特权，改用即时（just-in-time）访问。

对企业云、SSH、CI/CD和AI运维的启示

大多数组织并不运营加密货币热钱包，但它们都有类似的东西：能够以权威身份执行操作的凭据和系统。

  • 云：一台保持着控制台活动会话或缓存了CLI凭据的管理员笔记本电脑，其价值等同于root账户。请使用短期凭据、与设备绑定的会话，并对破坏性或高影响的操作采用审批流程。
  • SSH：存放在工程师电脑上的长期密钥会让攻击者直接访问服务器。优先使用按会话签发的短期SSH证书，并集中记录所有特权会话。
  • CI/CD：流水线通常持有部署和签名凭据。通过强制评审来保护流水线定义，将构建凭据与发布凭据分开，并对生产发布要求审批。
  • AI驱动的运维：能够执行命令、创建拉取请求或调用生产API的AI智能体，是一类新的特权身份。为它们分配专用且范围严格受限的凭据，对敏感操作保留人工审批环节，并记录其所有操作。

提示：围绕一个问题开展一次桌面演练：”如果这名工程师的笔记本电脑今晚被完全入侵，在有人察觉之前，攻击者能做什么？”答案会揭示您的审批路径在哪些地方依赖于单一设备。

接下来值得关注什么

Binance的事后复盘报告应会证实或修正笔记本电脑这一推断，说明签名是如何获得的，并指出哪些控制措施被绕过。在此之前，请将根本原因视为初步结论。上述防御教训并不取决于最终细节：无论具体路径如何，攻击者都已触及能够授权敏感操作的系统。

LOGIQ能提供哪些帮助

LOGIQ帮助企业审查Linux服务器、云环境和CI/CD流水线中的特权访问，并设计符合团队实际工作方式的审批与监控控制措施。如果您希望重新审视在您的环境中哪些人和哪些系统能够以权威身份执行操作，欢迎联系我们。

参考资料