币安发布初步调查报告：两名钱包工程师遭搜索引擎钓鱼与求职骗局
币安于2026年11月3日公布针对10月29日安全事件的初步调查报告。报告称，这是一场多阶段行动，而非单次入侵或简单钓鱼，攻击者结合了伪造招聘面试、恶意软件下载、内部AI工具被利用等手法。
报告指出，2026年6月，钱包DevOps团队工程师A在搜索引擎搜索热门AI编程工具时，下载了遭篡改的Homebrew安装包。安全团队发现异常后更换了设备并轮换相关凭证，但工程师A的岗位信息及钱包基础设施团队同事信息已暴露给攻击者。
同年9月，软件工程师B在合法求职平台上被自称项目总监的人联系。对方安排了与所谓HR的视频面试（对方分享含个人照片和视频的社交媒体账号以建立信任），随后在社交聊天应用中与自称虚构公司CEO的人进行第二轮面试。面试结束时，工程师B被要求将含恶意代码的“作业”仓库下载到工作电脑。该0-day恶意软件未被终端安全工具检测，执行后替换了合法开发工具组件并与攻击者控制的服务器建立通信。
原始来源：
标题：29 October 2026 Binance Security Incident: Initial Findings and Response Update 发布者：Binance Blog 发布日期：2026-11-03 URL：https://www.binance.com/en/square/post/384312159834579 来源性质：官方公告 核验情况：本次读取全文关键段落，包括Attack Preparation部分 支持内容：工程师A于6月通过搜索引擎下载篡改版Homebrew并导致同事信息暴露；工程师B于9月通过合法求职平台遭遇伪造招聘，执行恶意仓库导致工作电脑感染的具体过程与时间线
ABAB AI 解读
币安首席安全官Jimmy Su早在2025年就公开表示，朝鲜相关人员几乎每天都会向币安投递虚假简历或尝试以招聘名义接触员工，手法已从简单身份伪造升级到使用语音变声器和深度伪造视频。本次事件中工程师B遭遇的“分享个人照片视频建立信任”正是这种更高级社会工程的延续，攻击者利用工程师在公开求职平台上提及币安经历的信息完成精准定向。
攻击路径呈现清晰的资源获取链条：6月通过搜索引擎付费广告投放的篡改Homebrew获取钱包团队人员情报，9月通过伪造公司面试将恶意仓库送入工程师B工作电脑，10月20日再利用内部AI工具从已控设备横向移动到工程师A和C，最终拿到容器部署权限令牌并在10月29日触发钱包签名服务。资金并未直接通过被控电脑转出，而是借助内部系统与EIP-7702等链上机制完成。
朝鲜相关组织（FBI将其与TraderTraitor等活动关联）长期使用虚假招聘针对加密行业，这与此前多次针对交易所和托管机构的攻击模式高度相似：先获取内部人员信息或植入后门，再逐步接近签名或热钱包权限。不同之处在于本次攻击者同时利用了内部AI工具作为跳板，且0-day恶意软件成功绕过当时的终端检测，显示攻击方对目标开发环境的针对性准备程度更高。
本次事件并未改变币安“用户资金由公司承担损失”的承诺，但具体改变了钱包基础设施团队的设备与权限管理现实：已重建受影响钱包系统和内部AI工具、更换设备并废止相关凭证。对行业而言，开发者日常依赖的包管理工具搜索结果和招聘流程，已成为攻击者可规模化利用的入口，仅靠事后检测和设备更换无法消除前期情报暴露带来的后续风险。
ABAB News · 认知定律
搜索引擎付费广告能把篡改版开发工具精准送到目标工程师面前。
伪造招聘通过分享个人生活痕迹建立信任后，再要求执行仓库。
已检测并更换设备的事件，仍可能留下团队人员信息供后续攻击使用。