幣安發佈初步調查報告：兩名錢包工程師遭搜索引擎釣魚與求職騙局
幣安於2026年11月3日公佈針對10月29日安全事件的初步調查報告。報告稱，這是一場多階段行動，而非單次入侵或簡單釣魚，攻擊者結合了僞造招聘面試、惡意軟件下載、內部AI工具被利用等手法。
報告指出，2026年6月，錢包DevOps團隊工程師A在搜索引擎搜索熱門AI編程工具時，下載了遭篡改的Homebrew安裝包。安全團隊發現異常後更換了設備並輪換相關憑證，但工程師A的崗位信息及錢包基礎設施團隊同事信息已暴露給攻擊者。
同年9月，軟件工程師B在合法求職平臺上被自稱項目總監的人聯繫。對方安排了與所謂HR的視頻面試（對方分享含個人照片和視頻的社交媒體賬號以建立信任），隨後在社交聊天應用中與自稱虛構公司CEO的人進行第二輪面試。面試結束時，工程師B被要求將含惡意代碼的“作業”倉庫下載到工作電腦。該0-day惡意軟件未被終端安全工具檢測，執行後替換了合法開發工具組件並與攻擊者控制的服務器建立通信。
原始來源：
標題：29 October 2026 Binance Security Incident: Initial Findings and Response Update 發佈者：Binance Blog 發佈日期：2026-11-03 URL：https://www.binance.com/en/square/post/384312159834579 來源性質：官方公告 覈驗情況：本次讀取全文關鍵段落，包括Attack Preparation部分 支持內容：工程師A於6月通過搜索引擎下載篡改版Homebrew並導致同事信息暴露；工程師B於9月通過合法求職平臺遭遇僞造招聘，執行惡意倉庫導致工作電腦感染的具體過程與時間線
ABAB AI 解讀
幣安首席安全官Jimmy Su早在2025年就公開表示，朝鮮相關人員幾乎每天都會向幣安投遞虛假簡歷或嘗試以招聘名義接觸員工，手法已從簡單身份僞造升級到使用語音變聲器和深度僞造視頻。本次事件中工程師B遭遇的“分享個人照片視頻建立信任”正是這種更高級社會工程的延續，攻擊者利用工程師在公開求職平臺上提及幣安經歷的信息完成精準定向。
攻擊路徑呈現清晰的資源獲取鏈條：6月通過搜索引擎付費廣告投放的篡改Homebrew獲取錢包團隊人員情報，9月通過僞造公司面試將惡意倉庫送入工程師B工作電腦，10月20日再利用內部AI工具從已控設備橫向移動到工程師A和C，最終拿到容器部署權限令牌並在10月29日觸發錢包簽名服務。資金並未直接通過被控電腦轉出，而是藉助內部系統與EIP-7702等鏈上機制完成。
朝鮮相關組織（FBI將其與TraderTraitor等活動關聯）長期使用虛假招聘針對加密行業，這與此前多次針對交易所和託管機構的攻擊模式高度相似：先獲取內部人員信息或植入後門，再逐步接近簽名或熱錢包權限。不同之處在於本次攻擊者同時利用了內部AI工具作爲跳板，且0-day惡意軟件成功繞過當時的終端檢測，顯示攻擊方對目標開發環境的針對性準備程度更高。
本次事件並未改變幣安“用戶資金由公司承擔損失”的承諾，但具體改變了錢包基礎設施團隊的設備與權限管理現實：已重建受影響錢包系統和內部AI工具、更換設備並廢止相關憑證。對行業而言，開發者日常依賴的包管理工具搜索結果和招聘流程，已成爲攻擊者可規模化利用的入口，僅靠事後檢測和設備更換無法消除前期情報暴露帶來的後續風險。
ABAB News · 認知定律
搜索引擎付費廣告能把篡改版開發工具精準送到目標工程師面前。
僞造招聘通過分享個人生活痕跡建立信任後，再要求執行倉庫。
已檢測並更換設備的事件，仍可能留下團隊人員信息供後續攻擊使用。