2026年10月30日（东八区时间），币安经历了一起严重且高度复杂的安全事件。这本不应该发生。对于此次事件给用户、合作伙伴及整个行业带来的担忧、干扰和不确定性，我们深表歉意。保护用户是我们的首要责任。币安将承担此次被盗资金的全部损失，而非用户。我们已保留超过100%的资金，以覆盖此次事件造成的损失。截至2026年10月31日（东八区时间），98%的受影响代币资产已完成补足，用户可通过我们的储备金证明页面进行验证。我们正在购买剩余的流动性较低的资产。此次事件涉及的数字资产价值约为63.4亿美元。截至本次更新，约有价值28.5亿美元的数字资产已被冻结或拦截，具体金额仍需进一步核对，且可能受到市场价格波动的影响。我们已立即采取行动控制事件影响，并加强相关系统的安全防护。在本次攻击事件中被利用的入侵点均已封堵，攻击路径涉及的系统已完成重建或替换。此外，我们进一步加强了设备管控、钱包服务风险控制系统，并扩展了基于AI的行为异常检测能力。这是我们的初步调查报告，其涵盖了截至目前我们已掌握的情况，以及已经完成的改进措施。调查仍在进行中，相关调查结果还将接受进一步的独立审查。为防止恶意攻击者利用相关信息策划更多攻击，部分技术细节将继续保密。我们正在邀请独立安全公司开展进一步审查。根据美国联邦调查局（FBI）发布的最新信息，朝鲜民主主义人民共和国（DPRK）应对此次事件负责。我们发布这份报告，是因为只有整个行业共同学习、交流经验，才能持续提升安全水平。10月30日事件回顾此次攻击在多条区块链网络上迅速展开。攻击者利用未经授权获取的内部钱包签名服务访问权限，绕过正常提现流程发起交易。在04:05至04:09（东八区时间）期间，币安的五个热钱包向攻击者控制的地址转出了2.3346亿枚 XRP。币安在Solana和Optimism网络上的热钱包分别向攻击者控制的地址转出了约970,500枚SOL和4,420万枚OP。随后，币安收到关于大额转账的内部警报，并立即启动调查。币安的热钱包向攻击者控制的地址转入了18,270枚BTC。之后，攻击者利用签名服务，滥用了以太坊的EIP-7702授权机制。EIP-7702允许账户在不暴露私钥的情况下，将部分执行权限委托给智能合约。在此次事件中，攻击者利用该机制，使其控制的智能合约获得了对币安受影响热钱包的部分执行权限。币安随即启动了多项应急控制措施，包括暂停提现以阻止进一步的资金流出、协调合作伙伴冻结受影响代币，以及采取措施撤销未经授权的权限。这些行动共冻结了价值约28.5亿美元的资产。然而，仅暂停提现并不足以阻止所有未经授权的资产转移。恶意的EIP-7702授权已存在于链上，其运行独立于币安正常的提现基础设施。攻击者提交了 50 笔签名的交易，以操纵帐户随机数（account nonce），并建立恶意委托授权。一旦这些授权建立，攻击者便能够绕过币安正常的提现基础设施，继续转移资产。币安则需要通过额外的链上交易，才能撤销这些授权。遏制事件影响的过程中还涉及其他技术复杂性。由于受影响热钱包采用多方安全计算（MPC）技术，因此并不存在一个可以直接用于立即撤销恶意EIP-7702授权的单一私钥。因此，团队需要额外的时间，以单独设计并执行一套特殊的撤销流程。此外，暂停提现和关闭热钱包服务，并不会自动使已经存在的链上授权失效。上述挑战延长了我们全面控制未经授权资产转移所需的时间。我们正在复盘此次事件的应急响应流程、签名策略覆盖范围及热钱包控制机制，并识别可以加强的环节，以提升未来快速应对安全威胁的能力。最后一笔未经授权的2,961.9 ETH转账于07:56（东八区时间）在链上最终确认。该交易此前已广播至网络，并一直处于待确认状态，随后才完成最终确认。此后，未再发现其他未经授权的转账。2026年10月30日08:10（东八区时间），币安通过Binance14热钱包向空地址执行了一笔新的授权操作，清除了 EIP-7702 委托代码。攻击准备过程目前调查结果显示，此次事件是一场复杂的多阶段攻击行动，并非孤立的单点入侵，也不是简单的钓鱼攻击。攻击者结合使用了多种技术手段，包括通过虚假招聘面试实施社会工程攻击、恶意软件下载、内部AI工具入侵、终端设备攻陷，以及先进的交易授权方式。2026年06月——供应链攻击。钱包开发运维团队的工程师A为安装一款热门AI编程工具，通过搜索引擎查找并下载了一个遭篡改的Homebrew安装程序。我们的安全团队主动检测到了这一异常，更换了该设备，同时轮换了所有相关凭证。尽管如此，工程师A的岗位信息，以及其钱包基础设施团队中的相关同事信息，仍已暴露给攻击者。2026年以来，币安安全团队已检测并防止了57起疑似与朝鲜有关的网络威胁事件。这些攻击反映出受国家支持的攻击者持续对加密货币行业构成威胁。相关攻击手段包括虚假招聘面试、伪装成热门开发工具的恶意软件、遭篡改的软件包和浏览器扩展程序、虚假视频会议应用，以及旨在窃取账户凭证或部署远程访问恶意软件的社会工程攻击。9月——社会工程攻击。软件工程师B通过一个正规的求职平台，收到了一名冒充项目总监人员的联系。工程师B在该平台上的个人资料中提及了自己在币安的工作经历。对方以项目总监的身份安排了第一轮面试，由一名人力资源代表参与；随后又安排了第二轮面试，面试者自称是该虚构公司的CEO。在第一轮面试中，冒充人力资源代表的人员与工程师B进行了实时视频面试。为了建立信任，面试者还向工程师B分享了自己的社交媒体账号，其平台帐号有个人生活照片和视频。这种方式比以往的社会工程攻击手段更复杂，也更具欺骗性。第二轮面试通过一款热门社交聊天应用进行。面试接近尾声时，工程师B被要求将一份含代码仓库的“作业”下载到工作电脑中。该代码仓库包含恶意代码，在安装过程中便会执行，进而触发了一系列未经授权的操作。该恶意软件采用了复杂的代码混淆和规避检测技术，包括用恶意版本替换某个正规开发工具组件，以执行命令并与攻击者控制的外部服务器建立通信。当时，终端安全防护工具未能检测到这一零日恶意软件。攻击者还采取了隐藏恶意行为、清除入侵痕迹等措施，进一步增加了检测和后续调查的难度。该脚本通过代码混淆技术规避安全检测，并执行了以下操作：CREATE  /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_  MODIFY  pyenv_ → 3,414 B  DELETE  .../libexec/pyenv  (3,344 B)      ← remove the valid pyenvRENAME  pyenv_ → pyenv  (3,414 B)  ← replace it with a malicious version DELETE  /opt/homebrew/bin/pyenv  (3,414 B)ln  (create a new symlink)  +  spawn zsh10月20日——利用内部AI工具作为攻击跳板。攻击者利用遭入侵的工程师B的电脑，通过内部AI工具控制了钱包开发运维工程师A，以及另一名钱包软件工程师C的设备。攻击者很快发现，工程师A的电脑上存有一个具有容器部署权限的令牌。10月30日——渗透钱包签名操作。10月30日01:15至03:56（东八区时间）期间，攻击者登录了软件工程师C的电脑，使用从工程师A处窃取的凭证部署了一个容器，并执行恶意脚本，进而发起此次攻击。我们已采取的措施截至2026年11月03日，我们已采取以下措施：在全新环境中重建受影响的钱包系统。重建受影响的内部AI工具，并加强相关访问控制。更换受影响的设备。停用受影响工程师相关的凭证和令牌。完成对所有员工设备的强化安全扫描。增强基于AI的行为异常检测能力。加强钱包服务的风险控制措施。与执法部门、区块链情报机构及行业合作伙伴合作，追踪并冻结受影响资产。随着调查持续推进，我们将继续加强各项安全措施。我们已经完成及正在实施的部分安全措施将继续保密，以防止恶意攻击者利用相关信息突破我们的安全防护。后续行动我们将立即推进以下工作：1.开展独立网络安全审查我们正在邀请独立的第三方网络安全专家，对此次事件进行全面审查，验证我们的调查结果，并提出进一步的安全改进建议。此次审查的范围及调查结果，将为我们持续推进修复工作提供依据。2.扩大对AI安全与预防方面的投入我们将加大在由AI驱动的威胁检测、终端防护、开发环境安全及行为异常监控等领域的投入。3.设立安全研究基金并推动行业合作我们正在与领先的AI公司、行业参与者及安全机构合作，筹备设立安全研究基金，开展聚焦区块链环境中AI安全的专项计划。我们将持续主动分享最新掌握的信息。