币安发布了初步调查报告，小说爽文都不敢写，只能说朝鲜黑客太TM牛逼了。 我看完整份报告，印象最深的是时间表。黑客6 月踩点，9 月进攻，10 月 20 日拿到令牌，10 月 30 日动手，每一步之间都是耐心的等待。 他们不碰防火墙，不破解密码，只研究人。 币安今年拦下了 57 起疑似朝鲜黑客的攻击，第 58 起成了。 01） 今年 6 月，币安钱包团队的一名工程师想装一个 AI 编程工具。他打开搜索引擎，下载了排名最靠前的那个安装包。 安装包是假的。黑客把篡改过的版本投进了搜索广告，排名比真的还高。 币安安全团队当时发现了异常，换了设备，轮换了凭证，处置不能说慢。但有一样东西换不回来。这名工程师的岗位信息，连同整个钱包团队的名单，已经暴露。 02） 9 月，第二张网撒向另一名工程师。他在求职平台上公开挂着简历，上面写着自己就职于币安。 一位自称项目总监的人主动联系他，说有个岗位想聊聊。第一轮面试，一位 HR 跟他视频通话，真人露脸，还主动把自己的社交账号发过来，里面有生活照和日常视频，看着就是一个活生生的人。第二轮换到聊天软件，对面换成了自称公司 CEO 的人。 公司不存在。HR 不存在。CEO 不存在。整场面试就是一台戏，观众只有一个人。 面试快结束时，对方发来一份技术测试题。这位工程师在自己的工作电脑上下载并运行了它。 代码在安装环节悄悄干了一件事，把电脑上的开发工具 pyenv 换成带木马的版本，连回黑客的服务器，再把自己的痕迹清干净。这是零日样本，币安当时的终端防护没有检出。 03） 10 月 20 日，黑客从这台电脑出发，借币安内部的一套 AI 工具横向移动，又控制了另外两名钱包工程师的电脑，还在其中一台上翻出了容器部署权限的令牌。 04） 10 月 30 日凌晨 1 点 15 分，黑客登录第三台电脑，用偷来的凭证部署容器，执行脚本。4 点 05 分，五个热钱包开始向外转账，四分钟内 2.33 亿枚 XRP 离场，随后是约 97 万枚 SOL、4420 万枚 OP、18270 枚比特币。 币安收到警报，暂停提现。可钱还在流。黑客借以太坊的 EIP-7702 机制，用 50 笔签名交易在链上建立了授权，授权写在链上，不走币安的提现系统，关掉服务也拦不住。热钱包又用了 MPC 技术，没有一把能立刻撤销授权的私钥，团队只能临时现写一套撤销程序。 最后一笔未经授权的转账在早上 7 点 56 分确认。前后将近四个小时，63.4 亿美元。 公平地说，币安这次做得不算差。发现异常立刻换设备，出事就全额兜底，98% 的受影响代币已经补足，还主动把报告公开给全行业参考。 可这家全球防守最严的交易所之一，最后输给了一场面试。 报告没有点名那个求职平台。但领英这类平台上，此刻还挂着成千上万条写着币安、Coinbase 和各大加密机构名字的简历。对黑客来说，那就是一份菜单。 下一场面试邀请，可能已经在路上了。