幣安（Binance）11月3日發布10月29日資安事件的初步調查報告，坦承約63.4億美元（約新台幣2,081億元）數位資產遭駭。攻擊者從6月起布局，先用遭竄改的開發工具安裝檔、假求職面試植入惡意程式，再以內部AI工具為跳板，一路取得錢包簽章服務的存取權。
幣安承諾自行吸收損失，截至10月31日已補足98%受影響資產；美國聯邦調查局（FBI）則認定此案由北韓所為。
從6月開始布局：假安裝檔、假面試、內部AI工具接力
幣安共同執行長鄧偉政（Richard Teng）11月3日接受《CNBC》節目《Squawk on the Street》專訪時表示，攻擊者「花了好幾個月一路打進來」，並駁斥問題只出在某名員工筆電的說法。報告也形容這是一場「精密的多階段攻擊行動」，並非單純的釣魚事件。
第一步發生在6月。錢包維運團隊的工程師A想安裝一款熱門AI程式開發工具，透過搜尋引擎下載到遭竄改的Homebrew安裝檔（Homebrew是工程師常用的軟體安裝工具）。資安團隊雖然偵測到異常，替他換了電腦、更換憑證，但A的職務和錢包團隊裡的相關同事，都已曝光在駭客面前。
第二步在9月。軟體工程師B在正規求職平台上，被一名自稱「專案總監」的人找上，對方安排了兩輪面試，第一輪的假人資還分享社群帳號上的個人照片與影片，藉此博取信任。第二輪面試尾聲，對方要求B把一份「作業」下載到工作電腦，裡頭藏著惡意程式碼，一安裝就會執行。
這是一支零時差（0-day）惡意程式，也就是資安業者還沒掌握特徵的新型程式，當時的端點防護工具沒能偵測到。10月20日，駭客透過B的電腦，利用一套內部AI工具取得工程師A與另一名錢包軟體工程師C的控制權，隨後在A的電腦上發現一組容器部署權限的存取憑證（token）。
到了台灣時間10月30日凌晨1時15分至3時56分，駭客登入C的電腦，用A的憑證部署容器並觸發惡意腳本，正式發動攻擊。
不到4小時被轉出63億美元，為什麼暫停提款也擋不住？
凌晨4時05分起，短短4分鐘內，幣安5個熱錢包（保持連網、處理日常出入金的錢包）就把約2.33億枚XRP轉進攻擊者的地址，接著SOL、OP代幣與18,270枚比特幣也相繼被轉走。
更棘手的是以太坊。以太坊有一套EIP-7702授權機制，讓帳戶不必交出私鑰，就能把部分執行權委託給智慧合約。攻擊者透過簽章服務送出50筆簽章交易，濫用這套機制建立惡意授權，讓自己控制的合約拿到幣安一個熱錢包的部分執行權。
幣安隨即暫停提款、協調夥伴凍結代幣，但這些惡意授權已寫在區塊鏈上，不經過幣安的提款系統，就算幣安關上提款的大門，授權依然有效。
偏偏這個熱錢包採用多方運算（MPC）技術，私鑰拆成多份分散保管，沒有單一私鑰可以立即撤銷授權，團隊因此另行開發並執行專門的撤銷程序，多花了一些時間。最後一筆2,961.9枚以太幣在早上7時56分完成上鏈，之後未再觀察到未授權轉帳；幣安於8時10分將該熱錢包的委託授權清除。
損失由幣安吸收，已凍結28.5億美元
幣安在報告中致歉，直言「這不應該發生」，承諾損失由幣安而非用戶承擔，已提撥的資金也超過填補損失所需的金額。截至10月31日，98%受影響的代幣資產已補足，可在儲備證明（Proof of Reserves）頁面查驗；報告發布時，另有約28.5億美元（約新台幣936億元）資產遭凍結或攔截。
補洞方面，幣安已在新環境重建錢包系統與內部AI工具、更換受影響裝置並註銷相關憑證。下一步將委託第三方資安專家獨立審查，並與AI公司、資安業者籌設資安研究基金，聚焦區塊鏈環境中的AI安全。
至於攻擊者身分，FBI已發布公告，認定北韓須為此案負責，並將此案相關的北韓駭客活動稱為「TraderTraitor」。據《CNBC》報導，鄧偉政本人未將攻擊歸因於北韓，但承認FBI已將此案與北韓駭客組織TraderTraitor連結。
本文初稿為AI編撰，整理．編輯/ 李先泰
