AI 摘要
- Binance公布約63.4億美元加密資產遭竊的初步調查。
- 駭客以假求職面試誘使工程師執行惡意程式，進而入侵錢包簽章服務。
- Binance表示約28.5億美元已凍結或攔截，並承諾自行吸收損失。
全球最大加密貨幣交易平臺Binance公開約63.4億美元加密資產遭竊事件的初步調查結果。調查指出，駭客先透過假求職面試植入惡意程式，再利用公司內部AI工具控制其他工程師的電腦，取得容器部署權限，進而入侵錢包簽章服務並轉走加密資產。調查仍在進行中，以下內容以Binance目前公開的說明為準。
事件背景與攻擊起點
根據Binance的說明，攻擊最早可追溯至今年6月。當時一名負責錢包維運的工程師為了安裝AI程式開發工具，從搜尋結果下載了遭變造的Homebrew安裝程式。Binance資安團隊偵測到異常後，更換了該名工程師的裝置並重設相關憑證。不過，該工程師的職務及同事資訊已在此階段遭駭客取得。
假面試與惡意程式植入
今年9月，駭客透過合法求職平臺接觸另一名工程師，假冒企業主管安排兩輪面試。面試結束後，駭客要求該工程師在工作電腦上下載含有惡意程式碼的「面試作業」。
Binance指出，惡意程式在設定作業環境時執行，並將Python版本管理工具pyenv的執行檔替換成惡意版本，藉此執行指令並連線至駭客控制的伺服器。Binance表示，端點防護軟體當時未能偵測到這個惡意程式，駭客也設法掩蓋入侵痕跡。
橫向移動與權限擴大
10月20日，駭客利用已遭入侵的工程師電腦，以及Binance內部AI工具，取得另外兩名錢包工程師電腦的控制權，並找到具有容器部署權限的權杖（token）。
10月30日凌晨，駭客登入其中一名工程師的電腦，使用竊得的憑證部署容器並執行惡意腳本，進而侵入錢包簽章服務。
資產轉移方式
駭客透過簽章服務繞過正常提款流程，從多個區塊鏈的熱錢包轉走資產。此外，駭客還利用以太坊EIP-7702授權機制，讓其控制的智慧合約取得錢包的部分執行權限。
由於惡意授權已記錄在鏈上，即使Binance暫停提款，仍無法立即阻止所有資產移動。Binance的熱錢包採用多方運算（MPC）簽章，無法透過單一私鑰立即撤銷授權，因此需要額外的撤銷程序，這也是處置上的主要限制之一。
損失與後續處置
Binance表示，約28.5億美元資產已被凍結或攔截，並承諾自行吸收遭竊損失。目前該公司仍在補足部分流動性較低的代幣資產。
在系統修復方面，Binance已重建受影響的錢包系統與內部AI工具，停用相關憑證，並表示將邀請獨立資安公司進行複查。
事件觀察
此案顯示，針對員工的社交工程攻擊，例如假求職面試與偽裝成工具的惡意安裝程式，仍可能成為入侵大型平臺的起點。同時，內部AI工具若與關鍵系統權限相連，也可能成為攻擊者橫向移動的途徑。另一方面，MPC簽章與鏈上授權機制在提升安全性的同時，也可能使事件發生後的撤銷與止損更為複雜。目前外界尚無法完全驗證整條攻擊鏈的細節，後續仍需以Binance公布的正式調查結果及獨立資安公司的複查報告為準。
Reference Link : ithome.com.tw
