币安被盗事件解读：真正被攻破的，不是钱包，而是内部管理流程。 看完 @wolfyxbt 制作的 Binance 黑客事件视频，我最大的感受是：黑客确实厉害，但比黑客更值得反思的，是整个内部权限管理体系。 简单复盘一下这场持续近四个月的攻击： 🔹 6 月：第一次入侵 一名钱包 DevOps 工程师安装 AI 编程工具时，下载了恶意 Homebrew 安装程序。 安全团队发现异常，更换电脑、轮换凭证。但攻击者已经掌握了钱包团队的人员信息。 🔹 9 月：第二次入侵 黑客假扮招聘人员，通过两轮面试取得另一名工程师的信任，让他在工作电脑上运行所谓的技术测试代码。 结果，恶意程序成功控制了他的开发环境。 🔹 10 月 20 日：内部横向渗透 攻击者借助被入侵的电脑和币安内部 AI 工具，进一步控制其他工程师的设备。 更严重的是，他们在 DevOps 工程师的电脑上找到了具有容器部署权限的 Token。 🔹 10 月 29 日：真正的灾难 黑客使用被盗凭证部署恶意容器，最终取得内部钱包签名服务的未经授权访问权限。 大量资产被转出，部分 ETH 热钱包还被植入了 EIP-7702 恶意委托。 即使币安暂停提现，已经生效的链上授权仍能继续发挥作用。直到完成链上撤权，风险才被控制。 整个事件涉及约 63.4 亿美元资产。 💡 我觉得这里有四个非常值得反思的问题： 1. 为什么工程师可以在工作电脑上直接运行外部面试代码？ 涉及核心钱包业务的开发环境，难道不应该有更严格的隔离机制？ 2. 为什么内部 AI 工具能够成为横向渗透的跳板？ AI 工具提高了开发效率，但它的权限边界、执行范围和访问凭证是否受到了足够严格的管理？ 3. 为什么容器部署权限最终能够被利用来接触钱包签名服务？ 这才是我认为最严重的问题。 DevOps 部署权限、生产执行权限、资产签名权限，本来就应该有严格的隔离。即使攻击者控制了一名工程师，也不应该一路打穿到资金层。 4. 为什么异常交易已经发生，仍需要这么长时间才能完全切断攻击？ 暂停提现不等于撤销链上授权。面对 EIP-7702 这样的新机制，应急预案显然需要覆盖更多场景。 🧠 我的个人看法和观点： 这并不是简单的私钥泄露，也不能简单归咎于 AI 或 EIP-7702。 MPC 解决了私钥单点风险，但没有自动解决业务授权问题。 当一个拥有合法凭证的系统，可以执行未经合法业务批准的操作时，再先进的密码学也救不了你。 更值得深思的是，这不是一个安全流程失效，而是多个流程在几个月内接连失效。 从员工设备、第三方代码、AI 工具、部署凭证，到生产环境、签名服务、紧急响应，任何一道真正独立的防线，都有可能降低这次事件的损失。 当然，具体哪些控制缺失，还需要等待第三方独立调查。 Binance 承担损失、补足用户资产，我认为值得非常肯定，也树立了行业榜样。但愿意赔付，不等于安全体系没有问题。 Security is not just about cryptography. It's about people, processes, permissions, and independent verification. 技术决定了系统的能力，流程决定了系统的安全边界。 希望这次黑客事件能够给整个 Crypto 行业敲醒警钟。 #Binance# #Crypto#