幣安（Binance）針對日前發生一起高度複雜的安全事件提出了初步調查報告， 29 October 2026 Binance Security Incident: Initial Findings and Response Update，這次約高達 63.4 億美元數位資產受影響，美國聯邦調查局（FBI）指北韓為幕後主使。這不只是單一交易所的事故，更是一次結合假面試社交工程、供應鏈攻擊與 EIP-7702 授權濫用的多階段行動。
對台灣的開發者與加密貨幣使用者來說，這則更新揭示了日常開發環境與鏈上授權管理的重要性。
事件輪廓：內部簽章服務遭未授權存取
CyberQ 分析幣安於 2026 年 11 月 3 日發布的初步調查報告，國際攻擊者取得內部錢包簽章服務的未授權存取權限，繞過正常提幣流程直接發起交易。在 10 月 29 日 20:05 至 20:09 UTC 之間，五個熱錢包向攻擊者控制的地址送出 2.3346 億枚 XRP，Solana 與 Optimism 熱錢包則分別送出約 97.05 萬枚 SOL 與 4,420 萬枚 OP。
幣安隨後收到大額轉帳的內部警示並立即展開調查，期間一個熱錢包又向攻擊者地址送出 18,270 枚 BTC。攻擊者接著利用簽章服務濫用以太坊的 EIP-7702 授權機制，讓攻擊者控制的智慧合約取得幣安熱錢包的部分執行權限。
EIP-7702 成為攻擊放大器
EIP-7702 允許帳戶在不暴露私鑰的前提下，將部分執行權限委託給智慧合約。攻擊者藉此取得熱錢包的部分控制權，並提交 50 筆簽章交易操縱帳戶 nonce，建立惡意的委託授權。這些授權存在於鏈上，獨立於幣安正常的提幣基礎設施之外，因此單純暫停提幣無法阻止所有未授權的資產移動。
由於熱錢包採用多方計算（MPC）架構，沒有單一私鑰可以立即撤銷這些惡意授權，團隊必須開發並執行一套專門程序來撤銷，因而需要額外時間。最後一筆未授權轉帳為 2,961.9 ETH，於 23:56 UTC 在鏈上最終確認，之後未再觀察到新的未授權轉移。10 月 30 日 00:10 UTC，幣安從 Binance14 熱錢包向零地址執行新的授權，清除 EIP-7702 委託程式碼。
從假面試、社交工程到供應鏈滲透的攻擊分析
幣安調查顯示，這是一場多階段的縝密行動，而非單一破口或單純的釣魚事件。攻擊者結合了假招募面試的社交工程、惡意軟體下載、受汙染的內部 AI 工具、端點入侵，以及進階的交易授權手法。2026 年 6 月，Wallet DevOps 工程師 A 在搜尋引擎找到一款熱門 AI 程式碼輔助開發工具後，下載了遭竄改的 Homebrew 安裝檔。幣安安全團隊偵測到異常，更換裝置並輪替所有相關憑證作為主動防禦。
2026 年 9 月，軟體工程師 B 透過正當求職平臺被一位自稱專案總監的人接觸。第一輪面試由所謂的人資代表透過即時影片進行，對方分享帶有個人照片與影片的社群帳號以建立信任，第二輪則在熱門社群聊天軟體中進行。面試尾聲，工程師 B 被要求下載一份作業，其中包含惡意程式碼儲存庫，程式碼在安裝過程中執行。
該惡意軟體採用複雜的混淆與迴避技巧，包括以惡意版本替換正當開發工具元件，當時未被端點安全防護偵測到。腳本修改了 /opt/homebrew/Cellar/pyenv/ 下的 pyenv 安裝，刪除正當的 pyenv 執行檔，將一個 3,414 位元組的惡意元件改名頂替，移除 /opt/homebrew/bin/pyenv，建立新的符號連結並啟動 zsh。10 月 20 日，攻擊者利用工程師 B 遭入侵的電腦與內部 AI 工具，取得 Wallet DevOps 工程師 A 與另一位錢包軟體工程師 C 的控制權，並發現工程師 A 電腦上有一個容器部署權杖。10 月 29 日 17:15 至 19:56 之間，攻擊者登入工程師 C 的電腦，使用從工程師 A 竊得的憑證部署容器，觸發惡意腳本發動攻擊。
幣安的處置與官方已宣布措施
幣安表示將自行吸收被盜資金的財務衝擊，不轉嫁給使用者，並已備妥超過損失金額 100% 的資金。截至 10 月 31 日，98% 受影響的代幣資產已完成回補，可在其 Proof of Reserves 頁面驗證。事件中約 63.4 億美元數位資產受影響，截至更新時約 28.5 億美元資產已被凍結或攔截，實際金額仍須經對帳並受市價波動影響。
幣安指出，攻擊所使用的進入點已關閉，攻擊路徑上涉及的系統已重建或更換，並實施更嚴格的裝置控管、強化錢包服務的風險控制，以及擴大以 AI 為基礎的行為異常偵測。截至 11 月 3 日，幣安已在新環境重建受影響的錢包系統、重建受影響的內部 AI 工具與存取控制、更換受影響裝置、停用與受影響工程師相關的憑證與權杖、完成全體員工裝置的強化安全掃描，並與執法機關、區塊鏈情報公司及產業夥伴合作追蹤與凍結受影響資產。調查仍在進行，結果將接受進一步的獨立審查。
幣安也宣布將委請獨立第三方資安專家進行全面檢視，驗證調查結果並提出額外措施建議，同時加大對 AI 偵測、端點防護、開發者環境安全與行為異常監控的投資，並籌劃安全研究基金，與領先的 AI 公司、產業參與者及安全廠商合作，聚焦區塊鏈環境中的 AI 安全。
日常防護建議
CyberQ 建議，從以下建議來實踐日常防護的強化，其中，第一項到第三項屬於本文的編輯建議，第四項到第六項則呼應幣安官方已宣布或事件中暴露的風險面向，實務上可一併落實喔。
一、只用套件管理器或官方來源安裝開發工具，不要從搜尋結果下載來路不明的安裝檔。工程師 A 的 Homebrew 安裝檔遭竄改，正是這類風險的典型案例。
二、面試或第三方提供的程式碼作業，請先讀安裝程式碼或由工具檢查，並在乾淨環境或容器內執行。本事件中，該公司工程師 B 的惡意儲存庫在安裝過程中就執行了惡意程式碼，先隔離再執行能降低影響。
三、開發機與簽章權限隔離，部署權杖不與日常瀏覽下載共用同一台機器。事件中攻擊者正是從工程師 A 的電腦取得容器部署權杖，進而部署容器發動攻擊。
四、交易所帳戶開啟兩階段驗證或 Passkey，設定提幣白名單，並定期檢查鏈上授權，特別是 EIP-7702 委託。這次攻擊的核心放大器就是鏈上存在的惡意 EIP-7702 授權，暫停提幣也無法自動失效。
五、憑證與存取權杖定期輪替，有人換機或離職就立即撤銷。幣安在 6 月事件後主動輪替相關憑證，並在事後停用受影響工程師的憑證與權杖，這是縮小暴露面的基本動作。
六、用 Proof of Reserves 驗證交易所儲備。幣安表示 98% 受影響資產已回補且可在其 Proof of Reserves 頁面驗證，使用者可據此確認儲備狀態，而非只憑公告文字。
CyberQ 觀點
這起事件的重點不在單一破口，而在攻擊鏈的層層疊加，從假面試、竄改安裝檔、內部 AI 工具到鏈上授權濫用，每一環都不算罕見，串起來卻能撬動數十億美元。
對許多團隊而言，最實際的啟示是把開發環境當成攻擊面來管理，並把鏈上授權納入定期巡檢。幣安承諾自行吸收損失並以 Proof of Reserves 佐證回補進度，值得肯定，但獨立第三方檢視的結果，才是驗證防線是否真正補強的關鍵。
