攻擊起源：供應鏈漏洞與長期佈局

根據幣安於週二發布的事件報告，這次損失63億美元的竊案並非單純的網路釣魚或單一入侵事件，而是一場精心策劃的多階段行動。美國聯邦調查局（FBI）已將此攻擊歸咎於與Lazarus Group有關聯的北韓駭客組織TraderTraitor。

攻擊準備工作始於六月，當時一名工程師下載了含有惡意程式碼的Homebrew安裝包。雖然安全團隊偵測到該惡意軟體並更換了裝置、輪換了受影響的憑證，但報告指出，負責錢包基礎設施的工程師A及其同事的角色與關係網已暴露給駭客，為後續攻擊奠定了基礎。

社交工程手法：假面試建立信任並植入惡意軟體

九月時，另一名工程師透過正規求職平台收到自稱專案總監的聯繫，並被安排與一家虛構公司進行一系列面試。在第一輪視訊面試中，偽裝的人資代表分享了自己的社群媒體帳號及個人照片影片，以建立信任感，這種手法被幣安描述為比過往更進階且具欺騙性的社交工程策略。

第二輪面試由自稱該虛構公司CEO的人透過熱門社交聊天軟體進行。在面試尾聲，對方指示工程師下載一個包含惡意程式碼倉庫的「作業」。當工程師在工作電腦上設定該專案時，程式碼自動執行，觸發了一系列未授權活動。

技術細節：替換開發工具與規避偵測

幣安指出，惡意軟體將一個合法的開發工具元件替換為惡意版本，該元件執行指令並與攻擊者控制的外部伺服器建立通訊。攻擊者採取措施隱藏惡意腳本以規避偵測，導致幣安的端點安全工具未能立即發現異常。

具體的技術操作包括刪除原有的pyenv執行檔，並將一個3,414位元組的惡意檔案重命名為pyenv，同時建立新的符號連結並啟動zsh shell。這種替換方式使得惡意程式碼能夠在看似正常的開發環境中運作。

橫向移動與最終竊取：利用內部AI工具與憑證

十月二十日，攻擊者利用被入侵的電腦和一個內部AI工具，取得了錢包DevOps工程師A以及另一位錢包軟體開發工程師C的電腦存取權限。工程師A的電腦上持有一個容器部署權限令牌（container deployment permission token），這成為駭客發現的關鍵資產。

十月二十九日，攻擊者存取工程師C的電腦，使用從工程師A處竊取的憑證部署了一個容器，並觸發腳本啟動了加密貨幣竊取行動。這一連串操作顯示攻擊者不僅入侵了單一節點，還成功橫向移動並利用內部權限進行大規模資產轉移。

事後補救與未來防護措施

截至週二，幣安表示已重建受影響的錢包系統和內部AI工具，並更換了所有受影響的裝置。公司撤銷了分配給受影響工程師的所有憑證和令牌，並正與執法機構、區塊鏈情報公司及安全研究人員合作，追蹤並凍結相關資產。

幣安還聘請了獨立網路安全專家對此次事件進行資安審查，以建議額外的保護措施。此外，該交易所計畫設立一個安全研究基金，並與AI公司及安全廠商合作，專注於區塊鏈環境中的AI安全問題。