CoinEx创始人称：币安63亿美元遭黑客攻击事件本可避免_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

CoinEx创始人称：币安63亿美元遭黑客攻击事件本可避免

2026-11-04 13:26:53

CoinEx创始人杨海平指控币安违背三项基本安全准则，或致63亿美元被盗

CoinEx创始人杨海平指出，他认为币安未能遵循三项基本的安全实践，这些疏忽可能直接导致了10月29日发生的63亿美元加密货币被盗事件。杨海平批评了币安在工作环境隔离、身份验证以及交易签名人核实方面的不足。尽管币安已将受影响资产的98%补足并完成了最新的储备金证明验证，且联合首席执行官Richard Teng表示正在恢复剩余资产，但此次事件仍暴露出严重的安全管理漏洞。

三大安全失误：缺乏纪律而非技术短板

在X平台（原推特）上，杨海平对币安的生产环境访问权限、员工身份验证及交易签署流程提出了严厉批评。他认为，此次攻击暴露的是运营纪律的缺失，而非可用安全技术的不足。“这些都不需要复杂的技术，缺失的是纪律。”杨海平写道。

杨海平指出了至少三个完全可避免的错误：

开发与生产环境未充分隔离： 拥有生产环境访问权限的员工应使用专用计算机，该设备不得安装任何无关软件，严禁用于开发、通信或网页浏览等活动。敏感系统应与日常办公环境严格分离，以防止因单台设备被攻破而导致整个系统暴露。
身份验证控制薄弱： 单一凭证泄露即可访问生产服务，缺乏有意义的额外验证机制。杨海平建议引入硬件安全密钥，并结合如AWS Session Manager等工具，防止攻击者通过单一受损凭证获取访问权限。
多方计算（MPC）机制失效： 杨海平认为，币安的签名方未能独立审查其批准的交易。由于各方之间缺乏必要的互不信任机制，该安排实际上类似于单签系统，一旦某个参与方被攻破，整个流程便面临风险。“多签只有在签名方相互不信任时才有效。”他写道。

值得注意的是，上述指控仅代表杨海平个人的评估，币安并未公开确认所有内部控制的弱点。然而，币安发布的初步事故报告证实了攻击者确实利用了员工设备被入侵、虚假招聘诈骗及窃取凭证等手段进入系统。

攻击路径追踪：从恶意软件到内部系统渗透

根据币安11月3日发布的事故报告，此次攻击始于数月前的一次精心策划的社会工程与网络攻击组合行动：

6月： 一名钱包运营工程师在安装AI编码工具时，下载了经过修改的Homebrew安装程序。币安安全团队检测到可疑活动后，替换了受影响的计算机并轮换相关凭证。但这起事件泄露了负责交易所钱包基础设施的员工信息。
9月： 攻击者通过虚假招聘流程 targeting 另一名工程师，最终诱使其下载恶意软件。
10月20日： 攻击者利用被控设备和内部AI工具，进一步访问了其他工程系统。
9天后： 窃取的凭证使攻击者得以部署恶意代码，从而执行未经授权的提款操作。

此前，crypto.news报道称调查人员将此次攻击指向朝鲜的“TraderTraitor”黑客组织。美国联邦调查局（FBI）随后认定盗窃案由朝鲜国家支持的黑客所为，而朝鲜方面否认了相关指控。币安报告指出，攻击者结合了社会工程学、恶意软件及被攻陷的内部系统，成功渗透至其钱包基础设施。

资产恢复进展与未来安全措施

面对质疑，币安联合首席执行官Richard Teng在11月3日的声明中捍卫了公司的恢复工作。他表示，币安已补足了事件中受影响加密货币资产的98%。“区别在于验证，而不仅仅是承诺。”Teng写道，指的是交易所最新完成的储备金证明（Proof of Reserves）验证。该验证涵盖了比特币、以太坊、BNB和XRP等十种主要加密货币，允许客户检查其账户余额是否有足够的储备支持。

Teng强调，虽然验证确立了特定代币的资产背书，但这并不意味着杨海平所指出的漏洞已被彻底消除。目前约有28.5亿美元的受影响资产在恢复过程中被冻结或拦截。公司承诺动用企业资源和储备基金承担全部财务损失，并将继续恢复剩余受影响资产，包括需要额外购买的流动性较低的加密货币。

此外，币安联合首席执行官Yi He在另一篇帖子中披露，2026年币安安全团队已成功检测并阻止了57起疑似与朝鲜相关的网络威胁。这些尝试包括虚假求职面试、恶意开发者工具、受损软件包及伪造的视频会议应用程序。Yi He表示：“我们拦截了许多攻击，但未能阻止哪怕一次失败的成本也是巨大的。”

为此，币安已重建受影响的钱包系统，替换被控设备，并禁用了与攻击相关的凭证。交易所还加强了钱包安全控制，扩大了针对员工和系统可疑活动的自动监控。后续计划包括进行独立的网络安全审查，并进一步投资于设备保护、开发人员安全及威胁检测。部分安全措施将保持机密，以防止攻击者识别防御弱点。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文