幣安披露63億美元竊案初步調查：假面試誘下載惡意倉庫，內部AI工具淪為攻擊跳板

根據幣安官方部落格於2026年11月4日經奇客Solidot轉述披露的初步調查報告，駭客先後以供應鏈攻擊與社會工程手段入侵該公司兩名工程師的筆記型電腦，最終於10月30日發起攻擊，竊取價值63億美元的加密貨幣。報告以時間軸方式交代入侵路徑，目前為幣安單方說法，獨立調查結果尚未公布。

報告指出，第一階段發生於2026年6月。幣安錢包開發維運團隊的工程師A為安裝一款熱門AI編程工具，透過搜尋引擎下載了遭竄改的Homebrew安裝程式，屬供應鏈攻擊。幣安安全團隊主動偵測到異常後更換該設備並輪換所有相關憑證，但工程師A的崗位資訊，以及其在錢包基礎設施團隊中的相關同事資訊，已暴露給攻擊者。

第二階段於9月展開。軟體工程師B透過一個正規求職平臺，收到一名冒充專案總監者的聯繫；工程師B在該平臺的個人資料中曾提及自己在幣安的工作經歷。對方先安排一輪由自稱人力資源代表參與的即時視訊面試，面試者並分享內含個人生活照片與影片的社羣媒體帳號以建立信任。報告稱，這種手法較以往社會工程攻擊更複雜、更具欺騙性。

第二輪面試透過一款熱門社交聊天應用進行，自稱虛構公司執行長者出面。面試接近尾聲時，工程師B被要求將一份含程式碼倉庫的「作業」下載到工作電腦。該倉庫內含惡意程式碼，安裝過程中即執行，觸發一連串未經授權的操作。

報告描述，惡意軟體採用複雜的程式碼混淆與規避偵測技術，包括以惡意版本替換某個正規開發工具元件，用以執行命令並與攻擊者控制的外部伺服器建立通訊；當時終端安全防護工具未能偵測到這款零日惡意軟體。攻擊者還採取隱藏惡意行為、清除入侵痕跡等措施，增加偵測與後續調查難度。

10月20日，攻擊者利用已遭入侵的工程師B的電腦，透過內部AI工具控制工程師A與另一名錢包軟體工程師C的設備，並發現工程師A的電腦上存有一個具容器部署權限的令牌。

10月30日01:15至03:56（東八區時間），攻擊者登入工程師C的電腦，使用自工程師A處竊取的憑證部署容器並執行惡意腳本，發起本次攻擊。

此案與近期AI工具滲入開發流程後衍生的資安風險議題相互印證。掘金曾有用於Claude Code多Agent桌面端實測的紀錄顯示，開發者對AI編程工具的依賴正快速加深；而AI編程智慧體增加代碼量卻未提升軟體產出的研究亦指出工作流程正被重塑。幣安報告中的兩個入侵入口，一是搜尋引擎上的假AI工具安裝程式，二是被當作攻擊跳板的內部AI工具，均落在這條脈絡上。

攻擊時間軸可整理如下：6月供應鏈攻擊、9月假面試社會工程、10月20日內部AI工具橫向滲透、10月30日執行竊取。全案目前僅有幣安單方面的調查陳述，涉及損失金額、入侵手法細節與後續追責進展，尚待獨立資安單位或執法機關的查證結果佐證。