Binance Discloses Investigation Report on $6.3 Billion Cryptocurrency Theft Incident
English text is being prepared.
Binance's official blog published a preliminary investigation report explaining how hackers stole $6.3 billion worth of cryptocurrency. The attack began in June of this year, when a wallet DevOps engineer downloaded a tampered Homebrew installer from a search engine in order to install a popular AI programming tool; in September, the attacker again impersonated a project director on a legitimate job platform, conducted two rounds of video interviews with another engineer, and implanted malicious code in the form of an assignment containing a code repository. In October, the attacker used the compromised computer and internal AI tools to control other engineers' devices, and ultimately on October 30 used stolen credentials to deploy containers and execute malicious scripts to launch the attack.
Why read this
AI score 71
Binance officially reviewed the complete attack chain, from tampered installation packages to fake interviews and then lateral movement through internal AI tools, which can serve as a reference for supply chain and social engineering risks.
Topics
Body
币安官方博客披露了黑客如何窃取价值 63 亿美元加密货币的初步调查报告。报告称，攻击始于今年六月： 2026 年 6 月——供应链攻击。钱包开发运维团队的工程师 A 为安装一款热门 AI 编程工具，通过搜索引擎查找并下载了一个遭篡改的 Homebrew 安装程序。我们的安全团队主动检测到了这一异常，更换了该设备，同时轮换了所有相关凭证。尽管如此，工程师 A 的岗位信息，以及其钱包基础设施团队中的相关同事信息，仍已暴露给攻击者。
9月——社会工程攻击。软件工程师 B 通过一个正规的求职平台，收到了一名冒充项目总监人员的联系。工程师B在该平台上的个人资料中提及了自己在币安的工作经历。对方以项目总监的身份安排了第一轮面试，由一名人力资源代表参与；随后又安排了第二轮面试，面试者自称是该虚构公司的 CEO。
在第一轮面试中，冒充人力资源代表的人员与工程师B进行了实时视频面试。为了建立信任，面试者还向工程师B分享了自己的社交媒体账号，其平台帐号有个人生活照片和视频。这种方式比以往的社会工程攻击手段更复杂，也更具欺骗性。
第二轮面试通过一款热门社交聊天应用进行。面试接近尾声时，工程师B被要求将一份含代码仓库的“作业”下载到工作电脑中。该代码仓库包含恶意代码，在安装过程中便会执行，进而触发了一系列未经授权的操作。
该恶意软件采用了复杂的代码混淆和规避检测技术，包括用恶意版本替换某个正规开发工具组件，以执行命令并与攻击者控制的外部服务器建立通信。当时，终端安全防护工具未能检测到这一零日恶意软件。攻击者还采取了隐藏恶意行为、清除入侵痕迹等措施，进一步增加了检测和后续调查的难度。
10 月 20 日——利用内部 AI 工具作为攻击跳板。攻击者利用遭入侵的工程师 B 的电脑，通过内部 AI 工具控制了钱包开发运维工程师 A，以及另一名钱包软件工程师 C 的设备。攻击者很快发现，工程师 A 的电脑上存有一个具有容器部署权限的令牌。
10 月 30 日——渗透钱包签名操作。10 月 30 日 01:15 至 03:56（东八区时间）期间，攻击者登录了软件工程师 C 的电脑，使用从工程师 A 处窃取的凭证部署了一个容器，并执行恶意脚本，进而发起此次攻击。