币安 63 亿美元被盗事件溯源：伪造 Homebrew 安装包与假面试

9to5Mac 的 Security Bite 栏目由 Mosyle 独家赞助，Mosyle 是唯一的 Apple 统一平台。让 Apple 设备开箱即用且企业安全，是我们所做的一切。我们独特的集成式管理与安全方案，将最先进的 Apple 专属安全解决方案与市场上最强大、最现代的 Apple MDM 相结合，涵盖全自动加固与合规、下一代 EDR、AI 驱动的零信任以及独家权限管理。其成果是一个完全自动化的 Apple 统一平台，目前已有超过 45,000 家组织信赖它，以零负担、可负担的成本让数百万台 Apple 设备开箱即用。立即申请延长试用，了解为什么 Mosyle 是您与 Apple 合作所需的一切。

上周，有消息曝出黑客从全球最受欢迎的加密货币交易所币安的钱包中盗走了 63 亿美元。该公司成功冻结了其中近 30 亿美元，但这次攻击迅速登上头条，也确实理应如此，因为这是人类历史上最大的金融盗窃案。

当时，我和安全研究员 Christopher Lopez 以及许多其他人一样怀疑，这起事件很可能始于一台 Mac。正如 Lopez 指出的，去年 15 亿美元的 Bybit 被盗案同样始于一名开发者的 Mac。除此之外，Mac 在 DevOps 工程师和加密货币圈人士中极受欢迎，而过去几年里，它们一直遭受源源不断的恶意软件和社交工程攻击。

我现在可以说，任何认为这起盗窃案源自 Mac 的怀疑都是对的。我仍处于震惊之中。令我发懵的不是被盗金额，而是这些黑客竟然使用了他们多年来一直在用的老套社交工程伎俩。这里没有什么价值数百万美元的复杂地下零日漏洞。

昨天，币安发布了关于此次攻击的更详细分析。该公司实际上从未明说“Mac”，但其公布的恶意软件针对的是 /opt/homebrew，这正是 Homebrew 在 Apple 芯片 Mac 上的所在位置。换句话说，这几乎可以肯定是一台 M 系列 MacBook。

这次攻击基本上分两步发生。

据币安称，今年 6 月，一名从事钱包相关工作的 DevOps 工程师在搜索一款 AI 编程工具时，从 Google 搜索中下载了 Homebrew 安装程序的恶意克隆版本。币安声称它及早发现并阻止了任何损害。然而，它并不知道的是，这使攻击者得以了解哪些员工从事其钱包相关工作。这是第一阶段。

快进几个月到 9 月，另一名——你猜对了——为币安从事钱包相关工作的工程师被诱入一场虚假的求职面试。正如这类社交工程攻击通常的做法，他们被要求在自己的工作电脑上运行一个编程“作业”。这并未被币安的安全团队发现，而在 10 月 29 日，全世界得知黑客（目前被广泛推测为朝鲜黑客）卷走了数十亿美元。

当然，我们目前所知的大部分内容都直接来自币安，所以如果你想要关于此事究竟如何发生的更多细节，你很可能一无所获。

不过这里需要指出的是，这两种攻击途径都不是新的。早在 2025 年初，我就写过 Google 搜索顶部的虚假 Homebrew 广告向 Mac 用户推送 Atomic Stealer 一事。币安只是说这名工程师通过“一个搜索引擎”找到了他的安装程序。当然，我无法确认那是赞助广告，但如果说历史能告诉我们什么的话……

这对 Apple 来说是一个相当尴尬的处境。上周，史上最大的金融盗窃案发生在 Mac 上，不过平心而论，没有任何安全功能能阻止开发者运行他自己想运行的脚本。

当然，macOS 26.4 中引入的终端粘贴警告在这里本可能有所帮助。但现实地说，如果一个人确信自己是在为一份非常想要的工作做编程测试，一个警告弹窗大概阻止不了他。

这个警告是这样的：

本周我请回了专业 macOS 逆向工程师 Christopher Lopez（@L0Psec）做客 Security Bite 播客，与我一起讨论币安事件。关注该节目，以免错过。

Security Bite 是 9to5Mac 每周深入探讨 Apple 安全世界的栏目。每周，Arin Waichulis 都会剖析新威胁、隐私担忧、漏洞等内容，这些塑造着由超过 20 亿台设备组成的生态系统。每隔一周，他会在 Security Bite 播客中与业内专家坐下来，拆解最紧迫的话题。