黑客血洗币安！63 亿美元被转出

原创

小胖快学网络安全
小胖快学网络安全

小胖快学网络安全吧

2026年10月31日 21:19
湖北

去阅读

10 月 30 日凌晨，全球最大加密货币交易所币安的热钱包开始往外转钱。

大部分转出在 20 分钟内完成，跨了 10 条区块链，涉及金额约 63 亿美元。

这件事的技术细节值得看，但真正跟你有关系的，在后面。

而事情的起点，币安自己的公告写得很平淡：

一个工程师的笔记本。既没有零日漏洞，也没有攻破签名算法。

一、攻击链只有三步 1.笔记本被入侵 → 2.进入服务容器 → 3.提交未授权提现

三步，没有一步是“高难度”的。

币安还明确说了一句话：未发现钱包私钥泄露的证据。

这句话很关键。意思是：攻击者根本不需要私钥，他们拿到了“可以提交交易”的权限就够了。

在加密货币的世界里，私钥一直被当成最后一道墙。这次证明，墙还在，人绕过去了。

二、具体是怎么执行的

The National 援引 Etherscan 数据：单笔交易转出约 167,464 个以太坊（当时约 3.88 亿美元），外加 63 种其他代币。

收款地址是几小时前才创建的，资金来自 Tornado Cash 混币服务。

先建地址、先过一遍混币、再动手。 准备工作在攻击之前就做完了。

转账跑完只用了 20 分钟。这么快的节奏，靠人盯是来不及的。

三、技术上的一个细节：EIP-7702

攻击者能走这么顺，靠的是以太坊的 EIP-7702 标准。

这个标准允许钱包把执行权限委托给智能合约代码。

攻击者借此拿到了币安一个热钱包的链上执行授权，而这个授权没有经过平台正常的审批控制。

也就是说：钱包本身没被攻破，是“谁能替它签字”这件事被改了。

EIP-7702 本意是给钱包更多灵活性。灵活的另一面，是授权这件事变得更容易被借用。

四、这事跟你有什么关系

把这次事件拆成“哪一步没防住”，会得到六类岗位。

下面一个个说，每类后面都写了这岗干什么、面试大概会问什么。

1.终端安全工程师

出事的是工程师的笔记本。这类岗的日常就是：装 EDR、配准入策略、盯异常进程、查谁在往外连。

面试会问： 终端被装了远控你怎么发现？域内一台机器被登录了，你能看到什么痕迹？

2.云安全 / 容器安全工程师

攻击者用那台笔记本进了服务容器。这类岗负责：容器镜像准入、K8s 权限收敛、服务间调用鉴权。

面试会问： 一个容器能拿到宿主机权限，你会先查哪几项配置？

3.身份与权限管理（IAM）工程师

这次不需要私钥就能提现，因为权限被借走了。这类岗的核心工作：最小权限、审批流、临时授权、离职权限回收。

面试会问： 生产环境大额转账的审批链，你会怎么设计？双人复核怎么防串通？

4.威胁情报 / 监控分析师

20 分钟跨 10 条链，这么快的动作，靠人肉盯不出来。这类岗负责：规则、告警、异常行为建模。

面试会问： 一笔正常用户操作和一次自动化批量转账，你从哪些特征区分？

5.应急响应 / 数字取证工程师

攻击者用了自毁机制抹痕迹。这类岗负责：保全现场、恢复时间线、判断影响范围、出报告。

面试会问： 日志被删了，你还能从哪拿证据？

6.安全运营（甲方 SOC）

币安说“后续又发现其他入侵点”。一个点堵上还有别的，得有人组织排查、协调各团队、对外对接执法和发行方。

面试会问： 一次跨部门的重大安全事件，你怎么排优先级？

这六类岗，没有一个要求你会挖零日漏洞。

它们要的是：盯住终端、管住权限、发现异常、出事后查得清。

而这些面试题考的都是“你在实际环境里做过什么”。 对没有名校背景的人，这反而是机会。

五、这 63 亿，没有一处跟 AI 有关

这两年安全行业的注意力，大半在“AI 挖漏洞”上。AI 确实让漏洞发现变快了。

但这次，用的是一台被入侵的笔记本、一个被绕过的审批流程、一个新标准带来的授权漏洞。没有一处跟 AI 有关。

CoinDesk 引用的安全公司 CertiK 有一句统计说得更直接：2026 年最大的几起安全事件，起因都是被盗的凭证和设备，不是智能合约漏洞。

风控的重心，正在从“代码有没有洞”，挪到“人能不能进、权限是不是过大、异常有没有人看”。

星球介绍

一个人走的很快，但一群人才能地的更远。吉祥同学学安全这个星球🔗成立了2年左右，已经有600+的小伙伴了，如果你是网络安全的学生、想转行网络安全行业、需要网安相关的方案、ppt，快加入我们吧。系统性的知识库已经有：《Java代码审计》++《Web安全》++《应急响应》++《网安面试指南》++《网安秋招工具箱》