2026 年 10 月 30 日凌晨 4 点 05 分至 4 点 09 分，币安的五个热钱包向攻击者控制的地址转出了 2.3346 亿枚 XRP。币安遭遇前所未有的黑客攻击。

根据币安公布的初步调查，要了解攻击者如何走到这一步，得把时间拨回四个月前：

【6 月：设备换了，团队信息外泄】
钱包开发运维工程师 A 想安装一款 AI 编程工具。他通过搜索引擎找到了一个 Homebrew 安装程序，下载的却是遭篡改的版本。

币安安全团队发现异常后，更换了设备，并轮换了相关凭证。但在处置之前，攻击者已经获取了 A 的岗位信息，以及钱包基础设施团队部分同事的信息。

【9 月：两轮面试，最后是一份带代码的作业】
工程师 B 在一个正规的求职平台上收到招聘邀约。联系他的人自称项目总监。第一轮是实时视频面试，自称负责招聘的面试官还分享了带有生活照片和视频的社交账号。第二轮换到一款聊天应用，由自称公司 CEO 的人主持。

临近结束，对方发来一份包含代码仓库的「面试作业」，要求 B 下载到工作电脑。恶意代码在安装时执行，替换了正常的 `pyenv` 组件，使攻击者能够执行命令并与外部服务器通信。终端防护当时未检出这款恶意软件。

【10 月 20 日至 30 日：从一台电脑进入钱包签名服务】
10 月 20 日，攻击者以 B 的电脑为跳板，利用内部 AI 工具控制了工程师 A 和 C 的设备，并在 A 的电脑上发现了一个拥有容器部署权限的令牌。

10 月 30 日 01:15 至 03:56，攻击者登录 C 的电脑，使用从 A 处窃取的凭证部署容器并执行恶意脚本。至此，攻击者取得了内部钱包签名服务的未授权访问权限，可以绕过正常提现流程发起交易。

【凌晨 4 点后：资金从多条链流出】
04:05 至 04:09，五个热钱包转出 2.3346 亿枚 XRP。Solana 和 Optimism 上的热钱包也分别向攻击者地址转出约 970,500 枚 SOL 和 4,420 万枚 OP。

大额转账触发了内部警报，币安立即启动调查。随后，比特币热钱包又向攻击者控制的地址转出 1.8万枚 BTC。在以太坊上，攻击者接下来动用签名服务，把恶意委托写进了热钱包账户的链上状态。

币安随即暂停提现、协调合作伙伴冻结代币，并着手撤销权限。应急行动共冻结约 28.5 亿美元的资产。币安的暂停提现和关闭热钱包服务生效。币安再发起链上授权执行涉及以太坊的撤销流程。

资料来源：币安初步调查与响应进展报告