---
title: "史上最大的加密盗窃，攻破的是一场面试，不是密码学"
url: https://wakenex.com/articles/the-biggest-crypto-theft-broke-a-job-interview-not-a-cipher/
language: zh-CN
type: article
section: "系统研究"
published: 2026-11-04
author: "WAKENEX"
id: "article:the-biggest-crypto-theft-broke-a-job-interview-not-a-cipher"
alternate_language: https://wakenex.com/articles/the-biggest-crypto-theft-broke-a-job-interview-not-a-cipher/index.md
license: "© WAKENEX。可引用与摘要，请注明出处并附原文链接。"
cite_as: "WAKENEX. \"The Biggest Crypto Theft Broke a Job Interview, Not a Cipher.\" wakenex.com, 2026-11-04. https://wakenex.com/articles/the-biggest-crypto-theft-broke-a-job-interview-not-a-cipher/"
---

# 史上最大的加密盗窃，攻破的是一场面试，不是密码学

> 币安损失了创纪录的 63.4 亿美元，却没有任何密码学被攻破。读懂机制，结论就反转了：托管方真正的边界是它的人和工具，而真正救了用户的是一张资产负债表，不是去中心化。

**一句话判断：** 交易所真正的安全边界是它的员工，不是金库。

![一扇巨大的、锁闭的银行金库门在冷色阴影中完好无损，而它旁边一扇普通的小门透出蓝光，一个小小的身影拿着空白信封从小门走进去。](https://wakenex.com/assets/articles/the-biggest-crypto-theft-broke-a-job-interview-not-a-cipher/cover-1600.jpg?v=acbeeea9ce)
*插画：WAKENEX*

币安表示，攻击者在 10 月 29 日从其钱包转走了约 63.4 亿美元——史上最大的加密盗窃——却没有攻破任何密码学。他们攻破的是一场面试。托管方真正的安全边界是它的员工和内部工具，不是金库。而真正护住用户的并不是去中心化，而是一张大到能在几天内吞下十位数损失的资产负债表。

这是我们的判断，两半都重要。前半重新定义了"安全"对任何把币放在交易所的人意味着什么。后半则悄悄解释了，为什么这种规模的灾难最终让最大的交易所更强，而不是更弱。

研究，不构成投资建议。

## 默认读法是"加密垮了"，但它指错了层

当标题说这是史上最大的加密盗窃时，自然的结论是加密失败了——是密码学、密钥、链本身散了架。这是那个数字诱导出的故事。但根据币安披露的事实，它对"失败发生在哪一层"判断错了。

没有密码被破解。没有私钥被猜到。区块链恰恰做了区块链被造出来要做的事：执行了有效、已签名、经过授权的指令。问题在于，这些指令是被攻击者授权的，因为攻击者已经悄悄变成了内部人。剥去这个数字的体量，你剩下的是一桩普通、甚至乏味的安全事故——银行、医院和软件公司经常遭遇的那种。它只是恰好坐在 63.4 亿美元之上。

## 关于它究竟如何发生，我们已知什么

币安联席首席执行官 Richard Teng 给出的时间线，读起来不像一场银行抢劫，更像一场漫长的骗局。这些事实来自他 11 月 3 日的说明和公司的事件报告，并经多家媒体交叉核对。

它在资金被转走的数月前就开始了。"6 月，他们做了一个开发者工具的假版本，诱骗我们的一名工程师安装了它，"Teng 说（译文）。这个被做了手脚的工具——一个投进开发者日常工作流里的带毒软件包——给了攻击者第一个立足点，并借此得到一张谁在币安内部接触钱包基础设施的地图。

然后是让这个故事得名的那部分。"9 月，他们假扮招聘方，对另一名工程师做了一系列面试，最后给出一道藏着恶意软件、专门设计来躲避安全检测的编程作业，"（译文）。这道"编程作业"是一个已知的套路：为一份并不存在的工作布置的带回家的任务。当那名工程师运行它时，代码把一个真实的开发者工具文件（一个 `pyenv` 组件——运行 Python 常用环境的一部分）换成了恶意副本，开出一条通回攻击者、而普通安全扫描抓不到的隐秘通道。

从这些被攻陷的笔记本电脑出发，攻击者开始横向移动。到 10 月 20 日，他们已经动用币安自己的内部 AI 工具攻陷了另外两名钱包基础设施工程师——其中一人持有一个容器部署令牌，本质上是一把能把软件推上生产环境的万能钥匙。10 月 29 日，他们部署了一个容器并运行脚本，把资金移出正常提现路径；核心执行落在世界协调时 20:05 至 20:09 前后约四分钟的窗口里，是一场合计约二十分钟、跨多条链的转移的一部分。

![一台亮着的笔记本电脑摆在桌上，细细的发光丝线向外延伸到另外两把空椅子、再连到一个巨大的封闭保险箱，其中一条丝线上带着一枚钥匙形状的小令牌；英文标题下方有一行简短中文](https://wakenex.com/assets/articles/the-biggest-crypto-theft-broke-a-job-interview-not-a-cipher/fig1-1600.jpg?v=8bac69df40)
*插画：WAKENEX*

我们从事实推断出它显而易见的形状：这是一条信任链，攻击者一环一环地走了下来。一个被钓鱼的端点变成了对组织架构的一瞥。内部工具加上一枚被盗令牌，变成了对钱包基础设施的访问权。部署权限变成了一段绕过提现的脚本。这些步骤里没有一步需要击破某个密码学原语。每一步需要击破的，是一个人、一台笔记本电脑，或一项权限设置。

## 一个诚实的复杂之处：链并不是纯粹的旁观者

这个故事有一个干净的版本，说"链是无辜的，只有人失败了"。我们应当抵制它，因为它对技术太过奉承。

有两个细节反驳了这一点。第一，部署令牌——那个把一名被攻陷的工程师变成一笔提现的东西——是基础设施，不是人。第二，在币安暂停提现之后，攻击者仍借助滥用以太坊的 EIP-7702 继续转移资产，这是一个相对新的功能，允许一个普通账户把它的权限临时委托给一份合约。一份关于该事件的技术时间线称，攻击者发出了 50 次签名尝试，其中一次成功，在从未暴露私钥的情况下委托了钱包权限，而币安在世界协调时 10 月 30 日 00:10 清除了该委托。

所以这次脱身确实借用了真实的链上机制。正确的结论不是"人坏、加密好"。而是：托管方的攻击面是*整条*内部信任链——是人，没错，但也包括他们使用的工具、他们持有的令牌，以及他们的系统默认认可的协议功能。一个为了让账户更灵活而设计的功能，在攻击者手里变成了在前门被关上之后继续偷窃的办法。这是一堂设计课，不只是一堂培训课。

## 为什么"拿掉薄弱点"能告诉你安全究竟住在哪里

检验任何机制判断最锋利的办法是做减法：拿掉一个部件，问结果是否还会发生。

拿掉密码学——设想更强的加密、更奇异的多签、更花哨的冷存储方案。盗窃照样发生，因为这些根本没有被攻击。拿掉社会工程——6 月的假工具、9 月的假面试——就没有立足点、没有横向移动、没有部署令牌、没有脚本。钱会留在原地。真正解释这个结果的薄弱点，是由人与工具构成的那圈边界。整个行业当作"安全"来营销的一切——审计、冷存储、"军工级"加密——都坐在那圈边界之后，从来不是被测试的那个东西。

这就是概念 CT02 在一个事件里的全部：要理解一个系统，就越过标题里的主角，点出参与者、规则、资源、激励、代价和反馈。这里的约束条件不是数学。而是很多人和他们的机器都能各自打开一扇门，而你只需要用一个工作邀约骗倒其中一个。

## 更安静的那堂课：救了用户的是资产负债表，不是去中心化

现在说后半，几乎没有哪个标题以它开头：用户没有亏钱。币安表示它会让每一位受影响的客户恢复原状，而且它动作够快，足以证明这一点——到 10 月 31 日已补回 98% 的受影响代币，预留的资金覆盖超过所需金额的 100%，并且约 28.5 亿美元被盗资产被冻结或拦截。

看看它是怎么凑出这笔钱的。币安安排了 63.4 亿美元的覆盖：约 50 亿美元是它本就持有的、与受影响代币完全相同的资产，其余通过公开市场和场外交易买入，再加上它约 10 亿美元的 SAFU 应急储备。余额用公司自有资金一比一恢复，没有动用客户存款。公司表示，所有用户资金都将通过其储备证明（Proof of Reserves）公开验证，并说它会"挺过这场风暴"（译文）。

![一张损失与恢复数据卡，列出关键数字——转走 63.4 亿美元、冻结 28.5 亿美元、补回 98% 代币、预留 63.4 亿美元覆盖——英文标题下方有一行简短中文](https://wakenex.com/assets/articles/the-biggest-crypto-theft-broke-a-job-interview-not-a-cipher/fig2-1600.jpg?v=13529a9383)
*Chart: WAKENEX · Source: Binance Nov 3 incident report; CoinDesk; BleepingComputer · as of 2026-11-03*

体会一下这意味着什么。这里保护了普通用户的那个特性，并不是加密货币所标榜的那套无需信任、去中心化的机制。它是金融里最古老的特性：一个富到能吞下自己那场灾难的托管方。一家被偷走 63.4 亿美元的小交易所会直接消失，用户也一起消失。让客户安全的那个东西，正是加密货币本应让其变得多余的东西——一张站在账本背后的、庞大的、中心化的资产负债表。

这里有一个诚实的反对意见，它属于加密货币自己的信条。去中心化从未承诺一个托管方能在被黑后幸存；它说的是不要用托管方。一个自己保管密钥、做自我托管的人，不会被币安某位工程师被钓鱼的笔记本电脑波及——这整条攻击链都够不到他。所以我们判断的公允版本是收窄的：对那些选择了托管方的人——大多数人都选择了托管方，为了可恢复、为了方便、为了不必承担弄丢自己密钥的风险——去中心化没有保护他们。资产负债表保护了他们。自我托管才是真正去中心化的答案，而它只是把一种失败模式换成了另一种——你变成了你自己的单点故障，一旦失手，没有人会赔你。

我们由此推断出一个二阶效应，而它令人不安。每当一个巨头吞下一笔足以压垮更小对手的损失，它就赢得了说"只有我们能保你安全"的资格——而对这一类风险而言，这个说法大体成立。像这样的灾难不会让市场更去中心化。它们让市场更集中。用户学到的那条教训（"把钱放在能赔你的地方"）也正是让在位者更难被撼动的那条教训。

![两个托管方立在一根横梁上，一个庞大的身影在一个沉重坠落的十位数重量下稳稳站住，一个弱小的身影则被压翻，明亮的光打在稳住的那一侧；英文标题下方有一行简短中文](https://wakenex.com/assets/articles/the-biggest-crypto-theft-broke-a-job-interview-not-a-cipher/fig3-1600.jpg?v=0dd258fe8c)
*插画：WAKENEX*

## 这对正在读的人意味着什么，以及什么会让我们改判

如果你把钱放在托管型交易所，真正重要的问题不是它的加密有多强——就假设数学没问题。真正的问题是运营与财务层面的：这家托管方能否在自己的员工被钓鱼之后幸存，并且仍然把钱还给你？这是可以从公开证据里回答的——储备证明、一家公司过去如何处理事故、它是自己吞下损失还是把损失转嫁给用户。这是一个与大多数人所问不同的问题，也正是这个事件真正测试的那个问题。

如果你带着一个持有密钥、部署令牌或生产访问权限的团队，镜像的道理同样适用。你的招聘漏斗、你的开发者工具、你的部署权限，不是坐在安全问题旁边的人力资源事务。它们*就是*安全问题。一道带回家的编程测试、一个包管理器、一枚权限过大的令牌——这些如今就是边界。站得住脚的做法不是更好的密码；而是把每一条通往生产环境的人的路径都当作攻击路径，并假设其中至少有一条会被骗倒。

我们持有这个判断，同时写明怎样会被推翻。如果独立取证——FBI、Chainalysis、Elliptic——得出根本原因其实是密码学或协议缺陷、而不是社会工程加凭证攻陷，或者在未来一年里，大型托管方的损失大多被追溯到协议被破而不是人和端点，我们就会修正。现在有一条告诫应当摆上桌面：把这次攻击归因于一个与朝鲜有关的团体，是 FBI 的评估，而朝鲜否认。把它当作一项正在调查中的严肃指控，而不是已成定论的事实。

史上最大的加密盗窃没有攻破任何密码学。它攻破的是一场面试。事实证明，守住金库是容易的部分。守住每一个能打开它的人才是真正的工作——而让用户恢复原状的唯一东西是一张资产负债表，不是一条区块链。

这是研究，不构成投资建议。

## 来源与说明

- [币安联席首席执行官 Richard Teng 谈 6 月被做手脚的开发者工具与 9 月的假面试；10 月 29 日转走 63.4 亿美元。CNBC，2026 年 11 月 3 日：](https://www.cnbc.com/2026/11/03/binance-co-ceo-teng-says-hackers-used-fake-job-interviews-to-steal-6point3-billion-in-crypto.html)
- [币安 11 月 3 日事件报告摘要：内部 AI 工具被用来攻陷另外两名工程师；10 月 20 日前被盗的容器部署令牌；提现暂停后 EIP-7702 被滥用；约 28.5 亿美元被冻结/拦截；10 月 31 日前补回 98% 代币；FBI 归因于 TraderTraitor（Lazarus/APT38/Jade Sleet）。BleepingComputer，2026 年 11 月 3 日：](https://www.bleepingcomputer.com/news/security/binance-says-fake-job-interview-led-to-63-billion-crypto-heist/)
- [技术时间线：`pyenv` 文件替换与持久化；10 月 20 日经内部 AI 工具横向移动；盗窃窗口为世界协调时 10 月 29 日约 20:05-20:09；EIP-7702 委托（50 次签名尝试，一次成功）于世界协调时 10 月 30 日 00:10 被清除；没有密码学被攻破。CyberSecurityNews，2026 年 11 月 3 日：](https://cybersecuritynews.com/fake-job-interviews-binance-heist/)
- [63.4 亿美元覆盖的构成（约 50 亿美元为受影响代币，其余经公开市场/场外交易，约 10 亿美元为 SAFU），客户不承担损失，一比一恢复，史上最大加密黑客事件，约二十分钟完成转移。CoinDesk，2026 年 10 月 30 日：](https://www.coindesk.com/business/2026/10/30/binance-arranges-usd6-34-billion-to-cover-losses-from-record-crypto-hack)
- [朝鲜否认了 FBI 的归因；此次攻击利用的是凭证和一个内部 AI 工具，而不是攻破密码学。NBC News，2026 年 11 月 3 日：](https://www.nbcnews.com/business/markets/binance-hack-fake-job-interview-heist-rcna607238)

币安自己的事件报告页面托管在 x.com 上，未直接打开；经 CNBC 转述的联席首席执行官引语被用作主要信源，所有数字均经上述媒体交叉核对。"内部 AI 工具"是币安自己的；报道未点明其供应商或模型，我们也不臆测。WAKENEX 未从文中提到的任何公司获得报酬、赞助、联盟或推荐费用。

---
引用格式：WAKENEX. "The Biggest Crypto Theft Broke a Job Interview, Not a Cipher." wakenex.com, 2026-11-04. https://wakenex.com/articles/the-biggest-crypto-theft-broke-a-job-interview-not-a-cipher/

网页版：https://wakenex.com/articles/the-biggest-crypto-theft-broke-a-job-interview-not-a-cipher/