#安全事件

安全组织 SEAL 于 11 月 6 日披露，涉嫌攻击 Binance 的朝鲜关联黑客组织 TraderTraitor 在 10 月 29 日盗窃发生前，可能已在目标环境中潜伏约 8 周。SEAL 表示，Binance 初步报告的时间线和细节与该组织利用虚假公司及招聘流程实施攻击的模式相符，并认为攻击者的潜伏期为企业发现入侵提供了机会。

硬件钱包 Keystone 在 X 平台称，其 Nexus App 部分服务近期遭网络攻击，部分用户一度无法使用，团队已加固服务器，目前调查尚未发现用户资产或个人信息受影响。公司已发布 v1.3.7 版本，安卓版已上线 Google Play，iOS 版仍待 App Store 审核，安装前需确认开发者为 Yanssie HK Limited。

据路透社报道，朝鲜建立了一套运行超过十年的黑客培养体系，每年从初中选拔约150至200名11、12岁左右学生学习计算机科学，17岁时最优秀者进入顶尖大学继续筛选，仅少数人进入军方网络部队。报道援引脱北者称，黑客所在军事单位攻击得手后最高可获所盗收益30%的美元分成，顶尖黑客还可获平壤住房和大额外汇奖励。韩国国家情报院2024年估计朝鲜网络战人员约8400人。

据区块链分析公司 Elliptic 监测，截至北京时间 11 月 6 日 16:45，币安被盗资金已有约 1650 枚 BTC（约 1.24 亿美元）进入新的比特币地址，接近前一天的两倍。新增部分主要来自黑客经 THORChain 兑换：11 月 2 日转入 6 个新地址的 2.33 亿枚 XRP 中，已有约 4200 万枚（约 5000 万美元）转出，剩余约 1.92 亿枚（约 2.26 亿美元）。

据 Odaily 星球日报援引区块链分析公司 Elliptic 监测，截至北京时间 11 月 6 日 16:45，币安被盗事件相关资金已有约 1650 枚 BTC（约 1.24 亿美元）进入新的比特币地址，接近前一天的两倍。新增部分主要来自经 THORChain 将 XRP 兑换为比特币，黑客 11 月 2 日转入的 2.33 亿枚 XRP 中已有约 4200 万枚转出。

PANews 11月6日援引区块链分析公司Elliptic的追踪称，截至北京时间11月6日16:45，币安被盗事件相关资金已有约1650枚BTC（约1.24亿美元）进入新的比特币地址，接近前一天的两倍。新增部分主要来自黑客经THORChain将XRP兑换为比特币：11月2日转入6个新地址的2.33亿枚XRP中，已有约4200万枚（约5000万美元）转出，剩余约1.92亿枚（约2.26亿美元）；11月5日晚还有少量ETH经THORChain换成比特币。

Keystone Hardware Wallet 11 月 6 日在 X 平台称，旗下 Nexus App 部分服务近期遭网络攻击，部分用户一度无法使用，调查尚未发现用户资产或个人信息受影响的证据。团队已推出强化防护的 v1.3.7 版本，Android 可经 Google Play 更新，iOS 版仍在等待 App Store 审核，期间可用 Keystone 支持的第三方钱包签名。官方提醒安装前确认开发者名称为 Yanssie HK Limited。

Odaily 星球日报援引 Cointelegraph 报道，非营利网络安全组织 Security Alliance（SEAL）估算，与朝鲜关联的黑客组织 TraderTraitor 在 10 月 29 日 63 亿美元币安攻击前约 8 周已取得系统访问权限，可能于 9 月入侵后长期隐蔽。SEAL 称 TraderTraitor 在 2026 年虚假招聘中关联至少 4 家空壳公司，包括 citalab.net、citalab.com、bitfit.io 和 oddium.io；并估算 Bitget 3.88 亿美元攻击前约有 6 周访问权限，Kelp DAO 2.93 亿美元攻击前曾访问 LayerZero 约 6 周，AFX 2400 万美元攻击前潜伏约 3 周。币安称攻击源于虚假求职面试，攻击者借此控制一名员工设备并窃取凭证入侵钱包基础设施，活动可追溯至 6 月；FBI 将攻击归因于 TraderTraitor。

非营利网络安全组织 SEAL 估计，与朝鲜关联的 TraderTraitor 组织在 10 月 29 日 Binance 63 亿美元被盗事件前约八周，即 9 月的某个时间已获得系统访问权限。SEAL 报告指出攻击者初始入侵后可长期高度隐蔽地活动，并识别出至少四个与假招聘活动相关的 2026 年幌子公司，包括 citalab.net、citalab.com、bitfit.io 和 oddium.io。SEAL 还估计类似多阶段入侵模式出现在其他事件中：Bitget 3.88 亿美元被盗前约六周访问、LayerZero 在导致 Kelp DAO 2.93 亿美元被盗的漏洞前被访问约六周、AFX 2400 万美元被盗前约三周。Binance 此前称攻击源于一次假工作面试导致员工设备被攻陷并窃取凭据，并将攻击源头追溯到 6 月另一名员工设备被入侵；FBI 将攻击归因于朝鲜 TraderTraitor，金与正驳斥了这些指控。Cointelegraph 就上述估计联系 Binance，截至发稿未获回应。

据 The Defiant 报道，链上分析公司 Elliptic 称，Binance 黑客已开始兑换被盗 XRP，约 5000 万美元 XRP 大多经 THORChain 转换为比特币；截至北京时间 11 月 6 日 16:45，约 2.26 亿美元 XRP 尚未转移。黑客兑换其他被盗资产所得比特币约 1650 枚、价值约 1.24 亿美元，较前一天几乎翻倍；直接盗取的 18270 枚 BTC 及主要 ETH 持仓尚未转移。

链上分析公司 Elliptic 表示，Binance 黑客已开始兑换被盗 XRP，约 5000 万美元的 XRP 大多通过 THORChain 转换为比特币。据 The Defiant 报道，截至北京时间 11 月 6 日 16:45，约 2.26 亿美元 XRP 尚未转移。Elliptic 称，兑换所得比特币约 1650 枚、价值约 1.24 亿美元，较前一天几乎翻倍，增量主要来自 XRP；该部分与直接盗取的 18270 枚 BTC 分开，后者及主要 ETH 持仓尚未转移。

据 Reuters 报道，朝鲜通过国家支持的人才培养计划建立黑客队伍，每年从中学选拔约 150 至 200 名学生接受计算机教育，部分人员进入军事网络部门。表现突出者可获得平壤住房、外币奖励，相关军事网络单位最高可获攻击收益的 30%。报道指出朝鲜网络人员广泛使用 ChatGPT、Claude Code 等 AI 工具辅助编程及身份伪装。韩国情报部门此前估计其网络战相关人员约 8400 人。FBI 及币安将涉及 63 亿美元的币安黑客攻击归因于朝鲜，朝方否认。

据韩国媒体京乡新闻援引 GOPAX 代表的说法，该交易所在收到威胁要攻击的邮件后，于 5:55 UTC 暂停充提和标准提币，6:53 UTC 暂停交易并取消所有未成交订单，截至当时未发生攻击或盗窃未遂。GOPAX 计划将全部加密资产转入离线钱包，并援引金融监管机构的建议；用户仍可通过客服中心申请手动提币，但审核和批准可能延迟处理。此前韩国 FSC 在 Binance 被盗 63 亿美元事件后敦促交易所提高冷钱包持仓，规定至少 80% 用户资产须冷存储，金融监督院数据显示 GOPAX 9 月末冷存储比例为 80.54%。

Cointelegraph 报道，Binance 63亿美元安全事件暴露热钱包管理问题。联合 CEO Richard Teng 称攻击影响交易所自有热钱包，多数客户资产在冷存储；Binance 初步报告称攻击者访问内部钱包签名服务转出资金，部分技术细节保密。CertiK 分析师 Jonathan Riss 称63亿美元为跨10条链受影响资产的累计价值，攻击者在以太坊上随新充值反复抽干热钱包。Coinbase、Gate、Upbit 等在事后披露冷存储比例。

CoinPost援引区块链分析公司Bitquery的分析称，利用iPhone漏洞的攻击套件DarkSword疑被用于窃取加密货币，10月5日至11月4日（UTC）间TRON上43个收集地址从365个钱包转出至少406万美元USDT，8个地址占损失总额的63%。Bitquery称链上记录无法确认所有损失均源于DarkSword。该套件利用6个iOS漏洞无需授权即可窃取密钥链和种子，iOS 26.3及18.7.7已修复，建议离线保管种子。

据 The Block 报道，新加坡警察部队称，在与加密货币交易所的联合行动中阻止约 1740 万美元诈骗损失。警方利用区块链分析技术及 Coinbase、OKX 等平台提供的客户数据，识别超过 383 名诈骗受害者，并与 FBI、澳大利亚新南威尔士州警察部队及加拿大反诈骗中心共享情报，进一步识别 32 名海外受害者。

PANews援引The Block报道，新加坡警察部队表示，在与加密交易所的联合行动中成功阻止1740万美元诈骗损失。警方利用区块链分析及Coinbase、OKX等平台的客户数据识别超过383名受害者；与FBI、新南威尔士州警察部队和加拿大反欺诈中心共享的情报还帮助识别32名外国受害者。

Alpine Linux 安全公告披露，部分配置下的 OpenSSH 服务器存在密码认证绕过漏洞，攻击者可用超长密码登录未设密码的账户，CZ 提醒用户应用修复。受影响条件为启用密码认证、使用不启用 PAM 的配置，且机器同时存在无密码账户和使用特定密码哈希的本地账户；攻击者需知道账户名并提交 257 至 1024 字节的密码。Alpine 已提供修复包，建议更新 OpenSSH 后重启 sshd，暂无法更新者可关闭密码认证并重启服务。

据Bitquery研究报告，自10月中旬起，同一团伙盗取多名iPhone用户的430个钱包，合计约416万美元。该团伙通过一个共同手续费钱包，在TRON上从365个钱包盗走至少406万枚USDT，并在以太坊、BNB Chain等八条链上清空另外65个钱包，损失超10.3万美元。报告称无证据表明Trust Wallet等应用本身有漏洞，主要风险是iPhone上的黑客工具（如DarkSword）窃取助记词，建议及时更新iOS，勿将助记词存于手机照片或备忘录。

据 Bitquery 调查，10 月 5 日至 11 月 4 日，43 个与同一手续费钱包存在资金关联的收集地址从 365 个 TRON 钱包转走至少约 406 万美元 USDT。Bitquery 称其将已报道的一笔 iPhone 钱包失窃案例与链上交易金额和时间匹配，并以钱包余额被清空等特征追踪其他地址；因链上记录无法显示受害者所用手机或钱包应用，不能确认所有损失均由 iPhone 漏洞或 DarkSword 造成。

Chainalysis 发布安全事件更新称，周一发现所有用户的姓名、用户名、密码哈希和活跃 Token 暴露给恶意行为者。调查期间该公司移除了对 Reactor 和 Data Solutions 的访问，发现异常活动后还将 KYT（用户界面和 API）、其他地址筛查产品及登录页面下线，并通知 KYT 账户疑似被未经授权访问的客户。公司计划于明日开始恢复 KYT 和地址筛查访问，要求用户重置密码和轮换 API 密钥，并称目前无证据表明调查数据被访问或归因数据被操纵。

区块链分析公司 Chainalysis 确认，本次安全事件中包括姓名、用户名、密码哈希和有效令牌在内的部分客户信息暴露给一名恶意行为者。官方发现异常活动后下线了 KYT 及地址筛选产品，称目前无证据表明调查数据被访问或归属数据被篡改，计划从明天起恢复相关访问，并将授权用户重置密码、轮换 API 密钥。

Chainalysis 于周三更新事件通报，称周一发现包括姓名、用户名、密码哈希和所有用户的有效令牌（live tokens）在内的客户信息被暴露给恶意行为者，较其10月30日仅涉及用户ID、姓名和邮箱且无凭证被访问的初步说法范围扩大。公司另一次更新称一次路径上攻击（on-path attack）暴露了部分客户密码，已遏制并修复该攻击路径，正锁定受影响账户并要求重置密码。Chainalysis 表示仍无证据显示调查数据被访问或归因数据被篡改，未说明每类信息是否对所有用户暴露。

链上交易执行平台 Definitive 增长负责人 Carlos 于北京时间 01:37 披露，其一个旧热钱包遭清空，事件约发生在 10 分钟前。他怀疑这是一场由 noble.base.eth 发起的大规模攻击，并猜测可能与 Railway 漏洞有关。

Binance 热钱包基础设施上周遭攻击，据 TRM Labs 统计被盗约 63.6 亿美元，其中大部分在约 20 分钟内被转走。此后多家交易所公布冷存储比例：Gate 推出 Proof of Security 框架，称 88.26% 资产在冷存储，数据尚待第三方审计；Coinbase 称超过 99% 客户资产离线保管；Upbit 称截至 2026 年 9 月冷钱包比例 99.17%，已向韩国金融监督院披露。Binance CEO Richard Teng 称绝大多数用户资产在冷钱包，但未给出具体比例。文章指出各所用统计时点和资产基数不同，比例未必可直接比较，冷存储也无法消除签名系统被入侵或员工批准欺诈交易等风险。

PANews 11月6日消息，Definitive增长负责人Carlos在X平台称其一个旧热钱包于今日凌晨被盗，他推测攻击由noble.base.eth发起，可能与Railway漏洞有关。他表示转账由自己的私钥签署，说明私钥或助记词被盗，检查的受害者钱包均有相同模式；主网上从UTC 16:11起的约70分钟内共96个钱包被清空，其他链也受影响但尚未深入分析。他提到攻击者首选RelayProtocol出金，一个月内经RelayDepository两次批量提款超11万美元稳定币；供资地址持有Base域名noble.base.eth，在Base上有350多笔交易。

BitMart创办人Sheldon Xia确认交易所在11月3日遭安全入侵，称涉及金额有限并已展开调查，但未公布最终损失。Bitquery链上追踪发现Base、Arbitrum和Optimism等网络上与BitMart相关的钱包异常转账约39.1万美元，部分资金流向与Mercado Bitcoin攻击事件有关的地址，两起事件可能存在关联但尚不能认定同一攻击者。Mercado Bitcoin于11月2日在10条链上流出约4860万美元，以太坊上36,042个用户入金地址余额被转移。文章指出BitMart正处于重整期，2021年12月曾发生约3.195亿美元损失的安全事件，安全团队人手不足，用户资产需在按比例分配、Restitution Token和Continuum Token三种初步方案中选择，仍待法院审批。

Web3 开发者 brucexu.eth 披露，其今年 1 月遭遇虚假招聘钓鱼，在使用 Cursor 打开对方提供的项目目录后设备感染木马，最终未出现资产损失。他表示攻击者通过招聘流程提供代码仓库，他原以为只查看、不运行代码便安全；慢雾创始人余弦分析样本后提醒，打开项目目录也可能触发恶意代码。确认感染后，他转移资产、轮换凭证并重装系统。

BNB Chain 于 11 月 6 日披露，团队注意到影响 Reth 客户端的安全风险，称 opBNB 未使用 op-reth，该风险对 BSC-Reth 的影响有限。团队正开发热修复程序并密切监控情况，表示开发者和用户目前无需采取行动。

据Crypto.news报道，Reth客户端存在一个正确性漏洞，影响包括OP Stack网络在内的多条EVM链，可能导致节点计算出错误的状态根，目前尚未发现漏洞利用或资金损失。BNB Chain在X平台称，opBNB并未使用op-reth，对BSC-Reth的影响有限，团队正在开发热修复程序并监控情况，开发者或用户暂无需采取任何行动。

据 Web3 开发者 brucexu.eth 披露，其今年 1 月遭遇虚假招聘钓鱼，在使用 Cursor 打开对方提供的项目目录后设备感染木马，最终未出现资产损失。攻击者通过招聘流程提供代码仓库，他原以为只查看不运行代码便安全；慢雾创始人余弦分析样本后提醒，打开项目目录也可能触发恶意代码。确认感染后他转移资产、轮换凭证并重装系统。

Chainalysis 在官方博客披露，全体用户的姓名、用户名、密码哈希及有效登录令牌暴露给攻击者，公司于本月2日得知暴露情况。此前10月30日初报称仅泄露用户ID、姓名、邮箱等非敏感客户数据，4日修正了影响范围，并表示未发现调查数据访问或归属数据被篡改的证据。公司已停止 Reactor、Data Solutions、KYT 及地址筛查产品，并计划于美东时间5日起恢复 KYT，要求客户登记许可IP、重设密码并更新API密钥。

币安发布安全事件恢复进展更新#9，宣布将于北京时间11月6日12:00起陆续开放一批资产的提现服务，涵盖BSC、Base、以太坊、Optimism、Polygon、Arbitrum等网络，包括USDE、PENDLE、ZRO、XRP、CAKE等。币安称提现将在完成安全检查后分批逐步恢复，并非所有资产同时开放，充值业务保持正常；恢复顺序优先根据过去一周的用户需求安排，其他资产将在具备条件后陆续加入，期间部分用户可能遇到暂时性延迟。

据红星新闻报道，清华毕业生施某某在英国伦敦大学学院（UCL）留学期间遭遇电诈，持续近45天，最终被诱导购买数字币并转入指定账户，其家人也被骗转钱。施某某称，刚抵英时他接到显示为“大使馆”的诈骗电话，遭“网警”三小时信息轰炸，后被所谓“国际刑警”误导为协助调查洗钱案，遭受24小时视频监控和精神洗醒。回国后他发现失联期间骗子用其信用卡购买了机票，并提醒公众警惕骗子利用时间差和信息差设套。

据新加坡《联合早报》报道，针对币安约63亿美元资产被盗事件，新加坡金融管理局表示，一般民众不适合从事加密货币交易，不应与不受监管的公司交易。金管局指出，币安并未获准在新加坡提供受监管的金融服务，2021年9月已被列入投资者警惕名单，本地平台Binance.sg虽于2022年停运，但无法阻止新加坡投资者使用Binance.com。发言人还表示，持牌数字付款代币服务商须设立严格管控机制管理技术与网络风险并保障客户资产，但即便持牌，监管措施也无法完全防止消费者因加密货币本质上的高风险而承担亏损。

据多位安全研究员及加密行业KOL披露，针对iOS 18的漏洞利用工具包DarkSword正威胁加密用户资产安全，攻击者通过受感染网站利用Safari触发漏洞，无需连接钱包或签名授权即可窃取密码、文件及钱包私钥、助记词。安全研究人员统计称已发现至少18个恶意网站，涉及20多个受影响钱包，累计损失约557万美元。币安创始人CZ提醒用户及时更新iOS系统，称钱包软件无法代替用户更新操作系统，自我托管需自行承担安全责任。

据多位安全研究员和KOL警告，iOS漏洞利用工具包DarkSword利用iOS 18底层缺陷，用户通过Safari打开受感染网站后恶意代码即可在后台运行，无需连接钱包或签名授权，可窃取密码、文件及加密钱包私钥和助记词。目前已发现至少18个恶意网站，受害者损失达557万美元，涉及20多个钱包。赵长鹏提醒用户及时更新iOS系统，称自我托管意味着自我负责。

MetaMask 于11月5日在官网公布9月安全事件后续：攻击者经存放收款地址的基础设施非法访问，临时改写以太坊质押奖励的收款地址，约0.385 ETH（执行层奖励）流出，当日发现并处理。公司称本金与出金钥匙未被侵害的迹象，钱包用户无需行动。受影响验证者已全部退出，Lido 上退出已于10月7日前完成的预期下，部分客户因预防性退出出现临时出金延迟，退出 ETH 回到协议最长约需45天。

币安称已移除所有与SignalPlus关联的API密钥，其自身系统未受影响、用户资金安全无虞，并建议曾使用SignalPlus的用户登录核对持仓与未成交订单，在SignalPlus确认问题彻底解决前暂勿重新绑定API密钥。Loopscale称过去一周遭持续攻击、API每天收到超3万次恶意请求，已暂停协议活动，针对SOL和USDC的Genesis Vault受影响金库已完成资金补足，用户存款无损失。Zilliqa宣布将转型为面向受监管机构的以太坊Layer 2，ZIL代币继续保留。

ChainCatcher 援引比特币核心开发者 Fields 的设想：原持有人可在量子攻击成为现实前，创建包含隐藏所有权证明的量子安全地雷。窃取 1 枚 BTC 的攻击者需从量子安全钱包额外提供 1 枚 BTC 作抵押，两笔资金锁定约 30 天等待期；若窃贼试图转走脆弱币，持有人可在等待期内披露证明取回 BTC，并没收窃贼的抵押品作为惩罚。窃贼投入资金前无法判断哪些地址设有陷阱。