如果您认为没有您的签字，任何转账都不可能离开公司账户，那么币安被黑事件正是今天就检验这一判断的好理由。2026年10月29日晚间，约63亿美元通过未经授权的提款流出了全球最大的加密货币交易所币安的钱包，其中大部分在大约20分钟内完成。该交易所的联席首席执行官表示，部分操作没有经过常规的审批控制。对您的企业来说，教训与加密货币无关：列出每一条能够转出资金或更改收款人账户的路径，并让每一条都必须经过两个人、两台设备，并留下无人能够删除的日志。

币安发生了什么：用数字说话

根据币安于10月30日发布的第二份官方更新，其热钱包，也就是连接互联网、用于处理客户提款的钱包，在协调世界时20:05左右遭到入侵，损失约63亿美元。交易所暂停了提款，宣布在合作伙伴协助下已在链上冻结约30亿美元，并拨出超过63.4亿美元的自有资金弥补损失，其中50亿美元持有的正是被盗的同种代币，约占总额的80%。其目标是在该更新发布后约34小时内分阶段恢复提款，并在11月2日前发布储备金证明报告。

TRM Labs对区块链数据的分析补充了重要细节：资金经10个网络流出；准备工作至少在盗窃前36小时就已开始；攻击者在使用前先在另一个钱包上演练了工具，并预先准备了50个已签名授权，以确保执行时至少有一个有效。TRM估计总额为63.6亿美元，约为2025年2月Bybit被盗15亿美元的四倍。TRM和Elliptic将此次攻击归于与朝鲜有关的TraderTraitor组织，但Elliptic指出，目前尚无任何政府确认这一归属。

币安对事件经过的说法

初步调查指向一名DevOps工程师被入侵的笔记本电脑，攻击者借此进入一个服务容器并提交了未经授权的提款交易。随后交易所表示，后续调查又发现了其他入侵点，并且没有发现其钱包私钥泄露的证据。联席首席执行官表示，这次攻击并非一人所为，攻击者使用了一种自毁机制，在行动过程中销毁工具和痕迹，而在以太坊上使用的委托授权没有经过币安的常规审批控制。

简单地说，攻击者并没有撬开金库，而是让币安自己的系统为这些转账签了名。TRM的评估认为，最可能的解释是攻击者获得了一种能力，可以让签名系统在大约半小时内，跨越不同网络、使用不同密钥，为攻击者选定的交易签名。

为什么这与一家不持有任何加密货币的公司有关

因为每家公司都在运行这种签名系统的缩小版：企业网银门户，会计从财务系统导出再上传到银行的付款文件，修改供应商银行信息的界面，支付网关里的退款权限，每月的工资文件。作为老板，您看到的是正式审批路径，先申请，再经理，再财务；但攻击者寻找的是旁路：一个自动上传文件的系统账户，一个能修改IBAN的IT管理员，或者外部服务商处一个能执行转账的集成密钥。

还有两条教训。第一是速度：大部分资金在大约20分钟内流出，没有哪个员工能靠手工跟上这种速度，所以保护必须依靠能自动生效的限额和警报。第二是准备：攻击者提前36小时做好准备并测试了工具，这意味着对有人值守的公司来说，早期迹象是存在的。我们曾写过工作电脑上的一个免费直播网站如何把公司密码交给攻击者，而掌握权限的人所用的设备，是公司里最有价值的目标。

本周要在公司里检查什么

  • 画出资金流出的所有路径：写下每一个能够发起转账、审批转账、更改收款人账户或办理退款的人和系统，包括系统账户、集成密钥和外部服务商。
  • 每笔转账两个人、两台设备：录入转账的人不负责审批，审批在另一台设备上完成。这就是基本网络安全控制中的职责分离原则：完成一项任务需要不止一个人，且每个人的权限不同。把它与规定谁签什么的审批矩阵结合起来。
  • 限额和即时警报：请银行设置每日转账限额，并在每笔大额转账以及每次新增或修改收款人时，向老板的手机发送即时提醒。
  • 管理员权限按需分配：为每一次远程登录和每一个特权账户开启多因素认证，定期复核拥有这些权限的人员名单，并删除离职员工和已结束合作的服务商的账户。
  • 攻击者无法删除的日志：币安的攻击者在行动中抹掉了痕迹。为特权账户和远程访问开启事件日志，在系统之外保存一份副本，并按照控制要求至少保留12个月。
  • 最初几分钟的应对计划：确定由谁致电银行止付、由谁停用可疑账户、紧急联系电话放在哪里。在币安事件中，Tether在最大一笔转出后37分钟冻结了攻击者的主收款钱包，正是这种速度挽回了很大一部分资金。

沙特的控制要求怎么说？

沙特国家网络安全局（NCA）发布的基本网络安全控制ECC-2:2024，对政府机构及其附属实体，以及拥有、运营或托管关键国家基础设施的私营部门实体具有强制性，NCA也强烈鼓励王国内所有其他实体加以采用。这些控制与币安事件的教训直接对应：远程访问和特权账户的多因素认证（2-2-3-2），按需知悉、最小权限和职责分离原则（2-2-3-3），特权访问管理（2-2-3-4），定期复核身份和访问权限（2-2-3-5），以及为特权账户和远程访问开启事件日志、持续监控并至少保留12个月（2-12-3）。

Origami的看法

我们把币安被黑看作一堂关于审批路径的课，而不是关于加密货币的课。大多数公司只为正式路径设计审批，却忘了旁路：上传付款文件的系统账户、能修改IBAN的用户、拥有执行权限的集成密钥。这些旁路正是攻击者首先寻找的地方。

当我们为客户定制涉及资金的系统时，例如采购周期系统或供应商付款门户，我们建议从第一天起就把审批纳入设计：录入和审批由两个不同的人负责，设定金额限额，并记录收款人数据的每一次修改。如果您需要的是现成的会计系统而不是定制系统，可以看看Fahim。

结论

想从有记录以来最大的加密货币盗窃案中吸取教训，您并不需要一个加密钱包。本周和会计及IT负责人一起抽出两个小时：写下资金可能流出的每一条路径，把录入和审批分到两台设备上，请银行设置限额和警报，复核谁拥有管理员权限，并把日志保存在系统管理者够不到的地方。如果您希望我们帮您检查系统中的审批路径，请联系我们或了解我们的服务。

资料来源