币安被黑始于工作笔记本上的一场假面试：63.4亿美元损失，以及保护公司设备的 6 条规则

如果您的员工在工作电脑上找工作或试用新软件，那正是加密货币史上最大盗窃案所走的路。2026年11月3日，币安发布了初步调查结果：10月29日波及约63.4亿美元的攻击，始于针对一名工程师的两场假面试，最后以他下载到工作笔记本上的一份编程测试告终。给您公司的实际启示是：工作设备上不放外部招聘方的文件，不装已批准清单以外的软件，不给超出岗位需要的权限。我们在10月31日写过谁能在未经您签字的情况下转走公司的钱；这篇文章讲的是攻击者进来的那扇门。

事情是怎样一步步发生的？

根据币安对初步调查的说明，攻击经历了四个阶段：

• 2026年6月：钱包团队的一名工程师在寻找 AI 编程工具时，下载了一个被篡改、带有恶意软件的 Homebrew 安装程序。安全团队发现后更换了设备并重置了他的凭据，但有关他和团队同事的信息已经泄露。
• 2026年9月：一名自称项目总监的人通过求职平台联系了第二名工程师，并安排了两轮面试：先是与一名所谓人力资源代表的视频通话，然后是与一名自称虚构公司首席执行官的人面谈。在第二轮面试中，他被要求把一份编程作业下载到工作电脑上；恶意代码在安装过程中运行，终端防护工具没有发现。
• 2026年10月20日：攻击者利用被攻陷的电脑和币安内部的一个 AI 工具，控制了另外两名工程师的电脑。
• 2026年10月29日：在协调世界时 17:15 至 19:56 之间，攻击者用从第一名工程师那里窃取的凭据登录第三名工程师的电脑，部署了一个容器并触发恶意脚本；随后在 20:05 至 20:09 之间从热钱包转出资金。

币安表示，约28.5亿美元已被冻结或拦截；截至10月31日已补足98%的受影响资产；2026年内共发现并阻止了57起疑似与朝鲜有关的威胁事件。换句话说，这家交易所挡住了几十次尝试，却栽在了一次上。

假面试为什么能得手？

因为它看起来完全不像钓鱼邮件。员工并没有点击陌生发件人的可疑链接，而是走进了一个看似真实的招聘流程：知名平台、视频面试、一位为建立信任而分享个人账号内容的人力资源代表，然后是一位首席执行官。下载并运行项目本来就是开发者测试的常见环节，所以这个要求并不显眼。

这种手法并不新鲜。TechCrunch 提到，CrowdStrike 的一份报告把去年美国科技公司约一半的入侵归于冒充远程 IT 人员或招聘人员的朝鲜人。目标不只是加密货币交易所，而是任何能接触系统或资金的人。

第二个漏洞：从搜索结果下载的软件

故事并不是从面试开始的。三个月前，另一名工程师在寻找 AI 工具时安装了被篡改的软件。这种事在很多公司每天都在发生：员工听说一个新工具，搜索一下，点开第一个结果，然后用管理员权限安装。更重要的教训是：币安更换了设备、修改了密码，但已经泄露的团队信息仍在攻击者手中，并在几个月后被派上用场。

本周为员工设备落实的 6 条规则

• 工作设备上不放外部招聘文件：第三方发来的任何测试、项目或文件，都在一台无法访问公司系统的独立电脑上打开。这与 TechTarget 引述的专家建议一致：让面试代码远离任何接近生产环境的电脑。
• 只用已批准清单中的软件：收回员工的本地管理员权限，安装一律经由 IT 负责人、从厂商官网进行，而不是点搜索结果里的广告。
• 最小权限：能转账或修改敏感系统的人，应使用专用账号和专用设备操作，而不是用他平时上网、试用工具的那台电脑。
• 内部 AI 工具权限要收紧：在币安，内部 AI 工具成了设备之间的桥梁。任何能接触员工设备或公司系统的工具，都需要严格限定的权限，以及记录其所有操作的日志。
• 发现入侵不等于事件结束：设备被攻陷后，不能只是换一台了事。要假定其中的内容已经泄露，重置与它及其团队相关的所有密码、密钥和令牌，并监控同事的账号。
• 培训团队识别招聘钓鱼：一份诱人的工作邀请如果要求下载文件或运行代码，就是危险信号；用工作设备找工作会让整个公司暴露在风险中。如果您远程招聘，在授予任何访问权限前先核实候选人身份。

基本网络安全控制怎么说？

沙特国家网络安全局（NCA）的基本网络安全控制 ECC-2:2024 对政府机构以及拥有、运营或托管关键国家基础设施的实体具有强制性，NCA 也强烈鼓励其他所有实体加以利用。其中三项直接对应这起事件：

• 控制项 1-10-3：安全意识计划涵盖电子邮件与钓鱼的安全处理、安全上网以及社交媒体的安全使用。
• 控制项 2-2-3-3：按照知所必需与用所必需原则、最小权限原则和职责分离原则进行授权。
• 控制项 2-3-3-1：使用现代技术保护工作站和服务器，防范病毒、可疑程序和恶意软件。

Origami 的观点

我们在沙特企业中看到的正是击倒币安的同一种模式：员工用同一台设备工作、上网、找机会、试用每一个新工具，而且为了方便拥有完整的管理员权限。如果员工会亲手运行那个文件，攻击者根本不需要什么高深的漏洞。

解决办法不是禁止员工学习或试用 AI 工具，而是让他们在一个接触不到资金和数据的环境里试。我们为客户构建系统时，从一开始就把日常账号和特权账号分开，并记录对特权账号的每一次访问。

结论

一起63.4亿美元的入侵，起点不是服务器漏洞，而是一场面试和一个从搜索中下载的应用。本周请和您的 IT 负责人抽出一小时：收回员工的本地管理员权限，写下已批准软件清单，把拥有敏感权限的设备分开，并告诉团队任何来自招聘方的文件都不在工作设备上打开。如果您希望审查系统中的权限，请联系我们或了解我们的服务。

来源

• Binance — Security incident investigation update，2026年11月3日：6月、9月、10月20日和10月29日的时间线，两轮面试，被冻结和补足的金额，以及 57 起威胁事件。
• 国家网络安全局（NCA）— Essential Cybersecurity Controls ECC-2:2024：适用范围以及控制项 1-10-3、2-2-3-3 和 2-3-3-1。
• TechCrunch — Researchers warned of North Korean hacking tactics years before record $6.3B Binance heist，2026年11月3日：CrowdStrike 的数据和此前的警告。
• TechTarget — Binance details recruiter impersonation behind $6.3B wallet breach，2026年11月3日：专家关于开发者设备的建议。
• Nextgov/FCW — Binance says fake job interview helped North Korean hackers steal $6.3 billion，2026年11月：美国联邦调查局将攻击归于朝鲜。