Binance 遭竊約 64.3 億美元：假面試與遭竄改的 Homebrew 安裝程式
原始來源： The Hacker News · 2026/11/03
Binance 公布約 64.3 億美元資產遭竊的調查進展，指事件為多階段行動，而非單一釣魚。2026 年 6 月一名錢包維運工程師為安裝 AI 開發工具而下載遭竄改的 Homebrew 安裝程式；9 月另一名工程師遭假求職面試誘騙，在工作電腦執行含惡意程式的作業。攻擊者後續濫用內部 AI 工具與容器部署權杖，於 10 月 29 日觸發未授權交易。建議強化開發端點、套件來源與招聘社交工程防護。
重點先看
Binance 約 64.3 億美元遭竊來自假面試與遭竄改 Homebrew 安裝程式的多階段入侵。請強化開發端點、套件來源驗證與對外部招聘作業的控管。
發生了什麼
The Hacker News 於 2026/11/03 整理 Binance 說明指出，約 64.3 億美元資產遭竊並非單一漏洞或簡單釣魚，而是結合假求職面試、惡意軟體下載、內部 AI 工具遭濫用、端點失陷與進階交易授權手法的多階段行動。美國相關單位稍早將事件與北韓相關威脅活動聯結；本文以 Binance 自行公布的攻擊路徑為主。 第一個切入點可回溯至 2026/6：錢包維運團隊的工程師 A 在搜尋引擎查找熱門 AI 開發工具後，下載並執行遭竄改的 Homebrew 安裝程式。Binance 表示當時已偵測並輪換相關憑證，但工程師 A 的角色及其錢包基礎設施同事資訊已暴露給攻擊者。 第二階段發生於 2026/9：攻擊者以專案總監身分，透過合法求職平臺接觸工程師 B，安排與人資視訊面試，再與自稱不存在公司執行長的對象進行第二輪（改在常見聊天應用）。接近結束時，工程師 B 被要求在工作電腦下載含惡意程式碼的作業儲存庫；安裝過程即執行惡意邏輯，並以混淆、替換開發工具元件等方式建立對外部伺服器的通訊，同時清理鑑識痕跡。
如何走到未授權交易
2026/10/20，攻擊者利用工程師 B 已失陷的電腦，並濫用內部 AI 工具，進一步控制工程師 A 與另一名錢包軟體工程師 C 的環境。攻擊者發現工程師 A 電腦上的容器部署權杖後，於 10/29 約 17:15 至 19:56（Binance 公布時段）登入工程師 C 的電腦，使用自工程師 A 取得的憑證部署容器並觸發惡意腳本，最終透過未授權存取內部錢包簽署服務，在正常提款流程之外發起交易。 Binance 表示已在新環境重建受影響錢包系統與內部 AI 工具及存取控制，更換受影響設備、廢止相關憑證與權杖，並完成全員裝置加強掃描；同時與執法與鏈上分析夥伴追蹤、凍結資產。公司亦提到今年以來已擋下數十起疑似相關國家背景的威脅嘗試。
建議立即處置
金融與數位資產相關單位可對照強化： 1. 禁止在工作電腦執行來路不明的面試作業或開發測試包；外部招聘相關檔案僅能在隔離環境開啟。 2. 套件與安裝程式必須走核准來源與完整性驗證，避免經搜尋結果下載 Homebrew 或其他安裝器。 3. 高權限部署權杖、錢包簽署與容器編排權限採硬體或分段控管，並對異常部署與簽署行為做即時阻擋。 4. 端點啟用行為偵測，關注開發工具元件被替換、異常外連與痕跡清除。 5. 對可接觸錢包、金鑰或生產部署的人員強化招聘社交工程演練與通報管道。
為什麼重要
這起事件顯示：開發者筆電、開源安裝路徑與看起來像正常招聘的社交工程，足以串成影響交易核心的路徑。即使早期入侵曾被發現並輪換憑證，暴露的組織資訊仍可能被後續階段利用。金額規模創新高，但手法對任何握有高權限開發或維運人員的組織都有參考價值。 建議以 DevaEye MDR 託管防護監看端點與異常部署，並以 DevaEye 軟體安全檢測檢視開發工具與套件供應鏈；同時搭配 Netskope 限制高風險下載，以及 Illumio 限制失陷端點的橫向移動。
Cloudforce 可以協助哪些？
面對假面試、惡意開發工具與高權限部署遭濫用，建議以偵測應變為核心並搭配供應鏈與網路控管： 1. DevaEye MDR 託管防護：7×24 監看端點異常、開發工具遭替換、可疑外連與異常部署／橫向行為，並在確認事件後執行隔離與追蹤。 2. DevaEye 軟體安全檢測：盤點開發工具、安裝來源與開源相依風險，降低遭竄改套件進入工作站的機會。 3. Netskope：控管雲端與下載行為，限制未核准安裝來源與高風險檔案傳輸。 4. Illumio（降低勒索橫向擴散）：即使目標不是勒索，微分割同樣可限制失陷開發端點觸及生產部署與簽署環境。 5. Trellix：強化端點與郵件／檔案威脅防護，協助攔截惡意作業包與落地執行。
常見問題
這是單一釣魚事件嗎？
不是。Binance 描述為多階段行動，包含 6 月遭竄改的 Homebrew 安裝、9 月假面試惡意作業，以及後續濫用內部 AI 工具與容器部署權杖。
Homebrew 安裝程式扮演什麼角色？
工程師為安裝熱門 AI 開發工具，經搜尋下載到遭竄改的 Homebrew 安裝程式，成為早期失陷點，並使錢包團隊相關資訊暴露。
假面試如何成功？
攻擊者經合法求職平臺建立信任，安排多輪面試並展示社群內容營造真實感，最後要求在工作電腦下載並執行含惡意程式的作業儲存庫。
企業開發人員應遵守什麼？
外部招聘作業只在隔離環境執行；套件與安裝程式僅用核准來源；高權限權杖與生產部署不得長期放在一般開發電腦。
DevaEye MDR 能如何協助？
可監看端點與部署異常、研判是否與社交工程後的惡意程式有關，並在事件確認後協助隔離、清除與追蹤，縮短從失陷到交易或資料受損的時間。