美國聯邦調查局（FBI）10/31（美國時間）發布聲明，指北韓應為全球最大加密貨幣交易所幣安（Binance）逾 60 億美元虛擬資產遭竊一事負責，並將這批進行惡意網路活動的北韓駭客稱為「TraderTraitor」。幣安估計事件影響約 63 億美元。《BleepingComputer》指出，這是有紀錄以來最大的加密貨幣竊案。根據區塊鏈分析業者 TRM Labs 統計，攻擊從 10/29 UTC 20:05（台灣時間 10/30 清晨 4:05）開始，大部分資金約 20 分鐘內就被移出。
比規模更值得關注的是破口。幣安表示，目前沒有發現錢包私鑰外洩的證據。另一家區塊鏈分析業者 Elliptic 則拿此案和去年 2 月約 15 億美元的 Bybit 竊案相比。據《The Hacker News》，Elliptic 指出：「在這兩起事件中，遭到入侵的是錢包周邊的基礎設施與人員，而非密碼學本身。」在未見私鑰外洩的情況下，數十億美元是怎麼被轉走的？被轉走的資金，又能追回多少？
幣安稱破口可能始於工程師筆電，攻擊者如何讓系統替自己簽章轉帳？
在幣安 10/30 的官方公告中，初步調查顯示，事件可能涉及一名 DevOps 工程師的筆電遭入侵，讓攻擊者得以存取服務容器（service container），並提交未經授權的提領交易。共同執行長鄧偉政（Richard Teng）隨後在 X 上補充，攻擊者「並非僅利用一名工程師的權限」，這也不是單一的「一鍵式」操作，而是更複雜的攻擊流程，調查也未將責任歸咎於任何個人。幣安 10/31 的更新公告指出，後續調查又發現其他遭入侵之處。
幣安尚未公布根本原因，外界對手法的了解，多來自鏈上交易紀錄。TRM 分析指出，攻擊者至少在竊案前 36 小時就開始準備：操作錢包先收到 3 筆來自 Tornado Cash 的小額提領，攻擊用的程式也先演練過，才裝到幣安的熱錢包（hot wallet）上。
在以太坊上，攻擊者利用 EIP-7702 機制（一般錢包只要簽署一份授權，就能把行為控制權交給智慧合約），送出一筆包含 50 筆預先簽好授權的交易。3 分 24 秒後，幣安的以太坊熱錢包被清空，單筆交易轉走 167,464 枚以太幣與 63 種代幣。
TRM 的判斷依據是，幣安在比特幣、XRP 等其他鏈上的錢包，使用的區塊鏈、金鑰類型與簽章方式各不相同，卻也在約半小時內被簽出有效交易。TRM 因此研判，幣安的熱錢包簽章基礎設施遭到入侵，攻擊者取得了讓簽章系統替自己簽下任意交易的能力。香港律師 Joshua Chu 向《Reuters》比喻，攻擊者可能並未竊取金庫的鑰匙，而是劫持了指示金庫放款的系統。
為什麼又是工程師的電腦？北韓長期假冒招募人員鎖定開發者
幣安尚未說明該筆電如何遭入侵，但從 TraderTraitor 過去的手法可以看出，開發者是其長期鎖定的目標之一。《BleepingComputer》指出，TraderTraitor 駭客長期以加密貨幣公司及其員工為攻擊目標。常見手法之一是名為「Operation DreamJob」的行動：假冒招募人員，以虛假的工作機會接觸軟體開發者與加密貨幣業者員工，誘使對方安裝惡意程式。
過去至少兩起大案，也是從能接觸加密貨幣基礎設施的員工或開發者電腦下手。2024 年 5 月約 3.08 億美元的 DMM Bitcoin 竊案，駭客在 LinkedIn 上冒充招募人員，誘騙錢包業者 Ginco 的員工執行偽裝成錄取前測驗的惡意程式；Bybit 案則始於錢包平台 Safe{Wallet} 一名開發者的電腦遭入侵，駭客藉此竄改一筆合法的交易請求，把資金轉進自己控制的錢包。
程式自動洗錢、近半贓款遭凍結，剩下的還追得回來嗎？
FBI 與美國特勤局（USSS）、國稅局刑事調查處（IRS-CI）觀察到，攻擊者把贓款主要換成以太幣，並預期接下來會透過去中心化金融（DeFi）與即時兌換服務進一步洗錢。TRM 則記錄到，約 3.25 億 USDT 以折價逾 10% 的價格賣給做市商換成以太幣；比特幣也被以「剝離鏈」（peel chain）手法分批拆小轉出，讓資金更難被追蹤。
Elliptic 進一步指出，這次洗錢幾乎可以確定是由程式驅動：Tron 上的主要分發錢包連續 31 小時每小時撥款，最長只停過 46 分鐘，沒有夜間休息；跨鏈橋拒收存款時，資金也會自動改從新錢包重送到同一目的地。相較之下，Bybit 案的洗錢仍依循人類作息。據《The Hacker News》，Elliptic 也曾以洗錢速度與手法和過去不同、根本原因未明為由，呼籲歸咎北韓應審慎。
FBI 也公布攻擊者用來洗錢的地址，呼籲 THORNode 營運者、DeFi 服務、區塊鏈分析公司等虛擬資產服務商，封鎖與這些地址往來或衍生自這些地址的交易。根據《Reuters》，Tether、Circle 等穩定幣發行商已凍結約一半贓款；幣安稱鏈上已凍結約 30 億美元，TRM 至 10/30、Elliptic 至 10/31 的統計則分別約 27 億、28.5 億美元。
但凍結不等於歸還。《Reuters》指出，被凍結的幣不代表會還給幣安；TRM 則估計約 24 億美元的比特幣與以太幣已無法觸及。新加坡區塊鏈情報公司 ChainArgos 總法律顧問 Patrick Tan 表示，由於沒有中心化機構發行比特幣或以太幣，也就沒有人能凍結這些資產。
損失方面，幣安表示將動用用戶資產保障基金（SAFU）、部分期貨保險基金與公司資金承擔，並在 11/1 的公告中表示已補足約 95% 受影響的金額。不過《CNBC》提醒，補足資產不等於已從攻擊者手中追回資金。幣安承諾在調查完成後發布詳細的技術事後報告；《NPR》指出，研究人員認為現在判斷幣安的資安系統是否存在重大缺陷，仍屬言之過早。
【推薦閱讀】
◆ 一名駭客靠 AI 代理攻破 100 多家企業網站，研究員估每次成功入侵約 50 美元
＊本文開放合作夥伴轉載，資料來源：FBI、Binance、鄧偉政（X）、TRM Labs、Elliptic、《BleepingComputer》、《The Hacker News》、《Reuters》、《CNBC》、《NPR》，首圖來源：Unsplash
