全球最大的加密貨幣交易所幣安，上周被黑客一口氣捲走了63.4億美元（約420億人民幣）。就在11月3日，幣安公布了調查報告，其中的一些細節，簡直匪夷所思。
黑客竟然是靠一場假面試，撬開了系統的大門。這個局，黑客從今年6月就開始準備了。
根據幣安給出的報告，當時，幣安錢包團隊的工程師A，想安裝一款熱門AI編程工具，上網一搜，下到的卻是被動過手腳的安裝包。
知情人士透露，黑客把帶病毒的版本塞進了搜索廣告，排得比正版還靠前。
安全團隊當時就就發現了異常，給他換了電腦、重置了密鑰。可還是晚了一步，工程師A和錢包團隊同事的身份，已經被黑客摸得一清二楚。
到了9月，黑客又盯上了另一名工程師B。工程師B當時在正規求職平台上掛著簡歷，寫明自己在幣安上班，很快就有個自稱項目總監的人找上門，約他面試。
第一輪是視頻面試，「HR」還主動把社交賬號發給他，裏面有生活照、有視頻，看著跟真人沒兩樣。第二輪換到聊天軟體上，面試官自稱CEO。
可問題是，這家公司完全就是編造出來的。
面試快結束時，對方甩來一份「編程作業」代碼包，要求B下載到工作電腦上，B照做了。
這個代碼包里藏著全新的惡意程序，一安裝就自動運行，把電腦里正版的開發工具偷偷換成黑客的版本，後台連上黑客伺服器，順手擦掉痕迹。
幣安公司裝的終端安全軟體，愣是一點沒察覺。
10月20日，黑客藉著B的電腦，又拿幣安內部的一款AI工具當跳板，在內網裡肆意橫行，拿下了A和另一名工程師C的電腦。
北京時間10月30日凌晨1點多，黑客登上C的電腦，用A的令牌部署容器、跑惡意腳本，摸到了錢包簽名服務的許可權，正常的提現流程就這麼被繞開了。
凌晨4點05分，正式動手。短短4分鐘，5個熱錢包里的2.3346億枚XRP被轉走，接著是約97萬枚SOL、4420萬枚OP，還有18270枚比特幣。
幣安緊急暫停提現、凍結代幣。結果呢？錢還在嘩嘩地往外轉。
原來黑客早就鑽了空子，根本不走幣安的提現系統，關掉提現也攔不住。
更麻煩的是，幣安的錢包為了安全，沒有一把能單獨開鎖的鑰匙，想把這道後門關上，團隊只能臨時現想辦法。
一直拖到早上7點56分，最後一筆2961.9枚以太坊才到賬，前後將近4個小時。
最終，幣安凍結或攔截了約28.5億美元，剩下的損失全部由平台自己扛。截至10月31日，98%的被盜代幣已經補齊。
幣安在報告里罕見認錯，說這事「本不應該發生」，還要請第三方安全公司獨立審查。
幣安說，光今年就攔下了57起疑似同類黑客的攻擊。網路安全公司DTEX研究員邁克爾·巴恩哈特（Michael Barnhart）表示，用假招聘釣企業員工，早就不是什麼新鮮手段。
報告一出，評論區炸開了鍋，矛頭幾乎全指向幣安。
網友A：手握60億美金許可權的人，拿公司電腦去面試？就不會用自己的私人電腦嗎？
網友B：管著百億資金的錢包運維，下個AI工具都能中毒，還背著公司跑面試，把來歷不明的作業往工作機里塞，妥妥的草台班子。
網友C：正規公司的辦公電腦根本裝不了第三方程序，一般都要過AI掃描、多人審核和簽名，簽名還得用物理密鑰。幣安這個安全水平真的一言難盡，但凡有一步做好點都能攔下來。
這麼大的交易所居然會犯如此低級的錯誤，確實是有些離譜。幣安表示，已重建受影響的錢包系統和內部AI工具、撤銷相關憑證，接下來還將邀請獨立安全機構審查。
*以上內容系網友風平浪靜自行轉載自加西周末，該文僅代表原作者觀點和態度。yeeyi號系信息發布平台，僅提供信息存儲空間服務，不代表贊同其觀點和對其真實性負責。如果對文章或圖片/視頻版權有異議，請郵件至我們反饋，平台將會及時處理。