# 币安 63 亿美元失窃：攻击者用内部 AI 工具摸到了同事的电脑

**Summary:** The Register 报道，币安 63 亿美元失窃案的攻击者先用假面试感染一台工作电脑，再借内部 AI 工具进入两名同事的机器，最后用偷来的部署 Token 触发盗窃脚本。报道没说清那个 AI 工具究竟怎么被利用；我认为该把工具的访问范围和部署权限分开审。

- Canonical: https://markhuang.ai/zh/news/binance-internal-ai-lateral-access
- Language: zh-CN
- Author: [Mark Huang](https://markhuang.ai/about)
- Published: 2026-11-04
- Section: News
- Tags: 币安, AI 安全, 社会工程, 部署凭证
- Source: [The Register](https://www.theregister.com/security/2026/11/03/north-korean-fake-job-interview-led-to-63b-binance-heist/5307398)
- License: https://creativecommons.org/licenses/by-nc/4.0/

---

![一条深红色线缆从一只没有署名的面试信封里伸出，绕过合上的笔记本电脑，穿过玻璃隔断，缠上一把黄铜钥匙](https://cdn.markhuang.ai/news/binance-internal-ai-lateral-access/hero.webp)

*概念插图：真正要问的安全问题是，第一台电脑被攻破之后，访问权限还能往哪走。由 imagegen 生成。*

据 [The Register 11 月 3 日的报道](https://www.theregister.com/security/2026/11/03/north-korean-fake-job-interview-led-to-63b-binance-heist/5307398)，币安这起 63 亿美元失窃案的开头是一场假面试：攻击者借面试感染了一名工程师的工作电脑。这次新披露的攻击路径里还多了一个环节：内部 AI 工具。按报道转述的币安调查结论，攻击者靠那台电脑和这个工具，在 10 月 29 日作案之前进了两名同事的机器。

把 AI 接进内部系统，最让我担心的就是后半段。面试作业里的陌生代码别跑在工作电脑上，这建议本身没错；真正难回答的是：这台工作站凭什么能变成通往另一名工程师部署凭证的路？第一次被攻破之后，攻击者还能走多远，这才是我关心的地方。

如果你正在给公司挑内部 AI 助手，或者自己在搭一个，评估时都该把这一条算进去。先问它帮员工做成什么事，再反过来问：员工的账号或设备落到攻击者手里，他能顺着这个助手摸到什么？币安的这条路径让问题变得具体了，尽管那个 AI 工具究竟怎么被利用，报道里并没有讲透。

## 一份面试作业，让「跑一下代码」变得稀松平常

按报道的说法，接触从 9 月开始，对方走的是一个正规招聘平台，一名自称项目总监的人安排了面试。视频通话里，一位假冒 HR 亮出带私人照片和视频的社交账号，先博取信任；后来一位面试官又冒充公司 CEO，请这名工程师下载一份作业，作业里塞着一个恶意代码仓库。

报道说，代码在安装过程中就已经在这台工作电脑上跑了起来。恶意程序替换了某个开发工具的合法组件，机器上装的币安安全软件当时也没有立刻发现。作业之所以看起来像面试里的正常一环，是因为攻击者事先花了功夫让自己显得可信。

日常装软件时也该拿同样的尺子量一遍。SANS Internet Storm Center 的另一份调查里，Brad Duncan 记录了一个冒充 Homebrew 的恶意广告：它把用户引向一段会投放恶意程序的脚本。那份调查说明不了币安这次遇到的是哪种恶意程序，但它演示了同一种手法，把危险指令藏进一个再熟悉不过的安装步骤里。

## 攻击路线借同事的电脑继续延伸

The Register 给出的时间线里，10 月 20 日这天最让我在意。攻击者用那台已经沦陷的电脑和内部 AI 工具，拿到了两台机器的访问权：一台属于钱包 DevOps 工程师（报道里称工程师 A），另一台属于另一位钱包开发者（工程师 C）。工程师 A 的机器上放着一个 Token，拿着它就能授权部署容器——打包好的软件运行环境。

到了 10 月 29 日，攻击者进入工程师 C 的电脑，用从工程师 A 那里偷来的凭证部署了一个容器，触发盗窃脚本。对几台电脑的访问权，加上一份偷来的部署权限，两样凑齐，盗窃才成。

```mermaid
flowchart TD
    Interview[假冒面试作业] --> Laptop[代码在工作电脑上运行]
    Laptop --> Tool[10 月 20 日：动用内部 AI 工具]
    Tool --> EngineerA[进入工程师 A 的电脑]
    Tool --> EngineerC[进入工程师 C 的电脑]
    EngineerA --> Token[部署 Token 被窃]
    EngineerC --> Deploy[10 月 29 日：从工程师 C 的电脑发起部署]
    Token --> Deploy
    Deploy --> Theft[脚本触发加密货币盗窃]
```

这张图是根据 The Register 转述的币安调查整理的简化路线，不是对漏洞利用的还原。部署 Token 相当于一张往线上系统推软件的许可证。这次失窃能成，关键在于攻击者跨过几台电脑之后，还能拿这份权限做出什么。

## AI 那一环，别过度解读

报道没有说那个 AI 工具是什么模型，没有确认攻击是否用到提示注入，也没有讲清通过它取得的访问到底经哪套授权流程批准。所以我们手上只有一条跨机器的路线，细节还不足以指认某种具体的 AI 攻击手法。

[Hacker News 的讨论](https://news.ycombinator.com/item?id=50365755)里，好几个人在批评「在工作电脑上跑面试作业」这个决定。我同意。可复盘不能停在这儿，还得解释攻击者为什么能离开第一台机器。

部署凭证本身也得单独查一遍。我会把工具的访问范围和部署权限拆开审，再看两者是怎么串起来的。工具修没修好，要单独拿证据说话；谁能部署软件这条限制也一样。两件事不能混成一笔账。

## 一台沦陷的工作站，能批出多少权限

团队准备引入内部 AI 工具时，我会先做一次具体的推演：假设攻击者已经控制了一台员工笔记本。先看这个工具从这台笔记本出发能碰到哪些设备和服务；再看敏感操作要的授权，能不能只靠这台笔记本就拿到。

部署权限那边，也是同样几个问题。改线上软件的权限握在谁手里？有人把它复制走之后能干什么？报道的细节不够，没法断定哪一项措施一定能拦下这次失窃。但跟厂商聊的时候，这些问题比一句「我们的助手是安全的」有用得多。

据 The Register 的报道，币安表示已经重建了被攻破的钱包系统和内部 AI 工具，更换了受影响的设备，作废了分配给涉事工程师的凭证和 Token。剩下要问的是：如果下一次沦陷的是另一名员工的电脑，这套重建后的系统会怎么表现。

这也延续了我此前在[那篇讲智能体沙箱的文章](https://markhuang.ai/news/harness-engineering-101-sandbox-homework)里的观点：通往某个操作的每一条路径，都得落在权限边界之内。放到这次事件里看，我想看到的验证很具体：攻击者控制了一台工作站，却借这个工具碰不到同事的凭证，也就拿不到部署权限。