一个朝鲜精英黑客组织从币安（Binance）窃走63亿美元，这起被专家称为史上最大加密货币盗窃案的攻击，正重新引发外界对该行业一项长期弱点的审视：黑客或许只需攻破一名员工，就能进入内部系统；而各家平台参差不齐的安全实践，又可能让这一立足点演变为巨额资金流失。
据币安初步调查，盗窃发生在10月29日，经过数月策划和准备，实际转移过程在几分钟内完成。
从一名员工到一座金库
网络安全专家表示，这起攻击提出的问题不止于交易所如何保护员工免遭高级社会工程攻击，还在于其内部管控是否足以限制攻击者在某台电脑或某组凭证失守之后能够做什么。
标普全球旗下区块链安全公司OpenZeppelin首席技术官乔纳森·亚历山大说，社会工程攻击在业内是众所周知的威胁，更大的问题在于，交易所为何没有更强的内部防护和“断路器”，来阻止攻破工程师电脑的攻击者——币安遇到的正是这种情况——进一步扩大权限并转移资产。
亚历山大认为，行业内网络安全做法各不相同，这使问题更加复杂；同时，一些加密货币拥趸长期抵触他们眼中与区块链去中心化理念相悖的管控，有时把交易金额上限、对支出模式的自动审查视为侵犯固有隐私权。
他说，这种看法让部分人误以为断路器、更严格的账户管控不可接受，或与避免审查的需求绝对冲突。“在我看来，你完全可以既拥有安全控制，又拥有针对这些问题的保护。”
223亿美元损失与高度可见的目标
据区块链情报公司Chainalysis统计，自2021年以来，一系列重大加密货币黑客事件已造成超过223亿美元资金被盗，币安案是最新一起。损失规模加剧了一场争论：交易所是否需要更统一的标准来规范访问权限、交易控制和其他防御措施。
亚历山大预计，围绕网络安全预期以及对投资者保护和信任的要求，行业将会看到更明确的规则和标准化，“这些事情说明了为什么必须改变”。
加密货币交易所之所以格外具有吸引力，是因为黑客能够锁定持有巨额可快速转移数字资产的钱包，某些情况下还能找到有权访问控制这些系统的员工。这使得工程师和IT人员成为精心设计的社会工程行动的首要目标。
区块链和数字资产安全公司Project Eleven首席执行官亚历克斯·普鲁登表示，防御方面临根本性劣势，因为攻击者只需要成功一次。“这是一个极其困难的问题，”他说，“我们迄今为止积累的网络安全最佳实践，根本不足以应对我们所处世界面临的威胁。”他还说，业内的网络安全人员“生活在一个持续作战的世界里，我们一直处于被攻击状态”。
普鲁登预计，币安失窃案将推动网络安全投入增加，包括围绕内部AI工具和智能体的防护——这些工具一旦被攻破，本身也可能扩大攻击者的能力。“我们才处在这一进程的开端，但正如币安黑客事件所显示的，这些工具可能非常迅速地反过来对付你，而且损害一旦造成就很难挽回。”
10月30日，币安事件发生后，加密货币交易所已开始加强防御并扩大信息共享。
拼凑式监管与不均衡防御
专家指出的安全实践不均衡，与美国碎片化的监管体系相互映照。与银行不同，美国加密货币交易所并不在统一的联邦网络安全制度下运营，具体要求因公司运营地点和所持州牌照而异。
纽约州的规定属于全行业最严之列。该州金融服务局要求持牌公司维持网络安全项目、使用多因素认证，并指定一名首席信息安全官。在其他地区，加密公司可能主要受州汇款机构规则约束。这类制度通常要求公司向监管机构提供网络安全项目的信息并接受检查，但往往不规定加密标准等具体技术控制措施。
许多交易所并不在美国运营，也不受上述州级监管制度约束，尽管它们可能在开展业务的地点遵循另一套要求。相比之下，银行须遵守涵盖风险评估、监控和事件响应等领域的联邦要求，规模最大的机构还要接受专职监管者的持续检查。