64亿美元币安被盗案复盘：一条假 Homebrew 广告引发的供应链攻击
zetalyrae · x · 2026-11-14
Workbrew 博客复盘号称史上最大加密货币盗窃案（损失 63.4 亿美元）的攻击时间线：攻击者通过购买搜索广告投放被篡改的 Homebrew 安装包，诱导钱包 DevOps 工程师中招，并借该安装包部署了流行的 AI 编码工具。
- 2026 年 6 月：工程师 A 中招后，安全团队按规程换机并轮换全部凭据，看似止损成功，但攻击者已获得该工程师及其钱包团队成员的姓名与职位信息。
- 2026 年 9 月：攻击者利用这些「无辜」信息对其他工程师展开社会工程攻击——工程师 B 被伪造的招聘流程诱导，攻击者在正规平台上的真实资料增强了可信度。
核心教训：连员工职位这类不起眼的信息都可能成为攻击跳板；企业应提供官方认可的软件安装路径，让开发者不必自行搜索下载。作者借此论证：广告拦截如今是比杀毒软件更有效的安全措施。
「安全」频道最新
- 微软研究员仅改 7 个神经元即可给 AI Agent 埋下定时后门 — DimitrisPapail · 2026-11-14
- 前 OpenAI 安全副总裁：AI 行业毫无最低安全标准且吹哨人无保护 — Miles_Brundage · 2026-11-14
- 曝 Nvidia 前 CEO 隐瞒恋情误导法务，真问题指向出口管制 — 0xkarasy · 2026-11-14
- Robert Wiblin 呼吁前沿 AI 实验室员工不要「悄悄躺平」 — trevposts · 2026-11-14
- 抹层凡士林就能骗过机器人:五款前沿模型危险动作率飙至97% — 量子位 · 2026-11-14
- Uber 通报用户个人信息泄露，事件源于服务商遭入侵 — rakyll · 2026-11-14