幣安遭駭凸顯加密貨幣交易所的資安漏洞

重新刊載通知

本文最初由 Reuters 於2026/11/11刊出，標題為「幣安遭駭揭露加密貨幣對抗駭客的艱難戰役」。 

11/11（Reuters）— 北韓一個精銳駭客組織從幣安竊取63億美元，再次讓外界關注加密貨幣產業長期存在的弱點：駭客可能只需攻陷一名員工，就能侵入系統；而不一致的安全措施，可能讓他們利用這個立足點發動大規模竊盜。

根據幣安的初步調查，這起發生於10/29的竊案，經專家形容是史上規模最大的加密貨幣竊盜案；事件在經過數月的規劃與準備後，短短幾分鐘內便告發生。

資安專家表示，這起攻擊不僅引發外界質疑交易所如何保護員工免受複雜社交工程攻擊，也讓人關注交易所是否具備足夠的內部控管措施，以限制攻擊者在員工電腦或憑證遭到入侵後能採取的行動。

摘要

• 美國加密貨幣交易所面臨零散的州級資安規範，而非統一標準
• 專家表示，錢包容易被看見、管理員身分也可被辨認，使交易所成為格外有利可圖的攻擊目標
• Chainalysis 數據顯示，自 2021 年以來，加密貨幣平台遭竊金額超過223億美元

區塊鏈安全服務商 OpenZeppelin（隸屬 S&P Global）的技術長 Jonathan Alexander 表示，社交工程是業界早已熟知的威脅。他指出，更大的問題在於，為何交易所沒有更強大的內部防護措施與熔斷機制，防止攻擊者在攻陷工程師的電腦後——如同幣安事件中的情況——進一步擴大存取權限並轉移資產。

Alexander 表示，業界資安措施不一，讓這個問題更加嚴重；此外，部分加密貨幣倡議者長期排斥他們認為不符合區塊鏈去中心化精神的控管措施，而這種觀點有時會將交易金額上限及支出模式自動審查等措施，視為侵犯固有隱私權。

Alexander 表示：「我認為這種想法讓一些人錯誤地以為，熔斷機制或對帳戶加強控管之類的措施是不可接受的，或會完全違背避免審查的需求。依我之見，安全控管措施與防護是可以並存的。」

根據區塊鏈情報公司 Chainalysis 的資料，幣安遭駭是自 2021 年以來一連串重大加密貨幣駭客攻擊中的最新一起，遭竊資金總額已超過223億美元。損失規模之大，加劇了外界對交易所是否需要採用更一致的存取權限、交易控管及其他防禦措施標準的辯論。

Alexander 表示：「我確實預期，資安方面的要求將更加明確並趨於標準化，並希望能制定保障投資人權益與信任的相關要求。這些事件說明了為何必須有所改變。」

高度曝光、極具吸引力的攻擊目標

加密貨幣交易所格外容易成為誘人的攻擊目標，因為駭客可以辨識出持有大量、可輕易轉移數位資產的錢包；在某些情況下，也能找出有權存取相關控制系統的員工。

這使工程師與 IT 人員成為複雜社交工程行動的主要攻擊目標。

區塊鏈與數位資產安全公司 Project Eleven 執行長 Alex Pruden 表示，防禦者面臨根本上的劣勢，因為攻擊者只需要成功一次。

Pruden 表示：「這是個極其棘手的問題。到目前為止，我們在資安領域採用的最佳做法，根本不足以應對我們所處世界中的威脅。」

他補充說，業界資安工作者「生活在永無止境的戰場上。我們一直遭受攻擊。」

Pruden 預期，幣安失竊事件將促使業界加大資安投資，包括強化內部 AI 工具與代理程式的防護；若這些工具遭到入侵，本身也可能擴大攻擊者的能力。

「這個故事才剛剛開始，但我認為幣安遭駭已經顯示，這些工具可能很快就會被用來對付你；一旦造成損害，要補救也可能非常困難。」

Reuters 10/30報導，幣安遭駭後，加密貨幣交易所已開始加強防禦並增加資訊分享。

監管零散，防禦不一

專家指出，資安措施不一的情況，也反映在美國支離破碎的監管體系中。

與銀行不同，美國加密貨幣交易所並未受到單一聯邦資安制度的規範。相反地，相關要求會因企業營運地點及持有的州級牌照而異。

紐約州制定了業界一些最嚴格的要求。該州金融服務部要求持牌公司維持資安計畫、使用多重要素驗證，並指定一名資訊安全長。

在其他地方，加密貨幣公司可能主要受到州級資金移轉規範約束。這些制度通常要求公司向監管機關提供資安計畫相關資訊並接受檢查，但往往不會規定特定的技術控管措施，例如加密標準。

許多交易所並未在美國營運，因此不受這些州級監管制度約束；不過，它們在其他營運地區仍可能須遵守各自的規定。

相較之下，銀行須遵守涵蓋風險評估、監控及事件應變等領域的聯邦規定，而規模最大的金融機構還須接受專責監管人員持續檢查。

資料來源

• Reuters — 幣安遭駭揭露加密貨幣對抗駭客的艱難戰役，2026/11/11