幣安事故影響資產達63.4億美元　法國銀行揭露未授權轉帳

幣安（Binance）資安事故影響資產總額為63.4億美元（約8兆4,600億韓元）。法國銀行 Crédit Mutuel Arkéa 也遭外部服務供應商平台上的攻擊，發生未授權匯款，但客戶資產未受影響。

幣安表示，攻擊於10月30日凌晨4時05分（台灣時間）開始。公司在11月3日公布的初步調查結果中指出，攻擊者未經授權進入內部錢包簽署服務，並在正常提款程序之外執行交易。

幣安公布的調查內容提到，攻擊者透過虛假求職面試、安裝惡意軟體及入侵內部AI工具，取得錢包營運權限。公司也說明員工裝置和內部權限遭入侵的經過。

63.4億美元是事故影響資產的規模，不是最終損失金額。幣安表示，截至10月31日，已補足受影響代幣資產的98%，之後並宣布完成補足事故影響資產。補足資產不代表已從攻擊者手中追回。

Crédit Mutuel Arkéa在11月4日公布的問答中表示，攻擊者利用銀行自有帳戶，而非客戶帳戶，向其他金融機構匯款。銀行也指出，資金之後可能在專業平台上轉換為加密貨幣。

銀行先前表示，攻擊是透過外部服務供應商平台發動，旗下子公司 Fortuneo 並非攻擊途徑。客戶資產未受影響，但部分轉帳處理延遲。

銀行沒有確認問答中提到的1.18億歐元，僅承認受害金額約在相應規模。銀行表示，部分資金已遭攔截，其餘仍在追回中。

美國司法部於11月12日表示，透過政府與民間合作，已凍結超過27億美元（約3兆6,000億韓元），其中超過12億美元（約1兆6,000億韓元）已獲法院批准可予以扣押或限制處分。這些金額並非已完成返還的款項。由於幣安的凍結及攔截金額，其統計時點與計算主體不同，且可能部分重疊，因此不能相加。

兩起事件的攻擊途徑不同。幣安公開了內部錢包簽署權限及員工裝置遭入侵的經過，Crédit Mutuel Arkéa則指出外部服務供應商平台是攻擊入口。僅根據兩家機構的說明，沒有證據可認定兩起事件的技術攻擊手法相同。

歐盟《數位營運韌性法》（DORA）規範金融機構的資訊與通訊科技風險管理、事故通報，以及外部服務供應商風險管理。該法自2025年1月起適用。

歐洲央行（ECB）在7月致金融機構執行長的信中警告，AI模型可能縮短尋找軟體漏洞及製作可運作攻擊程式碼所需的時間。這項警告指出，AI模型可能被用於針對金融機構的攻擊，屬於一般性風險。

歐洲央行也將修補漏洞、提升攻擊偵測能力、管理外部服務供應商及汰換老舊技術列為課題。這些監管與監督措施要求金融機構同時管理內部系統和外部連線途徑。

歐洲系統性風險委員會（ESRB）警告，先進AI模型在短期及中期可能加快攻擊者搜尋漏洞和發動攻擊的速度；長期來看，也可能提升防禦能力。

利用AI發動攻擊，與由AI代理人代替客戶付款，是兩種不同情況。桑坦德銀行（Santander）和萬事達卡（Mastercard）表示，兩家公司3月進行了測試，讓AI代理人在預先設定的權限與額度內付款；這項測試並未以商用服務形式推出。

幣安所稱的內部AI工具遭入侵，是攻擊者取得錢包營運權限過程的一部分。兩家公司進行的付款測試，並未出現在兩起事故的相關說明中。