我對關於幣安攻擊的事件感到好奇，尤其是透過公司內部AI工具進行的攻擊究竟是怎樣的攻擊，這似乎非常重要，也能為他人提供參考。 關於透過公司內部AI工具進行的攻擊以及應如何防範，目前社會上似乎並未廣泛分享這類資訊。
我剛醒來時想到一個新的安全模型，可以防止類似其他交易所洩露的事件，因此記錄下來作為備忘。 目前先與 AI 一起驗證這個想法，如果沒問題的話，或許會再向部分人士諮詢。
BTCPay Server 安全警示
幣安已開始逐步恢復提現，我推測他們可能認為內部安全性已得到保障，且資產不會再被盜取；但至今仍未公布攻擊的詳細情況、原因以及現有的安全防護措施。
Binance 發布了安全事件更新 #3，但主要涉及退款等內容，未說明攻擊方式。
如果交易所資金外流，只要用戶資金獲得全額賠償，就沒問題了嗎？ 從幣安盜走的資金，可能轉化為朝鮮的導彈。因此，這次約1兆日圓（約63億美元）的資金外流，與毫無持有任何加密資產的人也息息相關。 美國聯邦調查局（FBI）已斷定此次事件為朝鮮所為。日美韓政府早已指出，加密資產竊取是朝鮮核與導彈開發的資金來源。 即使幣安全額賠償，用戶資產得以保障，但出錢賠償的是幣安本身。朝鮮盜走的資金，僅憑此並不會減少一分一毫。 根據幣安公告，截至10月30日，僅凍結了約一半的外流資金。另一方面，FBI已確認攻擊者將盜取的資產轉換為以太坊（ETH），並要求相關平台停止相關交易。 我們不僅要追蹤「賠償了用戶多少資金」，更要追蹤「在朝鮮使用前阻止了多少資金」以及「實際追回了多少資金」。對日本而言，這是一場安全問題。
Binance 是否實現了類似 Fireblocks 的政策引擎呢？ 目前看來似乎沒有，但並無任何證據。
Google 的託管服務 個人來說，這簡直是強勁的順風，高興到不行
在 Rust 的加密運算套件 crypto-bigint 中，已報告存在可導致計時攻擊（側通道攻擊）的弱點（RUSTSEC-2026-0387）。 此問題不僅僅是「更新即可解決」，由於 Alloy 等主要 Web3/EVM 堆疊均直接依賴此套件，因此已造成實際影響。為釐清狀況並提醒注意，現分享如下： 1. 弱點概要 目標套件：crypto-bigint（大整數固定大小運算函式庫） 問題點：在減法、蒙哥馬利乘法等內部運算中，因編譯器最佳化等因素導致條件分支產生，進而使執行時間出現依賴輸入資料的差異。 風險：攻擊者可透過精確測量毫秒/微秒級的執行時間，推測或還原私鑰等機密資訊（計時攻擊）。 2. 為何目前「無法立即升級」？ crypto-bigint 本身已釋出修復版本（v0.7.6），但因上游套件的相依關係阻礙，導致無法直接升級。 廣泛用於 EVM/以太坊生態的 Alloy，依賴加密套件 k256 v0.13。 然而，目前 k256 v0.13 尚未跟進升級至 crypto-bigint v0.7.6（或仍在等待發佈）。 因此，僅執行 cargo update 無法解決問題，由於相依關係鎖定，舊版本仍會持續保留。 3. 後續應對與檢查步驟 影響可見化：請先執行 cargo tree -i crypto-bigint 或 cargo audit，確認您的專案是透過哪些路徑（如 alloy -> k256 等）引入此相依關係。 監控上游更新：密切關注 k256 及 Alloy 對應的升級 PR（修補版本發佈）。 考慮工作區方案：若急需先行應對，可透過 Cargo.toml 的 [patch.crates-io] 強制替換相依關係進行驗證。 預計 Rust/Web3 生態系統的修復將存在一定程度的延遲。請使用相關堆疊的使用者務必追蹤相依樹的變化。 ▼ RustSec 建議公告 https://t.co/FJSYIOHwtH #Rust #RustLang #Web3 #Alloy #Ethereum #Security #暗號技術