币安MPC钱包被盗事件：密钥未泄，资产为何仍被转走？
TREE NEWS 报道， 币安热钱包近期遭遇安全事件，攻击者成功转走资产，但MPC（多方计算）技术并未泄露私钥。调查显示，攻击链的核心在于员工端失陷、内网横向移动、凭证窃取，最终导致签名入口被滥用。这一事件再次引发对MPC钱包安全边界的讨论。
攻击路径剖析
MPC钱包通过将密钥分片分散给多个参与方，消除了私钥单点泄露的风险。然而，币安案例表明，如果攻击者能够冒充授权签名者或控制发起签名请求的机器，密码学层面的安全网便形同虚设。攻击者从员工终端入手，逐步渗透内网，窃取凭证，最终滥用签名权限。这暴露了一个关键缺口：MPC保护了密钥，却未能保护授权交易的人机接口。
纵深防御势在必行
业内分析人士强调，仅靠MPC远远不够。稳健的托管架构必须包含：
- 最小权限与职责分离：任何员工都不应同时拥有发起和批准权限。
- 可复现构建与TEE验证：确保签名软件在可信执行环境中运行，且二进制文件可独立验证。
- 策略引擎与独立签名校验：交易策略必须在签名路径之外强制执行，并在广播前进行独立验证。
- 紧急停止机制：系统需内置冻结签名、撤销链上授权以及离线恢复的能力。
对机构托管的启示
此次事件为依赖MPC的交易所、托管机构和DeFi协议敲响了警钟。随着机构采用加速，攻击者将越来越多地瞄准运营层而非密码学原语。未来安全托管的方向在于纵深防御：将MPC与硬件隔离、严格访问控制和持续监控相结合。监管机构也可能不仅关注密钥管理，还将审视运营韧性。
展望未来
币安尚未披露事件全貌，但教训显而易见：安全是一条链，MPC只是其中一环。下一代钱包基础设施需要将签名授权视为高风险操作，要求多重独立保障。在此之前，理论密码学安全与实际运营安全之间的鸿沟，仍是行业最危险的漏洞。
