郭茂仁：從幣安資安事件，看虛擬資產監理的下一課：營運人員風險
作者：數位資產發展研究中心（DADRC）副執行長郭茂仁。本文為作者投書，觀點不代表鏈新聞立場。
金融機構為了保護客戶資產，在冷熱錢包分離、私鑰管理和多方安全計算（MPC）上投入大量資源，就是為了確保數位資產不會在未經授權的情況下被移轉。
但幣安這次的事件提醒市場，風險不一定從金庫開始，真正的破口往往還是人。銀行推動理專十誡多年也是同樣的道理，制度能建立防線，卻無法完全消除人性的弱點。
廣告 - 內文未完請往下捲動
10 月 29 日，幣安熱錢包在數小時內流出約 63 億美元。依幣安的初步調查報告，目前沒有發現私鑰外洩的證據，攻擊者是透過假招募、面試程式測驗和遭竄改的開發工具，誘使工程師在工作電腦上執行惡意程式。取得內部系統權限後，再利用部署憑證繞過正常提領流程，直接對錢包簽章系統下指令。美國聯邦調查局（FBI）已將此案歸咎於北韓。
紐西蘭資安顧問 Zanarc 在提供給監理機關的建議中點出關鍵：MPC 可以保護私鑰，卻不會替系統判斷一筆交易該不該簽。攻擊者只要取得指揮簽章系統的權限，即使私鑰沒有外洩，設計完善的錢包安全機制仍可能被繞過。
這也代表虛擬資產業者要管的不只是資產保管風險（Asset Safeguarding），營運人員風險（Operational Personnel Risk）也必須納入核心管理。
台灣監理已向前跨出一步
金管會於 11 月 3 日預告《虛擬資產服務法》八項授權法規命令草案，涵蓋業者設置、負責人及業務人員資格、業務管理、內部控制與稽核、業務委外、帳戶與異常交易管理、財務報告，以及同業公會相關規範。
其中負責人與業務人員管理規則草案，已將管理範圍延伸到內部稽核、法令遵循、風險管理、主辦會計及資通系統管理等職務，要求相關人員完成專業課程並考試及格，到職後參加職前訓練，之後每兩年接受在職訓練。草案也明定董事會對經理人的選任與監督責任，以及業務人員的忠實義務和行為規範。
這是台灣虛擬資產監理的重要進展。從幣安事件來看，下一步是把人員資格管理落實為可以查核、測試和驗證的營運安全管理。
監理機關不能只確認業者有沒有內控制度、資安政策或教育訓練紀錄，還應要求業者實際展示：當員工電腦遭到接管、部署憑證外洩，或簽章系統收到異常指令時，公司能不能及時發現、阻止攻擊並控制損失。
銀行業在這方面已累積不少內控與資訊安全管理經驗，值得新加入的 VASP 業者參考，尤其是不讓技術人員只從開發便利出發，自行決定系統權限和操作方式。過去銀行多把核心系統放在自有機房，現在大量採用公有雲，系統隨時隨地都能登入，身分驗證、權限管理和遠端存取反而成了新的資安挑戰。
我認為 VASP 業者至少應從以下六個方向建立管理機制，而且每一項都要拿得出證據。
強化營運管理的六件事
第一，降低高權限人員被鎖定的風險
業務人員和高階主管因工作需要，經常得對外曝光、經營個人品牌。錢包工程師、金鑰管理人、系統維運和資安人員則應適用不同的資訊揭露規範，例如在公開社群上不揭露精確職稱、負責系統或內部架構。
攻擊者往往先摸清公司的組織關係和人員背景，再針對特定對象設計劇本。業者除了降低敏感資訊曝光，也應訓練員工辨識假職缺、假面試和可疑的技術測驗，並留意是否有人冒用公司名義招募。監理查核時可檢視訓練教材、參訓紀錄，以及員工曾通報的可疑接觸案例。
第二，公司設備和個人設備一定要分開
公司電腦只用於公司業務，並透過網路與設備管理政策控管使用範圍。個人 Email、求職、面試，或測試外部提供的開發工具，都應使用個人設備。
技術面試若要求下載或執行程式碼，本身就是警訊。不能因為是求職或面試，就讓外部程式有機會進入公司的工作環境。
第三，建立軟體白名單，並持續盤點
不能只靠傳統防毒軟體。這次事件中，攻擊者先後透過遭竄改的開發工具安裝程式，以及假面試作業裡的惡意程式碼入侵工程師電腦，其中一次沒有被防護機制即時攔下。
業者應限制未經核准的程式執行，定期盤點員工電腦上的軟體、開發套件和版本，並在測試環境實際示範未核准程式會被擋下。FBI 早在 2024 年就建議，持有大量加密貨幣的業者連上公司網路的設備，除了白名單程式之外一律禁止下載或執行檔案。
內部 AI 工具也不能忽略。業者應建立工具清單，掌握每項工具的存取權限和活動紀錄，並測試工具一旦遭接管，攻擊者能碰到哪些系統。幣安事件中，內部 AI 工具就成了攻擊者控制其他工程師電腦的管道。
一台電腦出事，也不能換掉就結案。業者還要檢查該名員工能接觸的同事、系統和權限，確認攻擊者是否已經擴大滲透。
第四，正式環境的部署權限必須獨立管理
開發、測試和正式環境應分開管理，部署憑證不放在工程師日常使用的電腦上，並採用短效憑證、多因素驗證和第二人核准。
同一個人不能既能修改系統，又能自行核准並部署到正式環境。核准者和執行者應分開，所有變更都要留下可追溯的紀錄。
業者也應導入特權帳號管理（PAM），集中管理能接觸錢包、雲端平台和核心系統的高權限帳號，控管權限並記錄操作。監理機關可要求業者提出系統架構圖、PAM 管理方式和實際變更紀錄，確認權限分工有落實在系統設定裡，而不只寫在制度文件上。
第五，簽章系統必須獨立檢查每一筆交易
指令來自公司內部，不代表它就合法。不論請求來自正常提領流程還是系統部署程序，簽章系統都應獨立檢查目的地址、轉帳限額，以及是否涉及禁止的交易類型。
EIP-7702 這類會在鏈上留下持續性授權的操作尤其要納入限制和監控，避免一次授權就讓攻擊者持續控制資產。
熱錢包的資產規模也要和業者的風險承受能力對應。不能只考慮日常交易的便利，卻沒評估事故發生時公司能承受多大的損失。
第六，不只檢查文件，還要做情境演練
業者必須建立鏈上監控，不能只看內部系統紀錄。攻擊者在以太坊上用預先簽好的 EIP-7702 授權，短時間內就把熱錢包資產轉走。撤銷授權只能擋住之後的轉帳，已經上鏈的轉帳追不回來，可見事後暫停提領不等於阻斷攻擊。
監理機關應要求業者定期演練，情境至少包括員工電腦遭接管、部分 MPC 簽章節點無法使用、交易已簽署但尚未上鏈，以及撤銷常駐授權並將剩餘資產移到安全位置。
事故後的應變能力同樣重要。業者應事先建立與穩定幣發行人、其他交易所、區塊鏈分析公司和執法機關的聯絡管道，並把 FBI 公布的攻擊地址納入交易檢核，讓資金追蹤和凍結可以及早啟動。
監理機關如何查核
上述六件事，不代表監理人員必須自己看懂每一段程式碼。一般監理人員可以先從問題出發，要求業者提供制度文件、權限設定、測試結果和過去的事故處理紀錄，涉及系統架構、存取權限或簽章機制的技術細節，再請內部或外聘專家協助評估。
申請業者應先在安全的測試環境展示相關控管，通過後再正式營運。已持牌業者則應定期更新佐證，針對缺失指定負責人和改善期限。佐證不足或測試未通過時，應進一步做針對性的技術檢視，必要時在現有法定職權內考慮暫時性限制。
錢包、資產保管或簽章服務即使委外，責任也不會一併外包。VASP 仍須取得供應商的控管佐證，並在契約中寫明資安事件的通報、應變、調查和責任分工。
台灣的虛擬資產法制才剛起步，市場談得多的是冷錢包比例、私鑰保管和資本額。比較少人問的是幾個更基本的問題：誰有權限接觸錢包，誰可以修改簽章規則，誰能下達轉帳指令，這些權限被濫用時系統能不能馬上停下來。
幣安這次的攻擊，起點是一封看似正常的面試邀請。保護金庫之外，能接觸金庫的人、他們用的系統和手上的權限，都要一起管。就算有人拿到了鑰匙，系統也不該讓他順利把錢帶走。
資料來源
- Binance（2026），29 October Binance Security Incident: Initial Findings and Response Update，2026 年 11 月 3 日；另見 Security Incident Update（2026-10-30）
- FBI（2026），North Korea Responsible for $6 Billion+ Binance Attack，2026 年 10 月 31 日
- Zanarc Limited（2026），Binance Security Incident and Supervisory Checks: Preliminary Advisory for VASP Regulators，2026 年 11 月 4 日；公開說明見 How AI-assisted malware could target digital asset signers and platforms
- 金融監督管理委員會（2026），《虛擬資產服務法》授權法規命令草案預告，2026 年 11 月 3 日，預告期 40 日；草案全文見公共政策網路參與平臺
- Fireblocks（2026），Disrupting a Recruiting Impersonation Scam: Anatomy of Operation Contagious Interview，2026 年 1 月 22 日
- FBI（2024），North Korea Aggressively Targeting Crypto Industry with Well-Disguised Social Engineering Attacks，2024 年 9 月 3 日
- NIST（2022），Secure Software Development Framework (SSDF) Version 1.1, SP 800-218，PO.5.1、PO.5.2
- Buterin, V. et al.（2024），EIP-7702: Set Code for EOAs
- SOCRadar（2026），Binance Hack: Inside the $6.3B Hot Wallet Theft，2026 年 11 月 5 日更新
風險提示
加密貨幣投資具有高度風險，其價格可能波動劇烈，您可能損失全部本金。請謹慎評估風險。
