币安回应安全质疑：何一承认管理漏洞并欢迎AI安全人才加入

币安共同创办人暨共同执行长何一于台北时间 11 月 4 日晚间发文，公开接受外界对币安「安全和权限管理」的批评与建议，并说明用户资金、攻击成因与后续杜绝三件事怎么处理。

币安共同创办人暨共同执行长何一（Yi He）于台北时间 11 月 4 日约 20 时 06 分在 X 发文，直接回应外界对币安安全和权限管理的批评与建议。她写道，币安并非完美企业，但仍在持续进化，并把外界批评视为对币安的期望与标准。

这则贴文紧接在 10 月 29 日热钱包事件、以及 11 月 3 日币安初步调查报告之后。初报指约 63.4 亿美元数位资产受影响，约 28.5 亿美元已冻结或拦截，受影响代币回填约 98%，财务缺口由币安承担。何一这次不重讲骇案过程，而是把焦点放在「批评怎么接」与「以后怎么防」。

何一把回应拆成三个问题

何一说，作为交易平台，币安眼前要先讲清楚三件事。第一，用户的钱会不会受影响？她强调币安会完全承担责任，并把这件事写成契约精神与大义；对比法律上若资金缺口够大，理论上可走破产路径，但币安选择以用户为中心处理。

第二，问题怎么发生的？她提到，初报发布前有人劝她少写细节，但她仍选择公开，理由是透明才建得起信任。她认为，若报告能让同行看清社会工程的复杂度，以及 AI 权限边界该怎么设警戒线，公开就有意义。

第三，以后如何杜绝？她表示，币安已从部门权限管理、安全环境、更新设备、重置 AI 工具著手，并依零信任与最小化原则重构安全边界；后续会由安全审计出具报告。贴文末尾，她欢迎顶尖 AI 安全专家与技术人才加入，可直接私讯她，或到币安官网投递职缺。

资安圈把矛头对准内部 AI 与 DevOps 权限

网上对这次事件的批评，并不只停在「被骇了」三个字。资安公司 Vectra AI 在分析中指出，内部 AI 工具在攻击链里像团队之间的走廊：攻击者已通过身分验证后，使用工具看起来像正常协作，不必再对工具本身打漏洞。横向移动跨过多个功能边界、落在不同日志里，单一控管各自「有做事」，仍可能看不见完整攻击链。

Vectra 把侦测缺口收成三点：表象正常（0-day 换成合法工具）、认证成功（签署走正常路径）、移动不可见。白话说，很多控管各自过关，链条中间却没人盯住「人已过关、工具当跳板」这一层。

产业端对 DevOps 存取也有类似质疑。TechBooky 的评论认为，工程师笔电若长期持有容器部署等高权限令牌，等于把生产路径绑在单一端点；应改采最小权限、即时（JIT）存取，机器身分与服务令牌不该长期留在开发者笔电，高价值操作还要职责分离、允列与额度控管。社群共识也常落在同一条线：终端防护没挡下面试作业 0-day，部署权限又离钱包签署路径太近。

公开接批评，把零信任与人才招募写进下一轮

对用户来说，何一这次把「钱谁扛」讲死，并把零信任、最小权限、设备更新与 AI 工具重置列成已启动的动作，等于把初报后的信任修复，从道歉往制度面再推一步。对产业来说，她主动谈 AI 权限边界，也把 Vectra、DevOps 圈点出的走廊问题，变成交易所公开要修的清单。

人才端的影响更直接：她公开征求 AI 安全专家，并说加入币安、亲身验证这套安全体系，才是最好的验证方式。后续外界会盯的，会是安全审计报告何时出炉，以及部门权限与内部 AI 工具的边界，能不能真的从「协作便利」改成「可被看见的信任边界」。