門鎖沒壞，鑰匙卻少了一把，你會先查哪裡？Binance 說事件的起點是一位工程師被入侵的筆電；Cursor 市集上 ID 為 anthropic.claude-code 的擴充套件，有一個版本被換成了帶後門的；Chainalysis 說攻擊者拿到了客戶的姓名、email 等資料。這三件事我都沒讀到一手公告，每一句後面會交代是誰說的。

一、Binance：起點是一台筆電，金額各家口徑不同

Binance 的事件在美東 10 月 29 日晚間浮上檯面（CNBC 首發時間是 10 月 29 日晚間 9 點 54 分 EDT，10 月 30 日更新），歸因與凍結的細節是 10 月 30 日才出現的進展。以下是 CNBC 與 Al Jazeera 的轉述，Binance 的公告我沒讀到。

起因的說法經 Al Jazeera 引述 Binance 的初步調查：駭客在取得一位工程師遭入侵筆電的存取之後，做了未經授權的交易，原文是 “a hacker had been able to make unauthorised transactions after gaining access to an engineer’s compromised laptop”。CNBC 提到那則報導沒有描述技術上的漏洞。Binance 稱這是 “security incident”，說會承擔所有損失，並 “temporarily suspended deposits and withdrawals”。

金額我分開寫，因為每一家量的東西不一樣。CNBC 寫 “estimated impact of $6.3 billion”；TRM Labs 估計約 $6.36 billion 轉出；Chainalysis 引的是 $6.4 billion。凍結這一塊，CNBC 引 Binance 的安全更新：”Around $3 billion in cryptocurrency assets have been frozen so far”，也就是約 30 億美元。這是 Binance 的說法，各來源的凍結金額並不一致，我只取 Binance 這一個，也不把它跟上面任何一個總額相減。

歸因要小心讀。CNBC 說 TRM Labs 以高信心歸給北韓國家級駭客單位 TraderTraitor，Chainalysis 共同創辦人兼 CEO Jonathan Levin 也說可能是 TraderTraitor。這是兩家分析廠商的歸因，我讀到的報導裡，Binance 與政府都沒有宣布。TRM 另外說，準備工作至少 36 小時前就開始，攻擊者用 Tornado Cash 為錢包注資，這同樣是 TRM 的說法。

我手上能撐起來的判斷只有一個：Binance 自己說的起點是一位工程師的筆電，而 CNBC 轉述的估計影響是 $6.3 billion。小起點對上這種量級，是我會用「厚尾」去想的那類事，風險會集中在少數幾個被所有人預設可信的節點上。但報導沒寫那台筆電當時握有什麼權限，所以它怎麼一路走到這個金額，我不猜。會改變我看法的條件：Binance 或調查方公布那台筆電的權限範圍。在那之前，「一台筆電」只能當起點看，還看不到全貌。

原文來源：CNBC：Billions in crypto frozen in Binance hack，2026-10-29 發布、10-30 更新；Al Jazeera：Binance says crypto funds frozen amid potential security issue，2026-10-30

二、Cursor 市集：被換掉的版本，和一道意外幫上忙的限制

事件本體在 10 月 29 日，Cursor 的公告與各安全廠商的分析落在 10 月 30 日。

這一則我讀到的是 StepSecurity 的部落格與 Help Net Security 的報導。BleepingComputer 與 The Hacker News 兩篇我打不開，沒有引用內文。我手上的來源對 Anthropic 有沒有表態說法互相矛盾，所以這一則不寫 Anthropic 說了什麼。我也沒有取得後門樣本，沒有自己驗證過 StepSecurity 的行為描述。

StepSecurity 說被換掉的版本是 anthropic.claude-code@2.1.313；Cursor 另說同一段時間還提供過一個惡意的 2.1.312，乾淨的 2.1.314 取代了兩者。Cursor 公告的原文是 “This malicious version of the extension was not developed by Anthropic.”（Help Net Security 引用）。曝露時間窗，StepSecurity 的時間線寫 2026-10-29 的 09:27 到 20:35 UTC，並引 Cursor 稱 “an 11-hour window”。受影響人數，Cursor 說 “at most 5,000 of its users received the trojanized build”。這個 5,000 是上限，是 Cursor 說的，不是確認的受害人數。

行為部分是 StepSecurity 的描述：在 authorized_keys 植入一把註解為 svc-telemetry 的金鑰，用 HTTP POST 把主機偵察資訊的 JSON 送到一個外部位址，並觀察到啟用 SSH 的指令，macOS 是 systemsetup -setremotelogin on，Windows 是 Add-WindowsCapability ... OpenSSH.Server。

最值得停下來想的是限制那一段。Cursor 說開啟 SSH “requires admin rights the extension lacks on most Mac and Windows hosts”。如果這句成立，擋在後門前面的是它多半拿不到的管理員權限。可是我沒看到任何來源說這道限制是為了擋這類擴充套件而設計的，它看起來只是剛好在那裡。Phorion 的說法（Help Net 轉述）是，macOS 上有個有缺陷的檢查，常讓啟用 SSH 那一步被跳過，但他們同時警告這不是真正的防禦。我同意後半句：下次攻擊者換個不需要管理員權限的做法，這份運氣就沒了。我也不拿這件事去替 Cursor 的上架審查加分。

處置方面，依 StepSecurity 的整理，Cursor 在 10 月 29 日 20:35 UTC 把整個市集下線，之後的稽核沒有發現其他被竄改的擴充，金鑰已輪替；後門連線的伺服器位址在 10 月 30 日經主機商協助下線；Cursor 另發佈了 remediate-macos.sh 與 remediate-windows.ps1。惡意版本最早出現在哪個市集有爭議：Phorion 稱在 Open VSX 看到 2.1.313，Cursor 稱在自家市集，Manifold 的 Ax Sharma 反駁 Open VSX 遭入侵，Help Net 並未解決這個衝突，我只寫 Cursor 的市集。攻擊者怎麼用 anthropic 這個前綴上架、幕後是誰，我讀到的都沒有。

要我把「那道限制是運氣」改成別的說法，需要 Cursor 公布 5,000 人裡有多少人具備管理員權限、有沒有人真的被開啟 SSH。

原文來源：StepSecurity：Claude Code extension trojanized，2026-10-30；Help Net Security：Claude Code extension SSH backdoor，2026-10-30

三、Chainalysis：形容詞是公司給的

Chainalysis 的部落格文章發在 10 月 30 日（週五）傍晚，另有給受影響客戶的通知信；The Block 在 10 月 31 日報導，記者是 Zack Abrams。Chainalysis 一手公告我沒讀到，全部來自 The Block 的轉述；BleepingComputer 那篇我打不開（403）。

Chainalysis 說攻擊者拿到的是 “some non-sensitive customer data, such as user IDs, full names, email addresses”，確切欄位會個別通知客戶。手法的用語是 “offensive agentic techniques”。它也說 “we have found no indication that these incidents resulted in the unauthorized access of investigation content”，另有報導稱公司說沒有證據顯示未加密密碼或登入 session 憑證外洩。與 Binance 的關係，原文寫 “not related to the recent crypto theft at Binance”。

「非敏感」是公司劃的線，受影響客戶有多少，我讀到的轉述裡沒看到。至於 agentic，我現在只能把它當成公司的用語：AI agent 在這次入侵裡實際做了什麼，我手上的材料沒有，所以我不拿這一則去證明「AI 攻擊已經成熟」。有第三方或 Chainalysis 公布手法細節，我才會改判。

原文來源：The Block：Chainalysis says hacker using offensive agentic techniques accessed its customers’ names and emails，2026-10-31

四、Drupal Commerce Core：要網站自己去審訂單

SecurityWeek 在 10 月 30 日報導，Drupal Commerce Core 的漏洞 CVE-2026-118539 已被實際利用。受影響的是 3.x 3.3.13 之前的版本，以及 8.x-2.41 之前的舊版，修正版是 3.3.13 與 8.x-2.41。Drupal 給的風險分數是 21 分（滿分 25），稱 highly critical；這是 Drupal 安全團隊自己的 25 分制，不是 CVSS。

Drupal 證實有攻擊，但沒公開手法、攻擊者與被攻擊的站數，也沒說是不是 zero-day。公告原句是：”Sites should audit their orders for inconsistencies as this vulnerability is being actively exploited.”。Drupal 說有超過 42,000 個網站使用這個模組，口徑是裝了模組的站數，不是易受攻擊的站數。Drupal 的一手公告我沒讀到，經 SecurityWeek 引述。

這則的重點只有一個。官方要網站去審訂單找不一致，卻沒說該找什麼樣的不一致，因為攻擊手法沒公開。責任交給了使用者，判斷的材料卻還在揭露方手上。這是我的讀法，公告沒這樣寫。

原文來源：SecurityWeek：Drupal Commerce Core vulnerability exploited against online stores，2026-10-30

五、同一個 robots.txt token，四家同日點頭，沒有一家談強制

10 月 30 日，OpenAI、Google、Microsoft 與 Anthropic 同日表態，支援同一個寫在 robots.txt 的訓練偏好 token：__usage_ai-training，放在 User-Agent 那一行。這一整則我讀到的只有 PPC Land 的整理，各家一手頁面沒讀到全文（Google 與 OpenAI 的頁面分別只回導覽與 403），所以下面都是「PPC Land 整理的說法」。

Microsoft 說目的是降低 “the complexity of navigating different platform preferences for the same use of content.”。Google 由 John Mueller 在 Search Central Blog 發表 “Supporting a shared AI training control for websites”，其 crawler 文件寫的支援時間是 “early 2027”；網站若用共享 token 退出、又沒另外指定 Google-Extended，Google 會當作 Google-Extended 的 disallow。OpenAI 發表 “Making it easier for websites to express AI training preferences”，稱這是 “voluntary effort”，會在 “the coming months” 實作，現有的 crawler 控制不會被取代。Microsoft 由 Krishna Madhavan 在 Bing Blog 發文，時程是 2026-12-15 開始轉換期，2027-02-01 起開始遵守，2027-03-01 後不再把 NoArchive 與 NoCache 當作訓練或 grounding 的偏好，暫時偏好於 2027-09-30 到期。

Anthropic 這一側，依 PPC Land 的整理，方式不同：不是公司部落格，而是 Kevin Kelley 寄到 IETF AIPREF 郵件列表的一封信，宣布他的草案 draft-kelley-aipref-training-preference-signal-00，並說已開始實作、”will take us some time”。這份草案是個人提交，目標 Standards Track，未獲 IETF 背書，2027-05-03 到期。

要問怎麼讓這個 token 沒用，答案就寫在草案自己的限制裡。User-Agent: * 不算偏好，所以多數網站既有的「擋全部 bot」寫法，對 AI 訓練沒有表態。token 管的是「使用」，不管「抓取」。草案對爬蟲的語氣是 MAY，不是 MUST。私下授權可以覆蓋它，偏好依抓取當下的 robots.txt 認定，不處理已經蒐集的內容，grounding 也不在訓練的定義裡。Meta、Amazon、Apple 沒有承諾，整理裡也沒有任何公司談到強制執行。

今天五則裡，唯一一則有四家大公司同日點頭的，依我讀到的限制，約束力看起來最弱。前面四則沒有任何一方同意發生，卻都發生了；這一則所有人都同意，每一條限制卻都在說「你可以不照做」。整齊的表態只是信號，我看不出它在這份草案裡哪裡接上了約束。我會改口的條件很具體：任何一家公布「讀到 token 之後仍違反偏好的爬蟲會被怎麼處理」，或有第三方公開稽核的方法。

原文來源：PPC Land：Google, Microsoft, OpenAI and Anthropic back one AI training opt-out，2026-10-30（二手整理，一手頁面未讀）