Binance 遭窃 63 亿美元：20 分钟如何击穿全球最大加密交易所
币安（Binance）热钱包约 63 亿美元被盗，创加密史上最大盗窃案。本文还原 20 分钟攻击全过程，解析朝鲜黑客线索、资金冻结进展与后续影响。
SECURITY & HACKSEXCHANGESANALYSIS
Lukas Brenner
10/30/20261 分钟阅读
10 月 29 日晚间，攻击者在大约二十分钟内横跨十条区块链，清空了全球最大加密货币交易所币安（Binance）的热钱包。币安估计损失约 63 亿美元；TRM Labs 按每笔转账发生时的价格计算，得出的数字为 63.6 亿美元。无论按哪个口径，这都是加密货币史上规模最大的盗窃案，约为 2025 年 2 月 Bybit 被盗 15 亿美元的四倍。截至周五早间，已有超过 25 亿美元被冻结，币安承诺全额赔付客户损失，提币仍处于暂停状态。
二十分钟，十条链
TRM Labs 还原的链上记录显示，这是一场迅速且环环相扣的行动。UTC 时间 20:05 至 20:09，币安在 XRP Ledger 上的五个钱包向同一地址转出 2.3346 亿枚 XRP，每个钱包只留下最低余额。随后，Solana 和 Optimism 上的钱包相继失守。UTC 20:20，币安一个比特币热钱包分 11 笔交易向攻击者转出 18270 枚 BTC，全部在同一区块内确认。不到两分钟，一个 Tron 热钱包又转出 6.127 亿枚 USDT 和 4640 万枚 TRX。
最沉重的一击落在以太坊上。20:20 过后几分钟，攻击者将标记为“Binance 14”的热钱包余额悉数转走：167464 枚 ETH 以及 63 种代币，其中包括 16.15 亿枚 USDT。另一个以太坊钱包以同样方式转出 28006 枚 ETH，后续转移一直持续到将近午夜。UTC 23:05 前后，第二波攻击击中币安在 Avalanche 和 Polygon 上的钱包。据 TRM 统计，被盗资产包括超过 20 万枚 ETH、18.75 亿枚 USDT、8.23 亿枚 USDC、18270 枚 BTC、约 97.05 万枚 SOL，以及 8850 万枚 Ripple 旗下稳定币 RLUSD。
攻击者如何得手
币安的初步调查结果指向一名 DevOps 工程师的笔记本电脑遭入侵，攻击者借此进入了一个用于提交提币交易的服务容器。交易所随后表示，调查还发现了其他入侵点，但未披露细节，同时称没有证据显示钱包私钥泄露。币安已承诺发布完整的技术复盘报告。
以太坊上的攻击利用了 EIP-7702。该功能随 2025 年 5 月的 Pectra 升级上线，允许普通钱包在签署授权后执行智能合约代码。据 TRM 介绍，操作者提交了一笔交易，其中包含 50 个针对连续 nonce 预先签署的授权，确保无论热钱包的交易计数增长多快，总有一个授权有效。其中一个恰好匹配，Binance 14 随即变成只听命于攻击者的“清扫器”，在授权被撤销前持续运转。在另外九条链上，被盗资金则是通过普通的、签名有效的转账流出的。TRM 的判断是，攻击者获得了让币安热钱包签名系统跨链批准交易的能力，这一点比任何单一的以太坊功能都更关键。
朝鲜的痕迹
TRM Labs 以高置信度将此次攻击归因于 TraderTraitor，即被美国联邦调查局（FBI）认定为 Bybit 盗窃案幕后黑手的朝鲜部门。Chainalysis、Blockaid 和链上调查员 ZachXBT 同样指向平壤。作案手法并不陌生：10 月 28 日上午，操作者钱包通过多笔小额 Tornado Cash 提款获得资金；盗窃发生前数小时，攻击代码已在测试钱包上演练；事先获取的签名随后被集中一次性执行。TRM 政策主管 Ari Redbord 称此次攻击是一个分水岭，并警告说，如此规模的盗窃会为武器计划提供资金。
冻结竞赛
稳定币发行方的反应异常迅速。UTC 21:01，即主要清扫发生 37 分钟后，Tether 冻结了主接收钱包中的 9.711 亿枚 USDT；其首席执行官 Paolo Ardoino 随后表示，Tether 冻结总额已超过 15.7 亿枚 USDT。三分钟后，Circle 与执法部门协同冻结了约 8.23 亿枚 USDC。Ripple 在剩余部分被抛售前冻结了 4050 万枚 RLUSD，World Liberty Financial 冻结了 2780 万枚 USD1，Arbitrum 安全委员会则在午夜后不久，从攻击者的一个钱包中强制转出价值约 3000 万美元的 ETH 和 ARB。币安表示，在合作伙伴和执法部门协助下，已有约 30 亿美元被冻结。
真正的难题在于发行方鞭长莫及的部分。18270 枚 BTC 通过剥离链（peel chain）分散到 19 个钱包，其中 17 个各持有整整 1000 枚 BTC，截至周五早间均未动用。比特币没有能够将地址列入黑名单的发行方，这些币只有在流入交易所、场外交易柜台或兑换服务时才可能被拦截。攻击者还通过基于意图（intent-based）的兑换合约，将约 3.25 亿枚 USDT 换成约 12.23 万枚 ETH，不惜接受超过 10% 的折价以躲避冻结；在 Aave 冻结相关市场之前，攻击者还以被盗 USDT 作抵押，从 Aave 借出约 2 万枚 ETH。TRM 估计，超过 42 万枚 ETH 和全部 18270 枚 BTC，合计约 24 亿美元，仍不在任何发行方的掌控范围之内。
币安的资产负债表与用户之问
币安联席首席执行官何一表示，币安将承担全部损失；创始人、现为最大股东的赵长鹏表示，他预计用户将获得全额赔付。10 月 30 日，币安称已拨备超过 63.4 亿美元：其中约 50 亿美元来自公司资金，本就以受影响代币的形式持有，其余缺口正在公开市场和场外市场买入补齐。币安于 2018 年设立的 SAFU 应急基金，通常持有约 10 亿美元的比特币。合作伙伴冻结的约 30 亿美元并未计入这笔准备金，因此任何追回的资金都将是额外补充。
储备数据说明了这一承诺为何关键。Binance 14 出现在币安 10 月 1 日的储备金证明报告中，这意味着被盗的币曾被计为客户余额的支撑资产。CoinDesk 估计，被盗 ETH 约占币安 ETH 储备的 5.6%。定于 11 月 1 日发布的下一次快照，将显示这一缺口是否已被填补。据 DefiLlama 数据，币安在遭黑客攻击前持有约 1440 亿美元资产；币安表示，所有用户资金都将通过储备金证明公开核验。
市场震荡
市场反应剧烈，但并未失序。10 月 29 日，比特币下跌近 5%，跌破 7.7 万美元；以太坊下跌约 6%，BNB 下跌 8%；杠杆头寸爆仓规模约 15.7 亿美元。印度交易所 CoinDCX 以流动性受扰为由，暂停开立新的期货仓位。周五，比特币报价略低于 7.8 万美元，币安表示仍按计划在大约 45 至 48 小时内恢复提币。
后续看点
这起事件最终如何收场，取决于四个因素。其一是比特币：一旦这 19 个钱包开始转移资金，交易所和场外交易柜台将面临实时筛查和冻结的压力。其二是币安的事后复盘，它必须解释一台被入侵的机器为何能授权十条链上的转账。其三是 11 月 1 日的储备快照。其四是监管机构，它们很可能会追问，热钱包限额、签名分离和 EIP-7702 监控是否应成为正式要求。对用户而言，加密行业最古老的教训再次应验：存放在任何交易所的资产，其安全程度只取决于这家交易所最薄弱的那台笔记本电脑。
来源: TRM Labs, CoinDesk, Binance, Chainalysis, TechCrunch, Al Jazeera, DefiLlama