10月30日凌晨 4 点 24 分（北京时间，下同），币安以太坊上的一个热钱包用一笔交易，把 167,464 枚 ETH 连同其他代币转进了同一个地址。据 Aave 风险服务商 LlamaRisk 的复盘，随后几分钟内，这个地址又从币安另一个以太坊热钱包收到 28,006 枚 ETH，Arbitrum、Optimism、Avalanche 上的资金也相继转入。
上午 10:25，币安官方给出的口径是：预估总影响约 63 亿美元，目前已在链上冻结约 30 亿美元；币安将用 SAFU 基金和公司资金覆盖全部损失，用户资金安全。
CZ 在 10:23 发帖：“User funds are SAFU!……It hurts, but we will survive.” 这句话我是愿意相信的，这是我个人的看法。
这篇不讨论谁对谁错。我想讲的是，这一夜有三种不同的”暂停键”先后被按下，每一种都在提醒我们：你的钱，到底在谁的规则里。
一、第一个键：交易所的签名系统
币安 10:25 的初步调查：事件可能与一名 DevOps 工程师被入侵的笔记本电脑有关，攻击者借此进入某个服务容器，提交了未经授权的提现交易；币安表示，目前没有发现任何钱包私钥泄露的证据。16:47 的更新又补充：后续调查发现了这台电脑之外的其他突破点，这是一次复杂攻击，事实仍在核实。
这里有个容易被忽略的细节：没有发现私钥泄露的证据，钱还是出去了。
在中心化交易所，你看到的是账户余额，钱能不能离开，取决于平台内部能提交提现的那套系统。按官方目前的说法，出问题的是这套系统里的环节，而不是私钥；完整的根因，要等币安承诺发布的复盘报告。
于是交易所按下了第一个键：先暂停充提，之后充值恢复正常，提现继续暂停。16:47 的更新称，资金外流在暂停提现时已经停止，提现服务按计划预计在 45 小时后恢复。对风控来说这是必要动作；对用户来说，恢复之前提不了币。
二、第二个键：稳定币发行方
Tether CEO Paolo Ardoino 05:25 发帖称，已冻结超过 15.67 亿枚与此事相关的 $USDT；Circle CEO Jeremy Allaire 05:18 称，配合执法部门冻结了超过 8 亿枚 USDC。World Liberty Financial 联合创始人 Zach Witkoff 称 USD1 已冻结 2700 万美元，Ripple 方面表示正在冻结相关 RLUSD。另据链上调查员 ZachXBT，Arbitrum 安全委员会冻结了约 3050 万美元。
仅 USDT 和 USDC 两项公布的数字，加起来就超过 23 亿美元。这一次，冻结站在受害者这边。
但同一夜，也有冻结够不到的地方。LlamaRisk 在 Aave 治理论坛发布的报告显示：北京时间 04:58 到 05:01，攻击者关联的一个钱包把 6000 万 $USDT 存进 Aave V3 以太坊主市场作抵押，借出 19,762 枚 WETH，当时价值约 4460 万美元。这发生在 Aave 05:42 第一次冻结市场之前约 40 分钟。
从机制上看，存进 Aave 的 USDT 由 Aave 的资金池合约持有，不在攻击者自己的地址名下。只冻结攻击者地址，碰不到这部分 USDT；如果要冻，就得冻池子合约，牵连的是所有存款人。地址冻结很有效，但它有边界。
三、第三个键：DeFi 协议自己的治理
接着按下第三个键的是 Aave。报告解释，攻击者可以把赃款换成任何已上架资产，只冻结被盗代币的市场还会留下别的入口，所以联合应对小组决定冻结各网络上的市场（抵押品为许可制的 Horizon RWA 市场保持开放）。北京时间 05:42 到 07:04，Aave 的 guardian 多签签署并执行了冻结交易：V3 上 16 条网络的 175 个储备，V4 上 4 条网络的 117 个储备。冻结期间不能新存、不能新借，但可以还款和取款，清算照常进行。
报告里有一句很值得读：他们选择冻结，是因为 guardian 可以撤销它；如果改成下调上限，需要治理投票，恢复大约要五天。
所以 DeFi 也有按钮。区别在于：按钮写在合约里，谁能按、能按到什么程度、能不能撤回，可以在链上和公开报告里查到。报告同时给出了攻击者这笔仓位的情况：约 5990 万美元的 USDT 抵押，对应约 4380 万美元债务，属于超额抵押，仍受正常清算规则约束，报告称它不会给 Aave 存款人带来风险。
四、用同样三个问题，去看 f(x)
看完这一夜，我把同样的问题拿去看 f(x) 协议：谁能冻结 fxUSD？谁能暂停协议？谁能改合约？
先看官方自己的说法。f(x) 官方在 10月28日的介绍里写道：没有任何个人可以随意转移你的资金，仓位放在透明的链上合约里，协议由社区治理，核心升级要经过时间锁。
我对照以太坊主网上的合约和公开代码，逐条核对了一遍，链上数据读取于 10月30日 17:13，以下都是当前版本的情况。
1. 谁能冻结某个地址的 fxUSD？
区块浏览器上已开源验证的 fxUSD 实现合约里，没有黑名单，也没有冻结单个地址的函数。它的销毁接口只允许协议的 PoolManager 合约调用，而 PoolManager 代码里调用销毁的地方，销毁的都是发起这笔操作的人自己的 fxUSD。按当前代码，代币这一层没有针对单个地址的冻结开关。
2. 谁能暂停协议？
PoolManager 合约里设有紧急角色（EMERGENCY_ROLE），可以暂停协议操作；每个池子也可以单独暂停借款和赎回。这个开关是协议级的，不针对个人地址，也不影响 fxUSD 本身的转账。我查询时，协议处于未暂停状态。
3. 谁能改合约？
fxUSD、PoolManager 和稳定池都是可升级合约。我在链上查到，这三个合约的升级管理合约都归同一个时间锁合约所有，最短延迟是 259,200 秒，也就是 3 天。替换合约代码，必须先在链上排队至少 3 天，这和官方”核心升级要经过时间锁”的说法一致。
4. fxUSD 的抵押和稳定机制
官方文档写明，fxUSD 是全额抵押的稳定币，抵押物只有 Lido 的 stETH 和 WBTC；协议的不变量保证 fxUSD 的 100% 抵押，xPOSITION 负责管理协议的超额抵押部分。稳定池接受 fxUSD 或 USDC 存入，通过两者之间的自动兑换维持锚定。我读到的链上数据：fxUSD 总供应约 7388 万枚，稳定池里约 6669 万枚 fxUSD、约 979 万枚 USDC。
风险方面，文档自己的写法是：再平衡和清算阈值经过仔细校准，用来防止坏账；在两种机制都失效这种极少见的最坏情况下，协议可能产生坏账，协议会拿出相当一部分收入放进储备金应对，储备金不足时由所有 xPOSITION 分摊。另外，如果 USDC 罕见地脱锚，协议会停止锚定维护，并暂时关闭存入，以保护用户。
5. 这一夜 f(x) 的表现
f(x) 官方 17:20 发帖，先向受影响的用户致意，也肯定了币安承诺覆盖全部用户损失；同时给出数据：过去 24 小时全市场清算约 15.4 亿美元，f(x) 上的清算为零。按官方介绍，剧烈波动时 f(x) 的仓位会自动再平衡，帮助仓位扛过波动。
五、FX100：同样的思路放到永续合约
同样出自 AladdinDAO 的 FX100，是 Base 上的一个永续合约 DEX。文档里有几条和今天的话题直接相关：
非托管，协议不持有账户余额。每个仓位只由自己的抵押品支持，开仓时存入，平仓时返还，仓位之间相互隔离。
没有订单簿，按预言机价格成交，由流动性提供者存入 USDC 组成的统一金库做所有交易的对手方。USDC 是上线时唯一的抵押和结算资产。
主价格源是 Chainlink Data Streams，用 Pyth 交叉校验。两路价格偏离超过阈值，或者价格过期，相关操作会被拒绝；如果主预言机失效，协议会冻结成交和清算，不会自动切到备用价格源，切换需要治理操作并带时间锁。文档的解释是，冻结是更保守的选择，预言机故障时表现为停机，而不是按错误价格成交。
每个新仓位开仓后的 15 分钟内不会被清算，也不会被自动减仓。按文档的说法，这个窗口不会取消你的清算价格，而是给你时间对行情做出反应，而不是被这波行情直接平掉。窗口从首次开仓起算，加仓不会重置；15 分钟后恢复正常清算规则。
FX100 目前在测试网阶段，文档写明需要受邀接入，参数在主网前可能调整，合约地址和审计报告将在主网前公布。第 12 周测试网报告显示，已有约 5.2 万个钱包、约 242 万笔仓位参与测试。
六、我的看法
这次事件之后，我不觉得答案是”交易所不安全，全都搬到链上”。币安承诺用 SAFU 基金和公司资金覆盖全部损失，官方称已冻结约 30 亿美元，这是中心化平台能提供的兜底。
我想说的是另一件事：每一种资产背后都有暂停键。在交易所，它在风控和提现系统里；在稳定币，它在发行方手里；在 DeFi，它写在合约和多签里。
真正值得问的不是”有没有按钮”，而是三件事：
谁能按？ 能按到什么程度？ 按之前，你看不看得见？
按当前代码，fxUSD 的答案是：代币层没有针对单个地址的冻结开关，设有协议级紧急暂停，升级要过 3 天时间锁，这些都可以在链上自己核对。FX100 的合约与审计，按文档将在主网前公布。
接下来值得盯的是：币安提现何时恢复、复盘报告和更新后的储备证明，Aave 何时分阶段解冻，以及 FX100 的主网进展。
本文为个人研究记录，不构成任何投资建议。链上协议存在智能合约、预言机、抵押资产及稳定币脱锚等风险，请自行研究、独立判断。$BTC $ETH $USDC #加密杠杆头寸24小时清算15亿美元