加密货币交易所 Binance 正在与美国联邦调查局（FBI）合作，追回在史上最大规模加密盗窃案中被冻结的约 30 亿美元资产。一名熟悉情况的消息人士向媒体透露，Binance 已动用公司资金预留超过 63.4 亿美元以覆盖损失，其中 50 亿美元已是与被窃代币完全匹配的资产，剩余部分正通过市场和场外交易（OTC）渠道补齐。
这起发生于 UTC 时间 10 月 29 日 20:05 的攻击在约 20 分钟内从 Binance 控制的地址转移约 63.6 亿美元，跨越 10 条区块链。区块链分析公司 TRM Labs 以高置信度将攻击归因于朝鲜黑客组织 TraderTraitor——该组织此前被 FBI 认定为 2025 年 2 月 Bybit 15 亿美元被盗案的幕后黑手。Binance 在 10 月 30 日的官方声明中确认，目前约 30 亿美元已被行业合作伙伴冻结，正与执法部门合作追回，并承诺所有用户资金最终将通过储备证明（Proof of Reserves，PoR）公开核验。
20 分钟、10 条链：热钱包签名系统如何失守
根据 TRM Labs 的统计，攻击者从 10 月 29 日 20:05 UTC 开始，在约 20 分钟的窗口内将价值约 63.6 亿美元的资金从 Binance 控制的地址转移至单一攻击者地址，涉及 10 条区块链。这是迄今为止记录在案的最大的加密货币盗窃案，规模超过 2025 年 2 月 Bybit 遭受的 15 亿美元损失，也远超 2022 年 2 月 Axie Infinity 侧链 Ronin 的 6.25 亿美元被盗案。
Binance 在官方 X 帖中表示，初步调查"表明该安全事件可能涉及一名 DevOps 工程师的笔记本电脑被黑"，攻击者借此进入服务容器并推送未经授权的提款交易。交易所同时强调，未发现钱包私钥泄露的迹象。这一细节指向的是热钱包签名流程中的权限控制漏洞，而非底层密钥保管体系的崩溃——攻击者获取的是"提交交易的权限"，而非"生成签名的密钥"。
TRM Labs 的分析给出了更完整的攻击画像：攻击者的准备工作至少提前 36 小时开始，先在两个钱包上测试代码、在第三个钱包上排练，随后等待约 4 小时才发动总攻。攻击者地址的初始资金可追溯到攻击前一天上午通过 Tornado Cash 的注入。这些痕迹表明，这是一次经过充分排练、针对多链热钱包签名系统的协同攻击，而非单一员工误操作导致的偶发事件。对交易所而言，真正的教训不在于"谁点了恶意链接"，而在于多签审批、提款限额和异常行为监控为何在同一时间窗口集体失效。
30 亿美元冻结背后：稳定币发行方的"紧急刹车"
在 63.6 亿美元被转出的资金中，约 30 亿美元已被冻结。根据 TRM Labs 在 UTC 时间 10 月 31 日 00:30 的快照，其中约 27 亿美元主要由稳定币发行方锁定——包括 Tether、Circle、Ripple 和 World Liberty Financial。这些发行方可以在链上对特定地址的稳定币执行冻结操作，相当于在资金流转路径上按下"紧急刹车"。Binance 随后将冻结规模更新至约 30 亿美元。
Binance 在声明中明确表示："目前，30 亿美元已被冻结，感谢我们的行业合作伙伴。我们正在与合作伙伴和执法部门合作，追回被冻结的资产。"这部分资金尚未计入 Binance 预留的 63.4 亿美元公司资金池——交易所强调，预留数字"不包括被冻结或受保护的资产，这些资产仍处于持续的追回和核验过程中"。换言之，如果 30 亿美元冻结资产最终成功追回并返还用户，Binance 实际动用的公司资金可能显著低于 63.4 亿美元。
剩余约 24 亿美元则以以太坊（ETH）和比特币（BTC）形式仍由攻击者持有，包括超过 42 万枚 ETH 和 18270 枚 BTC。由于这两种资产没有发行方可干预的冻结机制，追回难度显著高于稳定币，往往需要依赖执法部门的链上追踪、交易所协查和司法扣押。这也解释了为什么 Binance 需要引入 FBI 等执法力量——稳定币可以靠发行方冻结，但原生资产只能靠执法部门截获。
朝鲜疑云：TraderTraitor 与 Bybit 案的归因链条
TRM Labs 将此次攻击以高置信度归因于 TraderTraitor，一个与朝鲜有关的黑客组织。FBI 曾在 2025 年 2 月公开表示，该组织对 Bybit 15 亿美元被盗案负责。如果此次归因最终得到执法部门确认，这将成为朝鲜黑客组织连续第二年制造十亿美元级加密劫案，也意味着针对中心化交易所热钱包的攻击手法正在快速迭代。
链上调查员 ZachXBT 提供了另一条关联线索：Binance 被盗资金与 9 月份 Bitget 3.88 亿美元被盗案的资金，在通过 THORChain 跨链协议流转后出现在同一地址，"同一行为人很可能主导了这两起事件"。跨链混币和地址聚合是朝鲜黑客组织典型的资金清洗手法，目的是模糊资金流向、增加追踪难度。THORChain 作为无需许可的跨链流动性协议，也因此被卷入舆论中心——相关报道显示，THORChain 的 RUNE 代币在 Binance 被盗消息后一度上涨 13%。
需要谨慎的是，Binance 官方尚未点名任何攻击者，仅表示正与执法部门合作识别幕后黑手。TRM Labs 的归因属于第三方分析机构的判断，最终确认仍需执法部门或司法文件的背书。在加密安全事件中，归因错误可能导致外交和法律风险，这也是交易所和监管机构通常保持克制的原因。
Binance 的兑付承诺与 PoR 考验
面对创纪录的损失，Binance 选择了全额兜底。交易所宣布已预留超过 63.4 亿美元公司资金覆盖损失，其中 50 亿美元已是与被窃代币完全匹配的资产，剩余约 13.4 亿美元正通过市场渠道和 OTC 渠道购买补齐。Binance 解释称，这一步骤耗时较长，因为部分代币流动性较低，且 OTC 结算需要时间。交易所同时表示，将继续使用公司资源覆盖已确认的短缺，并在恢复进展中提供进一步核验后的更新。
根据储备排名数据，Binance 以 1340 亿美元总资产位居加密货币交易所储备规模第一。即便如此，一次性动用 63.4 亿美元公司资金仍是巨大考验。DeFiLlama 数据显示，事件发生后 24 小时内 Binance 处理了约 60 亿美元的净流出，反映出用户在极端事件下的提现压力。部分链上提款（如 Solana 和 XRP）在事件初期一度暂停，BTC 提款保持开放，随后交易所逐步恢复服务。
Binance 在声明中承诺："最终，所有用户资金将通过我们的储备证明公开核验。"PoR 将成为检验交易所是否真正覆盖用户资产短缺的关键标尺——尤其是在 30 亿美元冻结资产的权属核验完成之前，任何关于"资金安全"的表述都需要链上证据支撑。对行业而言，这次事件的真正压力测试不是 Binance 能否兑付，而是 PoR 能否在极端场景下提供可验证的透明度。
行业影响：热钱包架构、跨链追踪与监管协作
这起事件再次暴露了中心化交易所在热钱包管理上的系统性风险。无论是 DevOps 工程师笔记本被黑的权限漏洞，还是多链签名系统的协同失守，都说明单一环节的防护失效可能引发跨链连锁反应。对于交易所而言，冷热钱包隔离、多签审批、提款限额和异常行为监控不再是可选项，而是生存底线。攻击者在 20 分钟内跨越 10 条链转移资金的能力，也凸显了多链时代交易所风控的复杂度——一条链的警报可能来不及阻止其他九条链的提款。
执法协作的效率在此次事件中尤为关键。美国司法部曾在 2022 年 2 月宣布，FBI 等执法机构协助查获 9.4 万枚 BTC（当时价值 36 亿美元），这些资金关联 2016 年 Bitfinex 交易所被盗案。八年前的 Bitfinex 案证明，即使资金已被转移多年，执法部门仍可通过链上追踪和司法手段实现大规模追回。Binance 与 FBI 的合作能否复制这一路径，将取决于冻结资产的核验进度和跨国司法协作的效率。
市场层面，事件引发了连锁波动。除 RUNE 的短线上涨外，比特币市场在事件后出现约 16 亿美元的清算。这些波动提醒市场，交易所安全事件的影响从来不止于涉事平台本身，而是会通过跨链协议、清算链条和情绪传导扩散至整个加密生态。
后续观察点包括：被冻结的 30 亿美元资产的权属核验结果、Binance PoR 报告的披露时间与覆盖范围、执法部门对攻击者身份的正式确认，以及交易所是否会公布更详细的热钱包签名系统整改方案。对于用户而言，在极端安全事件后，关注交易所的储备证明和资金追回进展，比追逐短期价格波动更有意义。