北京时间10月30日凌晨，一场可能载入加密货币安全史的攻击发生了。


币安多个热钱包遭到异常转账，涉及资产约63亿美元，覆盖多个区块链网络。


这不是普通的钱包盗窃。


最可怕的地方在于：黑客似乎没有直接破解区块链，而是成功利用了交易所自己的交易签名和执行体系。


我把这次事件的链上记录和公开调查重新梳理了一遍，有几个细节非常值得关注。


一、凌晨4:20，Binance 14被悄悄接管


攻击者盯上了币安的主力热钱包 Binance 14。


这个钱包长期负责大量资金流转。


攻击者使用的是以太坊 EIP-7702 机制。


简单解释：普通以太坊钱包可以通过授权，把部分执行能力委托给智能合约。


一旦授权成功，合约就能按照预设逻辑执行钱包操作。


凌晨4:20左右，攻击者提交了一笔包含50个预签名授权的交易。


为什么是50个？


因为每份授权对应不同的Nonce（交易序号），攻击者无法准确预测钱包当时的Nonce，于是一次准备了50种可能性。


最终只有一个匹配成功。


Binance 14的账户执行权就这样被委托给攻击者的恶意合约。


二、4分钟后，约25亿美元被一次性转走


凌晨4:24，攻击者调用恶意合约执行Sweep操作。


一次交易转走：



  • 167,464 ETH


  • 约16.15亿美元USDT


  • 另外60多种代币


合计价值约25亿美元。


更令人震惊的是，24秒后，另一个热钱包 Binance 16 又向同一个攻击者地址转出约28,005.6 ETH，以及大量其他资产。


这笔交易同样是正常签名转账，并非简单复制Binance 14的授权操作。


这意味着，攻击者能够触及的可能不止一个钱包。


三、最离谱的是，钱包被盗后，自动归集系统还在工作


攻击者没有停止收割。


由于用户充值资金仍然按照原有流程归集到热钱包，已经被恶意授权的Binance 14继续接收资金。


链上调查还记录到一笔约2亿USDT的后续资金补入。


72秒后，这笔钱也被攻击者扫走。


这才是整个事件最值得警惕的地方：


钱包已经出现异常，资金归集机制却没有及时切断。


这不是单纯的一笔盗币交易，而是攻击者利用自动化系统持续收割。


四、这次事件到底损失了多少钱？


最初很多人只关注以太坊上的资金流。


但后续TRM Labs和Bitquery的跨链调查显示，攻击范围远远超出了Ethereum。


目前公开调查显示：



  • 约63亿美元资产从币安17个热钱包流出。


  • 涉及9至10条区块链网络（不同机构统计口径略有差异）。


  • 比特币网络约有18,270 BTC被转出。


  • TRON网络约有6.13亿USDT被转出。


  • 以太坊还有大量ETH、USDT及其他代币被盗。


  • XRP、Solana、Base、Optimism、Avalanche等网络也受到波及。


这已经不是一个钱包被攻破，而是交易所多个资金通道同时出现异常。


五、稳定币能够冻结，ETH却没有那么容易


这次事件还有一个特殊之处：中心化稳定币发行方能够冻结相关资产。


Tether冻结了约15.7亿美元相关资产，Circle冻结超过8亿美元，Ripple和World Liberty等机构也参与了资金冻结。


币安官方随后披露，已经与合作伙伴冻结约30亿美元资产。


但要注意：


被冻结不等于已经追回，更不等于所有受影响资产都已经回到币安。


ETH没有USDT那样的发行方黑名单机制，不能由某个中心化机构直接冻结主网账户。


截至Bitquery的后续链上快照，攻击者仍持有约50.86万ETH，另有约18,270 BTC。这里的ETH数量包含攻击者用被盗资产兑换购买的部分，并非全部直接从币安转出。


六、币安官方给出的初步解释，和链上细节有一个关键区别


10月30日，币安发布安全事件公告：


初步调查认为，攻击可能与一名DevOps工程师的笔记本电脑被入侵有关，攻击者借此进入服务容器，提交未经授权的提现交易。


币安表示，目前没有发现钱包私钥泄露的证据。


同时承诺：



  2. 暂停相关充提业务进行安全检查。


  4. 撤销受影响地址的授权。


  6. 使用SAFU基金及公司资金承担全部损失。


  8. 后续公布更新后的储备金证明。


这里有一个非常重要的区别：


链上能够证明交易经过了有效签名，但无法单凭交易记录证明私钥究竟是如何被使用的。


所以，不能简单下结论说币安的私钥已经泄露。


更可能需要调查的是：内部设备、服务容器、交易审批以及签名基础设施之间，究竟哪个环节失去了安全控制。


另外，TRM Labs将攻击归因于朝鲜黑客组织TraderTraitor，给出了高置信度判断，但这仍然属于第三方安全机构的归因，不是币安官方公布的最终结论。


七、这次事件给整个加密行业敲响了警钟


我认为，这次事件最值得思考的不是黑客究竟有多厉害，而是交易所的安全体系是否还停留在过去。


过去，大家认为：


私钥不泄露，资产就安全。


但现在，这个逻辑已经不够了。


设备可以被入侵，内部服务可以被控制，签名系统可能被滥用，自动化归集甚至可能成为黑客的帮手。


未来交易所至少需要重新审视几个问题：



  • 签名授权是否具备独立的多重审批？


  • 大额转账能否通过实时异常检测拦截？


  • 热钱包是否应该设置自动熔断机制？


  • 钱包一旦出现异常，充值归集能否立即暂停？


  • 不同链、不同钱包之间是否真正实现权限隔离？


还有一点值得注意：


EIP-7702本身不是漏洞，AI也不是这次攻击已经得到证实的原因。真正需要警惕的是，攻击者正在利用越来越复杂的技术，寻找传统安全体系的薄弱环节。


最后说一句：


加密行业一直在讲去中心化、讲代码即法律、讲资产自主权。


但交易所依然承担着数亿用户的资产托管责任。


当一个热钱包被接管，自动归集系统还在源源不断地给黑客送钱，这就不是单纯的技术问题了。


63亿美元，买来了一堂极其昂贵的安全课。


下一轮行业竞争，除了交易深度、流动性、产品和用户规模，还必须比拼一件事：


谁能真正守住用户的资产。


技术进步越快，安全体系就越不能落后。


这次事件还没有结束，真正的答案，要等币安完整的技术调查报告。


主要核对来源：



  • 币安官方：Security Incident Update（10月30日）⁠ —— 初步入侵路径、63亿美元影响、冻结资产及赔偿承诺。


  • TRM Labs：朝鲜TraderTraitor与币安攻击调查⁠ —— 50个授权、跨链攻击及攻击者归因。


  • Bitquery：币安热钱包攻击链上调查⁠ —— 17个热钱包、资金流向、冻结情况及攻击者余额。


  • Cointelegraph：EIP-7702与签名基础设施分析⁠ —— 50个授权及私钥滥用与私钥泄露的区别。


  • CoinDesk：币安储备金与热钱包资产分析⁠ —— Binance 14与储备金证明的关系。


  • Reuters：TRM对攻击者身份的归因报道⁠ —— 朝鲜黑客组织归因。