2026年10月29日至30日，币安经历了一场规模罕见但最终被大幅缓冲的安全事件。核心事实是：多个热钱包在极短时间内被异常“清扫”，账面流出规模一度被追踪至数十亿美元，但主要稳定币发行方迅速冻结了大部分涉案资金，实际净损失据CZ估算约为略超10亿美元，并承诺由币安全额覆盖。
异常流出：多个热钱包被连续“清扫”
事件起点是台北时间10月30日凌晨约4:24（UTC时间10月29日20:24），币安标注为 “Binance 14” 的热钱包触发了一笔 sweep（清扫）交易，一次性转出约 167,464枚ETH以及63种ERC-20代币，其中包含约 16.15亿枚USDT，当时估值约25亿美元。
紧接着，异常并未停止：
· 仅24秒后，另一个热钱包 “Binance 16” 向同一接收地址转出约 28,005枚ETH，以及约5,574万USDT、2,594万RLUSD等资产。
· 约17分钟后（4:41），“Hot Wallet 34” 又向同一地址转出 7.8亿枚USDC；后续还有一笔4,300万美元的USDC转出。
由于资金在短时间内从多个独立热钱包集中流向当日新创建的地址，链上警报最初甚至无法排除“例行运维调拨”的可能性，但接收地址的新建属性、资产的快速二次转移，以及 sweep 函数的使用，很快让市场倾向判定为攻击。
攻击手法：问题不在私钥，在“签名授权”
这次事件在技术层面的特殊之处在于：攻击者似乎并没有直接窃取币安钱包的私钥。
链上分析指向以太坊的 EIP-7702 机制被滥用。该机制允许一个外部账户通过“签名授权”将执行权委托给特定代码。攻击者疑似通过钓鱼等方式获得了签名授权，从而在币安关联钱包上安装了具有“清扫”功能的恶意代码，随后调用 sweep 将资产批量转出。安全分析人士指出，如果攻击者真的掌握了私钥，根本不需要经过中继器（Relayer）和授权流程，可以直接以原子交易转移资产；因此“只拿到EIP-7702授权签名”是更合理的解释。
这意味着攻击的门槛被显著降低：不需要破解私钥，只需要骗取一次签名授权，就可能让一个地址进入可被“清扫”的状态。后续同一钱包在首次清扫后仍能被再次转出资产，也印证了该授权在事发后一度仍然有效。
冻结与定性：从“调查中”到“确实是攻击”
事件发生后，币安的公开表态经历了一个明显的收紧过程。最初的声明仅称“正在调查潜在安全问题”“尚未确认用户资金受到影响”。在约十几分钟内，声明被多次修改，最终版本改为“用户资金完全安全”，但当时仍未正式使用“被盗”或“被黑”的定性。
转折来自CZ（赵长鹏）的表态。他明确表示“这看起来确实是对币安的黑客攻击”，同时强调用户资金是安全的，并感谢Tether和Circle的快速冻结行动。CZ还说明自己已不再管理币安日常运营，但作为股东，预计所有用户资金将获得全额覆盖。
与定性同步进行的是稳定币发行方的冻结：
· Tether 冻结了超过15.67亿枚USDT（另有报道称约9.71亿美元）；
· Circle 冻结了约8.23亿枚USDC。
两方合计冻结规模约23.9亿美元，这是后续“账面流出”与“实际损失”之间出现巨大差额的关键原因。
账面数字与真实损失：为什么从数十亿变成了“略超10亿”
由于攻击涉及多个钱包、多条链和数十种代币，链上追踪给出的流出总额一度非常混乱：从早期约25亿美元、约28亿美元，到后续追踪的约33亿美元，甚至有监测机构给出超58亿美元的估算。
但这些主要是转移规模，不是最终无法追回的净损失。DefiLlama创始人0xngmi的估算提供了更清晰的视角：在USDT和USDC被大规模冻结之后，事件总损失约为10亿美元，仅占币安约1440亿美元托管资产的0.69%，以币安的资产负债表完全可以覆盖。CZ转发了这一估算，并补充称“损失可能比这略高一些，但会全部覆盖”。
这组数字之间的关系是：攻击者转出的资产中，约24亿美元的稳定币被发行方冻结，真正脱离币安控制、且短期内未被冻结的部分，收敛到约10亿美元量级。币安因此承受的是可覆盖的净损失，而非数十亿美元的全额蒸发。
提币暂停与用户侧的实际影响
在安全排查期间，币安暂停了提币。官方先称部分用户提币因“技术错误”受阻，随后明确表示“提币将在安全问题完全解决后恢复”，并重申用户资金安全。这意味着事件对普通用户的直接影响主要体现在短期的提币中断，而非账户余额归零。CZ和币安官方口径一致：用户资金“完全安全”，损失由平台覆盖。
整体来看，这起事件的真实轮廓是：一次利用EIP-7702授权机制的、针对币安热钱包的大规模未授权清扫，账面流出数字曾高达数十亿美元，但在稳定币冻结和平台资产负债表缓冲的共同作用下，实际净损失被压缩到约10亿美元级别，用户资金未受直接损失，提币在安全确认后恢复。事件尚未公布攻击者身份或授权获取的具体途径，相关调查和资金追索仍在进行中。