2026-10-30 13:56:58 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

【突发】币安热钱包疑遭劫持：25 亿至 35 亿美元流出，CZ 确认像黑客攻击

原创

Violet Walker
Violet Walker

黑白之道

2026年10月30日 08:49
韩国

去阅读

导语：10 月 29 日晚，币安多只热钱包被扫，链上统计从 25 亿到 35 亿美元不等，跨链统计最高 55 亿。攻击者没有暴力破解，只做了一件事：借 EIP-7702 拿一次签名授权。Tether、Circle 冻结约 18 亿美元，约 4.5 亿美元原生 ETH 已经转走。

一、到底损失了多少

链上统计没有统一口径。Tree News 算的是以太坊流出约 25.3 亿美元，涉及 60 多种代币；Blockaid、PeckShield 给出 33 亿左右；Unchained 只算以太坊就是 35.2 亿；Decrypt 把比特币、TRON 一并算进来，数字是 55.7 亿。各家统计窗口不同，把这些数加起来只会重复计算。

数字可以慢慢核对，事实清楚：币安的钱包在 44 分钟内至少被搬空一次。币安当晚声明\"正在积极调查潜在安全问题，用户资金完全安全\"，但没有承认这是黑客攻击。创始人 CZ 的说法更直接：\"这看起来确实是一次对 Binance 的黑客攻击\"，他并称作为股东期待用户资金获赔。币安另有约 10 亿美元的 SAFU 基金。

二、EIP-7702 是怎么被用起来的

EIP-7702 是以太坊 Pectra 升级引入的机制，允许普通外部账户委托并执行合约代码。原本是为了让钱包能用上合约逻辑，在攻击者手里变成了一次签名换无限提款权：授权写上链后一直有效，调用合约就能搬走资产，热钱包不必再签一次名。

链上能还原出的作案节奏很清楚：攻击地址 0x7C86…5CA0 只靠 Tornado Cash 分三笔 0.1 ETH 充值启动，Gas 来源被打散；15:59 UTC 提前四小时部署合约；20:20 UTC 对 Etherscan 标注的 Binance 14 钱包提交授权，一次打包 50 个连续 nonce 的签名，只有一个落地。Blockaid 据此判断，攻击者并不知道 Binance 14 的实时 nonce。

四分钟后的 20:24 UTC，一笔交易从 Binance 14 转走 167,464 ETH 和 63 种代币，其中含 16.15 亿 USDT，全部打进一个此前没有交易记录的新地址。24 秒后 Binance 16 用自身私钥转出 28,005 ETH 到同一地址。17 分钟后，另一只热钱包上的 7.8 亿 USDC 也被同一套委托合约拉走。

三、动手之前演练过

先看两处细节。Gas 来源：交易所内部转账一般由自家钱包付 Gas，这次的触发地址是混币器充值的外部地址，这通常意味着外部攻击者。作案节奏：社区分析者称充值可回溯到 10 月 28 日，动手前一天攻击者已在三个测试钱包上跑过同一套流程并部署了最终合约。

那份授权签名怎么拿到——私钥泄露、设备被入侵，或签名流程被诱导——币安至今没有说法。

四、18 亿冻住，4.5 亿追不回

Tether 在美东时间 21:01 拉黑主收款地址，又加黑七个下游钱包；Circle 三分钟后冻结 8.23 亿 USDC。Tether CEO 称冻结金额超过 15.67 亿 USDT，Unchained 直接读取代币合约余额，数字是约 13.8 亿 USDT 加 8.23 亿 USDC。

发行方动手快，攻击者转得更快。收款地址在 15 分钟内把约 195,460 ETH（约 4.5 亿美元）转到另一个新地址，原生 ETH 不受代币合约冻结机制约束；2.175 亿 ENA、29,934 枚 WBETH 这类发行方管不着的资产也被转走。21:44 UTC，攻击者再次清扫 Binance 14，带走约 2 亿 USDT。

还有几处数字对不上：冻结的 USDT 比首笔转账少约 6.4 亿，USDC 反而比已追踪到的 7.8 亿更多。

五、市场和告警跑在声明前面

Spreek 在 20:32 发预警时仍留有余地：\"可能是例行维护，但看起来极其可疑。\" PeckShield 在 20:55 标记\"异常大额流出\"，Blockaid 也认定多条链上的流出\"符合未经授权的转移\"。安全公司的告警比币安声明早了三十多分钟。

盘面反应更快：一小时内约 6.29 亿美元期货爆仓，其中多头 6.07 亿；比特币跌破 78,500 美元，BNB 一度跌近 9%，以太坊跌破 2,250 美元，门罗币涨 6%。如果最终确认为盗窃，规模将超过 2025 年 2 月的 Bybit（约 15 亿美元，FBI 归因朝鲜黑客），成为史上最大的交易所被盗事件。