40 分钟，币安 虚拟货币被盗数十亿美元

原创

安全透视镜
安全透视镜

网络安全透视镜

2026年10月30日 11:42
江苏

去阅读

$5.64B

追踪到的原始转出

$2.38B

已核实冻结

40 分钟

主要外流窗口

\"

凌晨 4 时过后，币安多个热钱包出现异常大额转出。链上追踪到的原始转出估值为 56.4 亿美元，发行方已核实冻结 23.8 亿美元。

周四凌晨 4 时前后（UTC 时间 10 月 29 日 20 时 20 分起），全球最大加密货币交易所币安多个热钱包出现异常大额转出。

链上数据显示，资产外流集中在约 40 分钟内完成，涉及以太坊、比特币、波场等至少 9 条链。

币安当日发布公告称，初步调查认为事件可能源于一名 DevOps 工程师的笔记本电脑被入侵，攻击者由此访问服务容器并提交未经授权的提款交易。

币安表示，未发现钱包私钥泄露的证据，预计总影响约为 63 亿美元，与区块链合作伙伴冻结约 30 亿美元链上资产，并将通过 SAFU 基金和公司自有资金承担全部损失。

不同机构对流出规模的估算并不一致，区间从 25 亿到 63 亿美元不等。

本文看点

01

40 分钟发生了什么

02

56.4 亿怎么分布

03

谁按下了冻结键

01

INCIDENT

币安中招

40 分钟

攻击的准备阶段可追溯至 10 月 28 日下午。据 Cobo 联合创始人神鱼复盘，攻击者分三次从混币协议 Tornado Cash 提取小额 ETH，充当部署合约与演练的手续费。

随后，攻击者用测试钱包把整套流程完整演练了两遍。最后一次演练收工，距正式动手只剩 3 个半小时。

10 月 29 日 20 时 20 分 59 秒，一笔包含 50 项 EIP-7702 授权请求的交易被广播到以太坊网络。这些授权把标记为 Binance 14 的热钱包控制权，临时委托给攻击者自行部署的清扫合约。

签名来自该热钱包的私钥，并在链上得到验证。

3 分 24 秒后，未知地址开始批量清空。20 时 24 分，Binance 14 转出约 167,464 枚 ETH、约 16.15 亿枚 USDT 及数十种其他代币，单笔估值约 25 亿美元。

24 秒后，Binance 16 向同一接收地址转出约 28,005 枚 ETH。随后 Hot Wallet 34 等更多热钱包继续转出，其中 USDC 一项合计约 8.23 亿枚。

时间线

整个外流窗口约 40 分钟。攻击者提前备好涵盖 64 种代币的转移清单，并将部分 USDT 兑换为 ETH，以降低被发行方冻结的概率。

币安在事发后一度通过自有密钥反制，把 Binance 14 钱包内的残余零碎代币转回自家安全钱包。但其 EIP-7702 委托授权，当时并未撤销。

与此同时，币安已暂停充值与提现，并关停 Binance Alpha 交易板块。

02

ASSET FLOW

钱去了哪

$5.64B

按链上追踪口径，原始转出估值合计 56.4 亿美元，覆盖 6 条链、70 种资产。

这一数字包含已被冻结的部分。图表口径下，XRP 与 Solana 的流出尚未归属。

图：原始转出分布与冻结进展，估值时点 05:22，冻结数据更新 05:31

分链统计（按估值）

Ethereum

$3.53B

Bitcoin

$1.45B

Tron

$627.83M

Arbitrum

$31.08M

Optimism

$4.59M

Base

$2.75M

以太坊占转出总额的 62.52%，比特币占 25.67%，波场占 11.13%，三条链合计超过 99%。剩余的 Arbitrum、Optimism 与 Base，各自占比均不足 1%。

主要资产构成（按美元估值排序）

USDT

$2.28B

BTC

$1.45B

USDC

$824.15M

ETH

$468.96M

RLUSD

$88.55M

wBETH

$75.83M

UNI

$53.29M

XAUT

$50.5M

ENA

$41.51M

PEPE

$38.91M

LINK

$32.93M

USD1

$27.86M

其余 58 种

$207.43M

稳定币是本次转出的主体。USDT、USDC、RLUSD、USD1 四项合计超过 32 亿美元，这也构成了后续冻结能够奏效的前提。

计价口径：K 为千、M 为百万、B 为十亿。冻结美元按每枚稳定币 1 美元计，与市值口径不同，因此冻结额合计低于按市值计算的结果。

03

FROZEN

谁按下了冻结键

$2.38B

从转出发生到发行方完成冻结，间隔约一小时。

Tether 首席执行官 Paolo Ardoino 在 X 上确认，已冻结超过 15.67 亿枚 USDT；Circle 首席执行官 Jeremy Allaire 确认，已冻结超过 8 亿美元 USDC。

$1.56B

Tether 冻结 USDT

占原始转出 28%

$823M

Circle 冻结 USDC

占原始转出 15%

$2.38B

两者合计

占原始转出 42%

参与处置的不止这两家。Ripple 冻结 40,541,065 枚 RLUSD，约 4,054 万美元；World Liberty Financial 冻结 27,824,039.94 枚 USD1 及 4,800 万枚 WLFI；Paxos 冻结 215,657.65 枚 USDP 与 1,906.67 枚 PAXG；StraitsX 冻结 819,820.54 枚 XUSD。

Tether 后续追加，把 12,574.05 枚 XAUT 与 6,185,900.10 枚 USDT0 也纳入黑名单。链上统计显示，被彻底锁死的 USDT 已达 1,767,593,979.80 枚。

非稳定币资产无法依赖发行方。币安自营的封装资产 WBETH 共 29,934.01 枚，由其通过底层合约的管理员权限直接冻结。Arbitrum 生态另有 7,456 万枚 ARB 被限制移动。

04

ATTACK PATH

一次授权劫持

EIP-7702

本次攻击的技术路径，指向以太坊在 Pectra 升级中引入的 EIP-7702。

该机制允许一个外部账户通过签发授权，把自己的账户控制权临时委托给一段合约代码。在撤销之前，这段合约可以代其执行任意操作。

...authorization

EIP-7702 授权项结构（示意）

authorization\_list = [

{ chain\_id: 1, address: , nonce: <递增序号>,

y\_parity: 0x01, r: 0x..., s: 0x... },

同一笔交易内打包 50 项委托，签名来自热钱包私钥

]

据神鱼复盘，那笔交易一次性提交了 50 项授权，全部指向攻击者自行部署的清扫合约。这套合约的逻辑被描述为只认一个主人、只做一件事，转钱。

授权生效后，攻击者无需每次动用币安私钥，直接调用合约即可清空钱包中的 64 种代币。到 20 时 41 分，攻击者还借用 Binance 14 的合法身份调度一个 USDC 合约钱包，一把转出 8.23 亿枚 USDC。

慢雾创始人余弦认为，EIP-7702 机制本身没有问题，即使没有这一协议，也存在其他实现方式。黑客选择它，只是为了便于批量清扫。从链上看，攻击者的操作较为粗糙。

另有一条线索来自协议工程师 Justin Kalland 的复盘。他表示，攻击者在一个新建钱包上误将 USDT 选作 Gas 支付方式。

同一区块内因此出现三笔交易：MetaMask Gas Station 充值、对 Kyber Network 路由器的无限 USDT 授权，以及向 Gas Station 支付 127.67 USDT。充值金额恰好等于后两笔交易最大 Gas 预算之和，精确到 wei。

由于 Gas Station 交易需经过 MetaMask Sentinel 而非普通 RPC，这次交互可能在 MetaMask 侧留下包含 IP 元数据的链下记录。在该工程师检查过的所有攻击者钱包中，这是唯一一个显示使用过 Gas Station 的钱包。

05

DISPUTE

说法不一

尚无定论

入侵路径目前没有权威结论。各方研判存在分歧，并列如下。

官方口径

币安官方公告：初步调查认为，事件可能涉及一名 DevOps 工程师的笔记本电脑被攻破，攻击者借此访问服务容器并提交未经授权的提款交易。未发现任何钱包私钥泄露的证据。完整技术事后分析将在调查结束后公布。

第三方研判

Blockaid 的 Ido Ben-Natan：此次攻击可能并非源于私钥被盗，而是签名系统遭到利用。攻击者将 50 项 EIP-7702 授权请求打包进同一笔交易，通过恶意授权劫持钱包。

第三方研判

慢雾首席信息安全官 23pds：攻击者能绕过风控系统，入侵路径是私钥泄漏还是签名机被攻破，仍需重点确认。其个人更倾向于私钥泄漏的假设，并推测攻击者大概率使用了定制化的提币工具。

无论最终认定为哪一种，神鱼在事发两小时后仍发出紧急警告。

他表示，Binance 14 的 EIP-7702 委托授权迟迟未撤销。当时有一笔约 2,961 枚 ETH 的交易正转往该地址，因 Gas 费过低卡在待确认状态。一旦上链，这批 ETH 可能被再扫一次。

余弦补充的排查建议同样适用于其他交易平台：各平台应检查签名系统是否存在签署非预期授权的风险。

06

MARKET

市场反应

爆仓 $15.5 亿

消息扩散后，市场迅速反应。

据 CoinGecko 数据，比特币一度跌破 77,000 美元，日内跌幅 5.1%；以太坊跌至约 2,200 美元，日内跌幅 5.9%；BNB 跌至 693 美元，日内跌幅 8.5%。

$15.5 亿

24 小时全市场爆仓

多头为主要受损方

$4.8 亿

其中比特币爆仓

以太坊 3.7 亿美元

51 → 30

恐慌贪婪指数

由中性跌至恐慌

CoinGlass 数据显示，过去 24 小时加密市场爆仓总额超过 15.5 亿美元，多头成为主要受损方。

另有一组按小时统计的口径：一小时内全网爆仓 6.277 亿美元，其中多单占 6.066 亿，币安一家占 3.448 亿。

抛压方面的判断存在分歧。

Coinkarma 创始人 Benson Sun 认为，涉事比特币缺乏类似 Tornado Cash 的大规模混币池，相关地址容易被交易平台与链上分析机构标记，变现难度明显高于 ETH。

他援引两个案例：2016 年 Bitfinex 被盗比特币多年未动；2026 年 7 月 Coldcard 约 1,800 枚 BTC 被盗后，截至 9 月初仍有九成未被转移。他认为，真正可能转化为市场抛压的部分，来自大量 ERC20 代币换成 ETH 后再进入混币路径的十余亿美元量级。

同一时段，预测市场平台 Polymarket 也因一家第三方服务商被入侵而暂停交易，损失估算在 219 万至 270 万美元之间。

在此之前，行业内规模最大的交易所盗窃案是 2025 年的 Bybit 事件，金额为 15 亿美元。

截至发稿，币安尚未发布完整技术事后分析报告。事件原因、最终损失金额与攻击者身份均未确定，相关认定仍待官方结论。本文仅作事件梳理，不构成投资建议。

END

我是 网络安全透视镜，关注云原生与供应链安全的技术博主

如果你觉得今天这篇有收获，欢迎点赞、在看、转发三连，我们下篇见