20分钟洗劫63.6亿美元——币安史上最大黑客劫案初步调查

原创

网空闲话
网空闲话

网空闲话plus

2026年10月30日 14:04
美国

去阅读

核心事实速览

一、事件概况：从\"内部迁移\"疑云到\"史上最大劫案\"

1.1 链上异动：24秒流出27亿美元

事件的最早信号来自链上。UTC时间10月29日20:24:23，链上监测者 StarPlatinum 记录到：币安标记为\"Binance 14\"的热钱包（地址0x28c6…1d60）向一个当日新建、无任何历史交易的接收地址（0x5227…b2f8c）一次性转出约25.3亿美元、涉及64种代币；仅24秒后，另一个币安热钱包又向同一地址追加1.744亿美元，合计2,701,600,000美元。其中最大几笔为：16.7亿 USDT、4.541亿美元 ETH（195,470枚）、8,850万 RLUSD、7,710万 wBETH、5,050万 XAUt 等[7][8]。

耐人寻味的是，StarPlatinum 最初的判断并非\"被盗\"，而是\"链上活动看起来更像一次内部钱包迁移\"——因为接收地址在获得巨款后并未立即向混币器或交易所转移。但他同时记下两个反常细节：其一，约20:41 UTC，同一中继方试图从第三个币安热钱包再转7.8亿 USDC，该笔交易未能完成；其二，转出巨款后，原\"Binance 14\"钱包在16分钟后仍在正常运转，余额约9,860万美元[8]。这一最初的犹疑，成为事件早期信息混乱的一个缩影，也提示仅凭链上表象下结论的风险。

随后，区块链情报平台Arkham Intelligence将55个关联地址归入\"binance-hacker-1029\"实体，合计持仓约57.8亿美元（含约17.7亿USDT、14.4亿BTC、8.76亿ETH、8.23亿USDC）；以太坊浏览器 Etherscan 则将初始接收地址标记为\"Binance Hot Wallet Exploiter 2\"，并打上\"Exploit\"与\"Heist\"标签。BleepingComputer 特别注明：Arkham 的57.8亿美元是全部追踪地址的持仓价值，并非经确认的被盗金额[7]。

1.2 官方确认：五小时内步步升级

币安的公开回应经历了一个逐步加码的过程（以下均为美东时间，EDT，即UTC-4）[6]：

• 17:15：官方X账号首次承认\"注意到潜在安全问题的报告，正在积极调查\"，强调\"用户资金完全安全\"，并提醒用户警惕假冒官方的诈骗链接与账户信息索取[5][6]。此时距首笔链上异动约一小时，而BBC指出，多名行业观察人士早在币安确认前数小时就已公开警示异常[3]。
• 18:33：宣布团队正进行安全检查，\"安全问题彻底解决后恢复提现\"[6]。
• 19:06：暂停币安Alpha（面向未上市早期项目的板块）交易[6]。
• 20:13：暂停范围扩大至全平台所有充值与提现，首次表态\"将弥补全部损失\"，并称\"这是全行业的协同行动，感谢生态伙伴迅速协助冻结受影响资产\"[6]。
• 20:52：核实冻结金额达约30亿美元[6]。
• 22:25（即UTC 10月30日02:25）：公布初步调查方向与受影响总额约63亿美元[6]。

币安发言人 Ross O'Leary 对 TechCrunch 确认，已\"在安全事件后作为预防措施临时暂停多条网络的提现\"[5]。币安同时表示正与执法伙伴合作，\"确认这些犯罪者的身份并将其绳之以法\"，待调查完成后将发布完整报告[3]。

1.3 损失规模：一个不断攀升、口径各异的数字

CNN的表述为\"超过60亿美元\"[2]；Sky News 与BBC 采用\"超63亿美元（47亿英镑）\"[3][4]。GSR系统性场外交易业务负责人Aravind Srinivasan 对路透社直言：\"这是史上最大的黑客攻击。\"[2] 一位业内人士更对Sky News 称之为\"人类历史上最大的银行劫案\"[4]。作为参照，此前的行业纪录是2025年2月Bybit交易所被盗15亿美元（TechCrunch 早期报道记为14亿美元），本案规模约为其四倍[1][5]。

二、攻击还原：36小时筹备与20分钟闪电战

据TRM Labs的链上还原[1]，本案并非临时起意，而是一次长期潜伏、充分彩排、多点同时引爆的行动。

2.1 准备阶段（至少提前36小时）

• 10月28日上午：攻击者的操作钱包收到来自混币器 Tornado Cash 的三笔小额取款——用于隐匿资金来源并提供链上手续费。
• 10月29日早些时候：攻击者部署了第一段攻击代码，并先后在两个钱包上测试。
• 10月29日稍晚：在第三个钱包上对最终版本完成完整彩排，随后将测试资金转回自己地址。彩排结束四小时后，同一代码被安装到一个币安以太坊热钱包上。

Sky News 引述 TRM 首席政策官 Ari Redbord 称，据信攻击者在动手前至少准备了36小时[4]。The Blind Spot 主编 Izabella Kaminska 评价，这\"似乎是一次高度复杂、经过精心排练的攻击\"[4]。

2.2 盗窃阶段：分钟级时间线（UTC时间）

第一波（20:05–20:25，核心20分钟）

追加清扫与第二波

由于 EIP-7702 委托持续有效，攻击者对该以太坊热钱包的新流入资金又追加了六次清扫（20:41、20:59、21:04、21:44、22:39、23:56 UTC）；并利用该钱包作为另一币安智能账户执行者的权限，额外提取8.23亿 USDC（随后被 Circle 冻结）。另一币安以太坊热钱包也在无委托的情况下以普通签名方式转出28,006 ETH、5,570万 USDT 与2,590万 RLUSD[1]。

• 23:05：第二波抵达 Avalanche（约2,800万美元）与 Polygon（约1,000万美元）[1]。

2.3 资金流向总览

图1：币安黑客案资金流向总览。六个阶段依次为——①准备（Tornado Cash 注资、代码测试与彩排，≥36小时）；②入侵（币安初步调查：DevOps工程师笔记本→服务容器）；③盗窃（十条链同时失守，合计约63.6亿美元）；④攻击者地址集群（Arkham 标记55个地址）；⑤冻结反击（约27亿美元，Tether／Circle／Ripple／WLFI／Arbitrum 安全委员会）；⑥洗白与漏网（折价兑换、DeFi 抵押借贷、剥皮链拆分，约24亿美元超出冻结能力）。（数据来源：[1][6][7]，冻结统计截至2026-10-30 00:30 UTC）

flowchart TB    subgraph PRE[”准备阶段（≥36小时）”]        A1[”10/28 上午Tornado Cash 三笔小额注资”] --> A2[”10/29 早间部署代码，两个钱包测试”]        A2 --> A3[”10/29 稍晚第三个钱包完整彩排4小时后装上币安热钱包”]    end     subgraph ENTRY[”入侵入口（币安初步调查）[2][6]”]        B1[”DevOps 工程师笔记本电脑被入侵”] --> B2[”访问服务容器获得提交提现交易能力”]    end     subgraph THEFT[”盗窃阶段（10/29 20:05 UTC 起）[1]”]        C1[”20:05 XRP账本2.3346亿 XRP”]        C2[”20:10+ Solana / Optimism”]        C3[”20:20 比特币18,270 BTC → 剥皮链拆分”]        C4[”20:20 以太坊50个预签名 EIP-7702 授权”]        C5[”20:23:24 清扫167,464 ETH + 63种代币”]        C6[”~20:22 Tron6.127亿 USDT”]        C7[”23:05 第二波Avalanche / Polygon”]        C4 --> C5    end     subgraph LAUNDER[”洗白（与冻结赛跑）[1]”]        D1[”3.25亿 USDT 折价>10%→ 换122,300 ETH”]        D2[”6,000万 USDT 抵押 Aave→ 借出19,760 ETH”]        D3[”Tron 3亿→JustLend2亿经跳转钱包→Uniswap”]        D4[”BTC 剥皮链1,000/100 BTC 碎片”]    end     subgraph FREEZE[”行业冻结反击（约27亿美元）[1]”]        E1[”Tether：约17.7亿 USDT”]        E2[”Circle：约8.25亿 USDC”]        E3[”Ripple：4,050万 RLUSD”]        E4[”WLFI：2,780万 USD1”]        E5[”Arbitrum 安委会：8,426 ETH + 7,460万 ARB”]    end     A3 --> C4    B2 -.可能路径.-> THEFT    THEFT --> F[”攻击者地址集群Arkham 标记55个地址[7]”]    F --> LAUNDER    F --> FREEZE    LAUNDER --> G[”仍控制：42万+ ETH、18,270 BTC约24亿美元，不可冻结[1][4]”]

2.4 各链损失明细（TRM Labs，按转移时点计价，合计约63.6亿美元）

三、技术解剖：EIP-7702 如何成为\"特洛伊木马\"

本案最精妙、也最值得行业警醒的一环，是对以太坊新功能的武器化[1]。

EIP-7702是以太坊2025年5月 Pectra 升级引入的机制：普通钱包只需签署一份授权，即可将自身行为控制权委托给一份智能合约；此后对该钱包的每次调用都执行该合约代码，直至钱包签署新的授权。被攻击的以太坊热钱包正是币安最知名的钱包之一。

攻击者的操作环环相扣：

1. 批量预签：50份授权全部由币安热钱包签名，每份指向一个只接受攻击者指令的\"清扫合约\"。由于授权仅在钱包当前交易计数（nonce）匹配时生效，而热钱包持续处理提现、nonce不断前移，攻击者为50个连续nonce各备一份签名，确保交易执行时必有一份命中——只需一份。
2. 一笔成交：20:20UTC，单笔交易提交全部50份授权，一份匹配，热钱包自此运行攻击者的合约。
3. 3分24秒后扫空：167,464枚 ETH 与63种代币一次性转出。
4. 持续吸血：委托保持有效，新充值六次被追加清扫；攻击者还借该钱包的智能账户执行者身份抽走8.23亿 USDC。

更深层的隐患在签名基础设施。TRM指出，若仅以\"钓鱼骗取 EIP-7702 授权\"解释，无法说明其余九条链的同步失守：XRP账本、比特币、Tron、Solana、Arbitrum、Avalanche、Optimism、Base上的币安钱包使用完全不同的链、密钥类型与签名方案，却在约半小时内全部为攻击者产生了有效签名。TRM 据此评估：最可能的解释是攻击者获得了让币安跨链热钱包签名系统按需签署任意交易的能力；而\"50份预签名授权成批出现\"这一细节暗示，该访问可能受时间限制，或签名必须经某个系统申请。TRM同时注明：币安尚未公布根本原因（root cause）[1]。

TRM就此向行业提出的防御建议包括[1]：金库团队应监控以太坊兼容钱包上异常的 EIP-7702委托（表现为\"本不该有代码的地址出现代码\"），并备好经演练、预批准的撤销签名流程；签名策略应默认拒绝非预期的 EIP-7702授权，将\"跨大量nonce 的批量授权请求\"直接视为失陷指标；签名基础设施与审批路径应按链和钱包层级隔离——\"本案中，单一行为体在数小时内拿到了十条链上钱包的有效签名\"。

四、幕后黑手：四家机构交叉归因，官方结论未出

4.1 归因证据链

TRM的具体比对依据是：本案与Bybit案（2025年2月）及KelpDAO案（2026年4月）共享多个指纹——以Tornado Cash小额取款为操作钱包注资、远早于动手的先期部署、预先获取签名再一次性集中执行；不过本次洗钱采用\"经由做市商与借贷协议的大额兑换\"，有别于Bybit案后\"以跨链桥为主\"的路径[1]。

4.2 TraderTraitor与朝鲜的\"黑客财政\"

FBI曾点名TraderTraitor对15亿美元的Bybit案负责[1][4]。CNN援引现任及前任美韩官员指出，朝鲜黑客团队是这个\"拥核、饱受制裁政权\"的关键收入来源；联合国与私营机构报告显示，与平壤关联的黑客近年已从银行和加密公司窃取数十亿美元；在 Bybit案中，攻击者数分钟内盗走的金额相当于朝鲜官方公布年度GDP的可观比例[2]。CNN 2023年的一项调查还曾披露：韩国情报机构与私营链上追踪专家合作，追缴过朝鲜黑客窃取的约100万美元加密资产[2]。

CNN已就本案联系朝鲜驻联合国代表团、FBI及同样负责网络犯罪调查的美国特勤局。报道注明：平壤此前一贯否认黑客指控；在以往大案中，FBI设有待命分析师团队专责冻结涉案资金[2]。

4.3 归因有据，但非终局——三点必要的保留

1. 归因主体均为私营情报机构，执法机关尚无正式结论。 FBI 与特勤局截至发稿未公开表态；币安也未公布根本原因[1][2]。
2. 币安官方口径与技术归因存在待衔接的张力。 币安称事件\"可能涉及\"一台被入侵的 DevOps 工程师笔记本电脑，攻击者借此\"访问服务容器并提交未经授权的提现交易\"，且\"未发现任何钱包私钥泄露的证据\"[6]；TRM 则评估最可能是签名基础设施被整体攻破[1]。两者并非不可兼容（笔记本或为进入签名系统的跳板），但攻击链的确切起点有待官方完整报告。
3. 早期链上直觉与初期报道瑕疵值得记录。 StarPlatinum 最初判断\"更像内部钱包迁移\"[8]；TechCrunch 称\"Circle 冻结了约8亿美元的 Tether\"[5]，而 Circle 实为 USDC 发行方，BBC、BleepingComputer 与 TRM 均证实 Circle 冻结的是 USDC[1][3][7]，TechCrunch 此处应系笔误。此类细节提醒：突发报道的初期数字与表述需审慎对待。

五、攻防对抗：27亿美元冻结反击战与24亿美元漏网之鱼

5.1 史上最大规模的链上协同冻结

币安于23:35 UTC 确认已核实冻结25.4亿美元；计入后续动作，TRM 统计截至10月30日00:30 UTC 链上冻结总额约27亿美元（CNN 与 Sky News 引述的行业口径为\"约30亿美元\"，统计时点稍后）[1][2][4][6]。各主体动作如下[1]：

5.2 攻击者的反制：折价10%也要\"换自由\"

面对冻结，攻击者在最初数小时内不计成本地将可冻结稳定币置换为不可冻结资产[1]：

• 约3.25亿USDT经 UniswapX等意向型合约卖给专业做市商与解算方，换得约122,300枚ETH——隐含每枚ETH约2,650美元，而当时市价仅2,300–2,350美元，折价超过10%；该批剩余1.75亿 USDT 未及兑出即被冻结；
• 另一钱包向借贷协议Aave 存入6,000万USDT并抵押借出约19,760枚ETH，Aave 随后冻结相关市场；
• Tron 链上3亿USDT被注入JustLend借贷协议；另有2亿USDT 经跳转钱包链在 Uniswap兑换，其中3,000万被冻结；
• 8,850万RLUSD 经两次跳转后，于21:42–22:01在去中心化交易所卖出4,800万，直至 Ripple 冻结余下4,050万。

净结果：攻击者仍控制逾42万枚 ETH 与18,270枚 BTC，约24亿美元——超出任何发行方的冻结能力[1][4]。TRM预计，参照既往大案，下一阶段将动用\\跨链桥、兑换服务与场外经纪商（OTC）\\洗钱，其团队正监控剥皮链输出与ETH归集钱包[1]。Pangolin分析师警告，朝鲜方面很可能动用\"一个洗钱组织网络\"变现，\"猫鼠游戏才刚刚开始\"[2]。Crypto Watchdog执行董事Chapin Fay则提醒：冻结资产并不等于能追回资产[4]。

六、影响评估：市场震荡与行业信任的双重压力测试

6.1 市场冲击

消息传出后加密货币全线走低：比特币跌幅超4%（BBC[3]）；至英国时间10月30日凌晨1时，比特币报约77,000美元，24小时跌5%，部分小币种跌幅接近10%（Sky News[4]）；StarPlatinum 记录的盘中数据为 BNB -8.6%、ETH -4.0%、BTC -2.7%[8]。Kaminska 指出，跌幅虽显著，但\"对一个习惯剧烈波动的资产类别而言并非史无前例\"[4]。

6.2 四重结构性拷问

其一，\"全额赔付\"承诺的可持续性。币安承诺以SAFU用户安全基金与公司资金弥补全部损失[6]。但SAFU全额以比特币持有，本月初估值仅约10亿美元——为本次受影响金额的六分之一；币安此前承诺SAFU跌破8亿美元时补充[6]。尽管公司资金兜底，这一比例仍令市场审视承诺的成色。币安同时承诺修复后发布更新的储备证明（Proof of Reserves）[6]。

其二，\"去中心化\"叙事再度受挫。Kaminska指出：加密行业长期以\"去中心化、抗审查\"自我标榜，但\"现实是——而且一直都是——绝大多数加密平台乃至部分资产，在结构上与传统银行平台一样中心化。不同的是，银行被黑或破产时还有最后贷款人与存款保险基金；这些平台的储户只能靠自己\"[4]。耐人寻味的是，本案中最有效的止损手段——发行方冻结与Arbitrum安全委员会的强制划转——恰恰都来自\"中心化\"权力。

其三，系统性风险外溢。Kaminska警告，鉴于数字资产与华尔街近年联系日深，\"更大的问题是这是否会波及更广泛的金融体系——交叉传染风险不再是零\"；她还提示，本案发生之际，市场对\"AI 智能体即将暴露或利用金融体系重大漏洞\"的担忧正在升温[4]。

其四，行业联防机制通过初步检验但不完美。从Tether 37分钟完成首笔冻结，到 Arbitrum安全委员会强制划转，协同效率前所未有。Chainalysis研究负责人Eric Jardine评价\"全行业协同正在帮助阻断被盗资金流动\"，但强调\"对交易所的攻击并不新鲜，每家交易所都应保持警惕\"[4]。TRM 则指出了一个刺眼漏洞：约3.25亿 USDT在失窃数分钟后即被卖给做市商——\"实时地址筛查本可将其标记\"[1]。

6.3 背景与关联事实

• 币安2017年由赵长鹏在中国创立，为全球最大加密交易平台；注册用户估计超3亿（BBC[3]），币安自称超3.35亿（Sky News[4]）；2024年自称托管资产超1,600亿美元[3]。面向美国用户的 Binance.US 确认不受影响[3]；Coinbase 表示未受影响并保持监测[3]。
• 币安长期处于全球监管审视之下；赵长鹏（CZ）已不再管理公司，但仍是最大股东，事发后他在 X 上表示\"这看起来确实像黑客攻击\"，并预计\"所有用户资金将得到全额保障\"[3][5][6]。
• 同日早些时候，预测市场 Polymarket 因第三方公司 DebugBear 开发的软件被攻破而短暂暂停交易，约200万美元用户资金被盗——安全研究人员认定此为独立事件，与币安案无关[5]。

七、行业评论

八、后续发展与未决问题

正在进行：（1）币安承诺调查完成后发布完整报告、修复后发布更新版储备证明，提现将在\"安全问题彻底解决后\"恢复[3][6]；（2）TRM通过Beacon Network持续告警，监控剥皮链输出与ETH归集钱包，预计赃款数日内流向交易所、兑换服务与 OTC柜台[1]；（3）FBI与美国特勤局已被请求置评，参照既往大案，FBI待命分析师团队有望介入冻结[2]。

待解之问：

1. 币安\"工程师笔记本\"初步结论与 TRM\"签名基础设施被攻破\"评估如何衔接？完整攻击链起点何在？
2. 数字口径差异待弥合：损失额57亿—63.6亿美元（计价时点与\"持仓/实窃\"口径不同；Mashable记攻击者钱包持10.1亿美元ETH[6]，Arkham同期记8.76亿美元[7]，应为不同时点快照）；冻结额23亿—30亿美元（统计时点不同）。
3. 约24亿美元的BTC与ETH已在冻结能力之外，最终能追回多少？\"洗钱组织网络\"会否兑现？
4. 朝鲜方面会否回应指控（历史上一贯否认）？执法机关的正式归因何时落地？
5. 为账户抽象而设的EIP-7702被武器化后，\"默认拒绝非预期授权、批量授权视为失陷指标\"会否成为行业新标准？

结语

无论最终归因与追赃结果如何，2026年10月29日这个夜晚已经同时写下两项纪录：最大规模的单笔加密资产盗窃（约63.6亿美元），与最大规模的链上协同冻结反击（约27亿美元）。它以极端方式暴露了加密行业的两面——一面是交易所签名基础设施的脆弱、无存款保险与最后贷款人的结构性风险；另一面是稳定币发行方、公链治理方与链上情报机构在数十分钟内跨境协同止损的效率。正如Pangolin分析师所言，\"猫鼠游戏才刚刚开始\"[2]——而这场比赛的胜负，将定义下一个十年数字金融安全的基准线。

参考文献

[1] TRM Team. North Korea Steals USD 6.36 Billion From Binance in the Largest Hack in History[EB/OL]. TRM Labs Insights, (2026-10-29)[2026-10-30].https://www.trmlabs.com/resources/blog/north-korea-steals-usd-6-36-billion-from-binance-in-the-largest-hack-in-history.

[2] LYNGAAS S. World's largest crypto exchange hit by world's largest heist[EB/OL]. CNN, (2026-10-30)[2026-10-30].https://www.cnn.com/2026/10/30/tech/binance-crypto-heist-hnk-intl.

[3] CHIA O. Binance says crypto worth $6.3bn impacted in suspected hack[EB/OL]. BBC News, (2026-10-30)[2026-10-30].https://www.bbc.com/news/articles/cwg7xp8kx4v5o.

[4] SEPHTON C. Crypto industry suffers 'largest bank heist in human history' as billions stolen in Binance hack[EB/OL]. Sky News, (2026-10-30)[2026-10-30].https://news.sky.com/story/crypto-worth-billions-frozen-over-potential-security-issue-13605627.

[5] WHITTAKER Z. Binance pauses withdrawals as hackers suspected of stealing billions in crypto[EB/OL]. TechCrunch, (2026-10-29)[2026-10-30].https://techcrunch.com/2026/10/29/binance-pauses-withdrawals-as-hackers-suspected-of-stealing-billions-in-crypto/.

[6] YEO A. Binance reportedly hacked, billions in crypto stolen[EB/OL]. Mashable, (2026-10-29, 更新于2026-10-30)[2026-10-30].https://mashable.com/tech/binance-hack-cryptocurrency-billions.

[7] ABRAMS L. Binance probes potential $5.8 billion crypto-theft hack[EB/OL]. BleepingComputer, (2026-10-29)[2026-10-30].https://www.bleepingcomputer.com/news/security/binance-probes-potential-58-billion-crypto-theft-hack/.

[8] StarPlatinum. 币安热钱包异常转账链上分析帖[EB/OL]. X（原Twitter）, (2026-10-30)[2026-10-30].https://x.com/StarPlatinum\_/status/2115911095684899111.

[9] Binance. 关于安全事件的系列官方声明[EB/OL]. X（原Twitter）, (2026-10-29)[2026-10-30].https://x.com/binance.

> 免责声明：本文为基于上述公开来源的综合分析，不构成对任何主体行为的最终定性。涉案归因目前主要来自私营区块链情报机构，执法机关与币安的正式调查结论以官方发布为准。