北京时间 10 月 30 日凌晨，币安遭黑客攻击，多条区块链上的热钱包资产相继被转出。当天上午，币安确认此次安全事件总影响约 63 亿美元，约 30 亿美元已在链上冻结，并承诺以 SAFU 基金和公司自有资金承担全部损失。

按被盗时价值计算，这是加密行业有记录以来金额最大的盗窃案，约为 2025 年 Bybit 被盗案的四倍。消息传出后，比特币一度跌破 7.7 万美元，BNB 跌近 10%。

被冻结的 30 亿美元之外，剩下的资产流向了哪里？币安称这是一次复杂攻击，攻击者如何让交易所的签名系统为其所用？全额赔付的承诺，又意味着多大的代价？

 

一、50个预签名授权，3分24秒清空币安核心热钱包

攻击当晚的资金流出过程，ChainCatcher 已在《复盘币安 56 亿被盗案全过程，何一表示承担全部被盗损失》一文中梳理。此后各方的链上复盘，补充了更多攻击细节。

据 Cobo 联合创始人神鱼复盘，攻击者事前制定了涵盖 64 种代币的转移清单，并用测试钱包演练了两次，最后一次距正式攻击约 3 个半小时。慢雾创始人余弦表示，黑客的操作较为粗糙，但正式动手前做足了演练准备。

据 TRM Labs 统计，最早被转出的是币安在 XRP Ledger 上的五个钱包，时间是凌晨 4 时 05 分，比以太坊上的大额转出早了约 20 分钟。随后，币安在 Solana、比特币、波场等链上的钱包相继被转出，最终涉及十条区块链。

以太坊上，神鱼和安全公司 Blockaid 的分析均显示，攻击者在 4 时 20 分广播了一笔包含 50 个授权的交易，目标是币安热钱包 Binance 14。

借助 EIP-7702 机制，普通钱包可以通过签署授权，把执行权委托给一个智能合约，但每个授权只在钱包当时的交易序号上有效。

由于 Binance 14 一直在处理用户提现，序号不断变化，攻击者提前准备了 50 个连续序号的签名，其中一个命中，3 分 24 秒后，钱包资产被一次性转走。

此后委托一直有效，新资金一进入钱包就会被再次扫走，TRM Labs 记录到的最后一次转出发生在早上 7 时 56 分。资产离开币安钱包的同时，一场冻结与转移的赛跑也开始了。

 

二、约30亿美元被冻结，1.8万枚 BTC 仍在黑客手中

稳定币发行方是最先出手的。主转账发生 37 分钟后，Tether 就冻结了主接收钱包中的 9.7 亿多枚 USDT。Tether 首席执行官 Paolo Ardoino 随后表示，已冻结超过 15.6 亿枚与此次事件相关的 USDT。

Circle 首席执行官 Jeremy Allaire 也表示，Circle 冻结了超过 8 亿枚 USDC。Ripple 冻结了 4,054 万枚 RLUSD，World Liberty Financial 也冻结了相关的 USD1。

按链统计，以太坊上被转移的约 37.5 亿美元资产中，约 24 亿美元已被冻结；波场上被转移的约 6.3 亿美元中，约 3.8 亿美元已被冻结。

攻击者显然预料到了这一点。神鱼指出，攻击过程中，攻击者将部分 USDT 等可冻结资产兑换为 ETH，以规避发行方冻结。据 TRM Labs 披露，攻击者以超过 10% 的折价把约 3.25 亿枚 USDT 卖给做市商，换成约 12.2 万枚 ETH。

据链上分析平台 Lookonchain 监测，攻击者还抛售了 UNI、ENA、PEPE 等七种代币，共换得约 7 万枚 ETH。链上分析师余烬感叹，这个市场唯一的赢家只有黑客。

据 Arkham 统计，发行方已冻结约 28 亿美元，黑客仍可转移的资产约 29 亿美元，主要是 10 个地址中的 49.6 万枚 ETH，以及分布在 19 个地址、自凌晨 4 时 48 分起未再移动的 18,270.2 枚 BTC。

ETH 已开始转移，据链上监测平台 Onchain Lens，攻击者 30 日午后又将 1.7 万多枚 ETH 转入一个新地址。

关于攻击者身份，TRM Labs 以高置信度将其归因于朝鲜黑客组织 TraderTraitor，美国联邦调查局此前认定该组织是 Bybit 案的幕后黑手。

链上侦探 ZachXBT 指出攻击者可能是朝鲜 Lazarus Group，并发现币安与今年 9 月 Bitget 被盗案的资金经 THORChain 流入同一地址并发生混合。

慢雾创始人余弦也表示，币安黑客资金与 2025 年初 Phemex 被盗案的黑客地址产生关联，该案当时被查出涉及朝鲜黑客。

不过 TRM Labs 指出，此次攻击者主要借助做市商兑换和借贷协议转移资金，与 Bybit 案后大量使用跨链桥的方式有所不同。

 

三、币安承诺全额赔付，事因调查仍在更新

异常转账出现后，币安先是表示注意到潜在安全问题的报告，尚未确认用户资金受到影响。

凌晨 5 时 52 分前后，币安称部分用户提现因技术错误受阻。

约 20 分钟后，官方表示，提现将在安全问题完全解决后恢复，随后币安 Alpha 交易也被暂停。

早上 8 时左右，币安联合创始人何一表示，币安将承担全部被盗损失。

8 时 30 分前后，币安宣布暂停全部充值和提现。

10 时 23 分，币安公布初步调查结果，称事件可能涉及一名 DevOps 工程师的笔记本电脑被入侵，攻击者借此进入一个服务容器，并提交了未经授权的提现交易，目前没有发现钱包私钥泄露的证据。

随着调查推进，12 时 36 分，币安称充值正常运作，提现将在完成安全改造后于 48 小时内恢复，并表示事件由多重因素造成，一台被入侵的电脑可能是入口。

16 时 56 分，币安又表示后续调查发现了更多入侵点，这是一次复杂攻击。

币安华语社区经理 sisi 解释称，员工电脑被黑只是攻击的起点，并不存在某位工程师可以一键操作转走资金的情况。联席 CEO Richard Teng 则表示，调查并未将责任归咎于任何个人。

值得一提的是，就在事发三天前，币安曾公告称过去一周其安全团队识别并阻止了多起朝鲜相关攻击，并提醒朝鲜黑客正借虚假招聘面试、代码测试等方式，诱导目标运行恶意程序。

赔付方面，币安表示将通过 SAFU 基金和公司自有资金承担全部损失，并在修复完成后发布更新版储备金证明。CZ 表示，此次损失约 60 余亿美元，其中 30 亿美元已被冻结，SAFU 基金约 10 余亿美元，剩余缺口约 20 亿美元。

他表示，币安当年参与马斯克收购 Twitter 时投入 5 亿美元，由此持有的 SPCX 股份现价值超过 10 亿美元，可覆盖大部分剩余缺口，剩下的部分仍然痛苦但可控。

何一随后回应称，公司全年收入足以覆盖损失，因此暂时不需要出售 SpaceX 股份。

此前加密博主加密无畏按 Forbes 等第三方估算的 160 亿至 170 亿美元年收入推算，认为币安可能不到一年就能赚回损失。

 

四、被盗 BTC 难成抛压，提现暂停冲击更大

消息传出后，加密市场普遍下跌。数据显示，攻击发生后一小时内，全网爆仓 6.277 亿美元，其中多单占 6.066 亿美元，币安一家就占了 3.448 亿美元。

1.8 万枚 BTC 落入黑客手中，市场最直接的担忧是抛压。加密分析师 Benson Sun 认为，这部分 BTC 要真正变成抛压并不容易。比特币上没有像 Tornado Cash 那样流动性足够深的大型混币器，相关地址也会被各大交易所和链上分析公司标记，光是拆分地址加混币就是以年计算的工程，此后还要折价通过场外交易出售。在他看来，被盗 BTC 表面上是利空，实际上相当于变相锁仓。

加密 KOL 土澳大狮兄也提到，ChipMixer、Bitcoin Fog、Samourai 等比特币混币服务近年已陆续被关停或起诉，大部分中心化交易所也实行严格的 KYC 并会配合冻结。2016 年 Bitfinex 被盗约 12 万枚 BTC，黑客只洗出一小部分，6 年后美国执法部门追回了约 9.4 万枚。

加密存储公司 Ballet 创始人 Bobby Lee 则表示，这些比特币很可能已经无法追回。对币安来说追不回，对黑客来说也难以卖出，这部分 BTC 或将长期沉淀在链上。

ETH 的情况有所不同。Benson Sun 指出，大量 ERC-20 代币被换成 ETH 后再进入 Tornado Cash，基本就很难追踪，真正可能形成市场抛压的大约在十几亿美元量级。

跌得更深的反而是山寨币，Solana、XRP 等代币的跌幅普遍超过比特币和以太坊。KOL Seven Research 认为，这与提现暂停直接相关。圈内大部分做市商和量化机构的主保证金账户都在币安，很多机构做跨所套利或对冲，币安一关提现，资金链当场被卡住。行情继续波动时，它们无法从币安提钱补充其他平台的保证金，只能在其他交易所和链上被迫平仓抽回现金。

Seven Research 还提到，不少二三线交易所、理财平台和项目方国库，本质上也是把资金归集在币安的机构账户里，如果提现暂停时间拉长，这些平台可能面临挤兑。

目前已有机构开始行动，ChainUp Investment 首席投资官 Amanda He 对路透社表示，他们已卖出币安上的全部仓位，能转走的先转走，转不走的就卖掉换成稳定币。

对于后市，加密交易员 Bonk Guy 表示，不认为市场已经脱离险境。他联想到去年 10 月 11 日的大规模清算，当时许多人以为底部会立即到来，结果市场经历了一轮漫长的低迷，因此建议谨慎抄底，提防二次下跌。

也有投资者感慨，如今在加密市场赚钱越来越难，守住钱更难。

 

五、私钥守住了，签名流程失守

价格波动之外，这次事件更让业内警惕的，是它暴露出的安全问题。

币安称未发现私钥泄露，而攻击者似乎也并不需要私钥。TRM Labs 指出，被转出资产的钱包分布在十条链上，密钥类型和签名方案各不相同，却都在约半小时内为攻击者产生了有效签名。

最可能的解释是，攻击者获得了让币安热钱包签名系统按其意志签署交易的能力。

50 个授权被提前批量签好，也说明这种访问可能有时间限制，或需要通过某个系统请求签名。

安全公司 Blockaid 首席执行官 Ido Ben-Natan 同样认为，这更像是签名基础设施被攻破，私钥本身并未外泄。神鱼也认为核心问题可能出在签名环节，目前未发现合约漏洞，究竟是私钥泄露还是签名系统遭利用，仍有待币安进一步确认。

不过，慢雾首席信息安全官 23pds 更倾向于私钥泄露的假设。Seven Research 也认为，从攻击者能顺带清空 Binance 14 名下另一个智能钱包来看，这种打法更像是主私钥已经落入黑客手中。

业内的讨论很快转向防御。OKX 创始人徐明星表示，安全不应成为商业竞争的领域。他建议，向未经验证地址的大额提现和授予智能合约权限的交易，都应附加额外验证和安全延迟，且这些限制应在密码学签名层强制执行，即便钱包管理系统被攻破也无法绕过。他还呼吁建立行业协同机制，必要时快速依法冻结可疑被盗资产。

Gate 创始人韩林则分享了保险箱方案，私钥通过 MPC 拆成三个分片，分别由用户设备、Gate 和一家第三方灾备机构持有，资产转出设置 48 小时延迟，期间用户可随时冻结。

值得一提的是，就在事发前数小时，微软发布报告评估了 8 个朝鲜黑客组织的 AI 应用水平，其中 3 个已将 AI 融入日常攻击流程。不过目前尚未确认此次攻击是否使用了 AI。

硬件钱包公司 OneKey 创始人 Yishi 认为，无论 Bybit 还是币安，私钥都未被直接窃取，攻击者攻破的是交易审批流程，这类风险同样存在于冷存储。

Yishi 以全球最大的比特币 ETF IBIT 为例，据 CoinGlass 估算，IBIT 目前持有约 76 万枚 BTC，主要由 Coinbase 托管。贝莱德虽在 2025 年增设 Anchorage Digital 为额外托管商，但截至最新季报仍无转移计划。Coinbase 披露的 3.2 亿美元商业犯罪保险由其所有客户共享，按 IBIT 当前规模计算，覆盖比例不足 1%。

若发生重大盗窃且无法追回资产或获得足额赔偿，损失可能由 ETF 持有人承担。其怀疑 IBIT 已成为攻击目标。

与此同时，资金却在流向 IBIT。火币联合创始人杜均表示，早年经他配置 BTC 的家族办公室，在经历交易所被盗和冷钱包供应链安全事件后，纷纷把 BTC 换成了 IBIT，还有一部分直接卖币买了实物黄金。也有加密投资者认为，自行持有比特币现货才是更可靠的选择。

 

六、冻结权再起争议，链上干预边界受关注

当私钥和流程都可能失守，链上冻结成了追回资产的重要手段。

30 日上午 8 时 19 分，Arbitrum 发布声明称，其安全委员会已采取紧急行动，将 Arbitrum One 上一个与币安攻击相关地址中的 74,559,805 枚 ARB 和 8,425 枚 ETH 转入中间冻结钱包，价值约 3,000 万美元。

这些资产此后只能经安全委员会进一步操作，或经 Arbitrum DAO 治理投票才能动用。

有分析人士指出，安全委员会临时升级了一个系统合约，以攻击者地址的名义执行转账，随后恢复了原有实现，整个过程无需攻击者签名。

按照 Arbitrum 章程，这类紧急行动需 12 名委员中至少 9 人批准。今年 4 月，Arbitrum 曾以同样方式冻结 KelpDAO 被盗案中的 30,766 枚 ETH，两次针对的都是被归因于朝鲜的资金。

链上分析师余烬调侃，这名黑客或许没想到 Arbitrum 能直接从他的钱包里把钱转走。冻结本身则再次引发争论。

支持者认为，冻结黑客资产理所应当。加密分析师 yyy 表示，去中心化的目的是对抗强权、服务大众，如果中心化手段被用于帮助大众，就值得推崇，冻结黑客资产正属于这种情况。

质疑者关注的主要是权力边界。加密研究者 CyberSatoshi 认为，以太坊主网上的 ETH 不可篡改，但 Rollup 上的余额由 12 选 9 的多签管理，L2 资产的主权程度取决于控制跨链桥的管理员密钥。也有分析人士提出，区块链治理在什么情况下才应拥有不经持有人签名强制转移资产的权力，仍需要更明确的边界。

冻结之后，资产归谁同样是个难题。KelpDAO 案冻结的 ETH 原计划用于补偿受害用户，但 5 月初，一批对朝鲜持有恐怖主义判决、尚未获偿的债权人向美国法院申请限制令，主张这笔 ETH 属于朝鲜享有权益的财产。5 月 8 日，纽约南区联邦法院允许 Arbitrum DAO 投票将资产转给 Aave LLC，但限制令随资产一并转移，法院对核心争议保留了裁决。

截至发稿，币安提现尚未恢复，按官方时间表预计将于 11 月 1 日重启。储备金证明和技术复盘报告何时发布，剩余的 BTC 与 ETH 何时开始移动，被冻结的约 30 亿美元资产最终归属如何，仍有待后续进展。