币安疑遭加密史上最大规模黑客攻击 超60亿美元资产卷入

加密市场的安全警报正在变得越来越密集。

10 月以来，从硬件钱包供应链遭攻击，到预测平台因第三方服务商安全事件暂停交易，再到交易所被盗，安全风险不断冲击着市场信心。10 月 30 日，全球最大的加密交易所之一币安也卷入一场可能刷新行业纪录的安全事件。

币安初步估计，此次事件影响金额约 63 亿美元，目前已有约 30 亿美元资产被冻结。如果最终确认相关资产均遭盗取，这次事件的规模将远超 2025 年 Bybit 约 15 亿美元的被盗事件，成为加密行业有记录以来规模最大的盗币事件之一。

但这次事件的看点不只是金额。

攻击者利用钱包授权机制转移资产，Tether、Circle 等稳定币发行方随后冻结部分资金。与此同时，币安被攻击的钱包还涉及其公开披露的储备资产。这场攻击也再次将用户资产储备、交易所托管风险和稳定币冻结机制推到了台前。

55 分钟 60 亿美元

链上记录显示，攻击者提前两天就开始为这次攻击做准备。

独立研究人员对相关地址的分析显示，攻击者在 10 月 28 日从 Tornado Cash 提取少量 ETH，用于支付链上交易手续费；10 月 29 日部署清扫合约，并使用测试代币演练 EIP-7702 授权流程。

10 月 30 日凌晨，攻击正式开始。

链上记录显示，攻击者首先利用 EIP-7702 授权机制，让币安的 Binance 14 热钱包委托执行攻击者控制的合约。随后，合约开始批量转移钱包中的资产。

仅以以太坊网络为例，Binance 14 转出了约 16.7 万枚 ETH，以及价值约 16.15 亿美元的 USDT，同时涉及其他数十种代币。随后，Binance 16 等其他钱包也出现异常转账。

攻击并未局限于以太坊。比特币、波场、Solana 等多个网络也出现了异常资金转移。

不同研究机构对涉及地址、资产范围和统计时点的处理并不一致，因此链上转出金额存在不同估算。币安自己的初步调查给出的事件影响金额约为 63 亿美元，但这并不等于已经确认有 63 亿美元最终损失。

与直接窃取私钥不同，这次攻击利用了账户授权机制，将钱包变成了执行批量转账的工具。

钱包失守

攻击者能够让币安热钱包执行批量转账，前提是取得了相应的交易授权。问题在于，攻击者究竟是如何获得这些授权的？

链上记录显示，攻击者利用的是以太坊账户机制 EIP-7702。该机制允许普通账户委托智能合约代码执行，使钱包能够实现批量操作等功能。根据链上研究人员的分析，攻击者正是利用这一机制，让 Binance 14 执行了批量转移资产的合约操作。

但 EIP-7702 本身并不是安全漏洞。真正的问题在于，攻击者如何取得了钱包授权所需的签名。

这一风险其实早在机制讨论阶段就有人提出。2024 年 10 月，以太坊社区论坛的一则 EIP-7702 讨论中，开发者 0xjustadev 曾警告，该机制可能让攻击者利用不易辨认的签名，转走账户内包括原生代币在内的全部有价值资产。

这说明，当普通账户获得委托智能合约执行的能力后，用户签署授权的安全性变得更加重要。一旦攻击者取得了有效授权，就可能利用被委托的代码执行批量资产转移。

币安在初步调查中表示，事件可能与一名 DevOps 工程师的笔记本电脑遭入侵有关。攻击者可能借此访问服务容器，并提交未经授权的提款交易。币安同时表示，目前没有发现钱包私钥泄露的证据，完整技术事后分析仍需等待调查结束。

如果这一初步判断最终得到证实，攻击路径就不只是钱包私钥被盗，而是交易所内部设备、服务权限和资金签名流程之间的安全边界出现了问题。

对于交易所而言，保护资产并不只是把私钥存放在安全的地方。谁能发起交易、谁能调用签名服务、哪些内部系统拥有访问权限，以及异常操作能否被及时拦截，都属于资产托管安全的一部分。

资金争夺

在攻击者完成资产转移后，另一场围绕资金控制权的争夺随即展开：稳定币发行方开始冻结相关资产，攻击者则试图将资金转移到无法直接冻结的资产和网络中。

Tether、Circle 等发行方陆续冻结与事件相关的稳定币。根据路透社报道，Tether 冻结了近 15.7 亿美元相关资产，Circle 冻结超过 8 亿美元，Ripple 也冻结了约 2 亿美元。币安随后表示，链上合作伙伴已冻结约 30 亿美元资产。

PANews 的实时看板则根据 USDT、USDC 合约的黑名单状态追踪冻结情况，截至看板统计时，已识别被冻结的资产约为 25.79 亿美元。这一数字与币安公布的约 30 亿美元并不完全相同，主要需要结合双方的统计范围和更新时间理解。

但冻结不等于追回。它只能阻止特定地址继续转移发行方能够控制的代币，资金是否最终返还，还需要经过后续调查和处置程序。

与此同时，攻击者也在尝试通过兑换、出售和抵押等方式处置资产。

PANews 看板追踪到，攻击者已经通过去中心化交易所出售或兑换了约 4.31 亿美元的资产，涉及山寨币和稳定币换成 ETH 等操作。这意味着，部分被盗资产已经进入链上交易市场，而不只是停留在攻击者控制的钱包中。

攻击者还尝试利用借贷协议获取流动性。链上记录显示，攻击者曾向 Aave 存入约 6000 万美元 USDT作为抵押品，借出 19,762 枚 ETH。

这类操作与直接出售资产不同：攻击者通过抵押手中的资产借出另一种加密资产，在保留抵押品头寸的同时获得新的资金。被盗资产因此不仅可能成为市场卖压，也可能进入链上借贷体系，产生额外的风险敞口。

稳定币发行方能够冻结自己发行的 USDT、USDC，却无法通过同样的方式冻结 BTC、ETH 等资产。一旦资金兑换成其他加密资产，发行方就失去了这种直接控制能力。

因此，冻结金额并不等于追回金额，也不能简单用事件影响金额减去冻结金额，就得出攻击者最终拿走了多少资产。资金是否已经兑换、跨链、出售或用于抵押借款，都会影响后续追踪和追回。

储备压力

资金能否追回是一方面，资产转出是否影响交易所对用户的储备保障，则是这次事件带来的另一层风险。

CoinDesk 对币安 10 月 1 日储备证明的分析发现，Binance 14 正是币安公开列出的储备钱包之一。当时，该钱包持有约 8.95 万枚 ETH和 12.6 亿枚 USDT等资产。

这意味着，被攻击的钱包并不只是一个与用户资产无关的临时操作账户，它曾经承担着平台储备资产的支持作用。

CoinDesk 据此估算，相关 ETH 转出可能使币安的 ETH 储备覆盖率从此前的 100% 降至约 94%。USDC 和部分其他代币的储备覆盖情况也可能受到影响。

这里需要注意，储备证明反映的是特定统计时点的资产和用户负债情况，不等于实时资产监控。CoinDesk 的分析也不能直接证明币安整体资不抵债，但它提出了一个更具体的问题：当交易所用于支持用户余额的储备钱包遭到攻击，平台需要多快补足资产，才能继续维持足额储备？

币安随后承诺，所有损失将由 SAFU 基金和公司资金承担，并在完成修复后更新储备证明。

这项承诺意味着，币安不会把此次事件造成的损失直接转嫁给用户。但对市场而言，真正需要观察的还有后续储备数据：币安是否已经补足受影响资产，用户资产是否仍得到足额支持，以及新的储备证明能否反映修复后的情况。

安全事件频发

币安此次事件并非孤立个案。过去几年，币安及其关联生态也曾发生过多起大额安全事件。

2019 年 5 月，黑客通过钓鱼和恶意软件获取用户 API 密钥及谷歌验证码，从币安热钱包转走 7,000 枚 BTC，当时价值约 4,100 万美元。币安随后动用 SAFU 基金全额赔付用户，暂停充提服务约一周。2022 年 10 月，BNB Chain 跨链桥遭到攻击，攻击者利用伪造的验证证明铸造了 200 万枚 BNB，价值约 5.7 亿美元。不过，后者发生在跨链桥，而非币安交易所本身。

从整个行业来看，安全事件的影响范围也在扩大。据慢雾统计，2026 年上半年共发生 182 起安全事件，造成约 9.56 亿美元损失，事件数量同比增长 50.41%。

近期的案例也涉及不同的攻击环节。币安事件发生前数小时，预测平台 Polymarket 因第三方服务商 DebugBear 遭攻击而暂停交易。Arkham 追踪到一个疑似攻击者地址持有约 265 万美元的 POL。9 月 24 日，Bitget 遭遇约 3.875 亿美元资产被盗事件。根据 Bitget 后续披露及安全机构的调查，攻击者利用第三方安全产品中的零日漏洞获取高权限内部凭证，并入侵两套第三方安全设备，随后伪造提现指令。Bitget 表示，事件中没有发生钱包私钥泄露。

链上调查员 ZachXBT 发现，币安此次涉及的约 63 亿美元被盗资金与 Bitget 被盗的约 3.88 亿美元资金，经 THORChain 流入同一地址，之后发生资金混合。ZachXBT 据此认为，两起事件很可能由同一攻击者实施。

从热钱包、跨链桥到第三方服务商和内部凭证，这些事件涉及的技术路径并不相同，却都说明加密资产安全风险并不局限于智能合约漏洞或私钥泄露。交易所内部权限、外部服务商以及链上资金流转环节，都可能成为攻击者利用的入口。

10 月 30 日中午，何一表示，充值功能正常运行，团队正在加强提现服务及相关地址管控，预计未来 48 小时内逐步恢复提现。币安还表示，将在事实核实后发布详细的技术事后分析。

但提现恢复和资金冻结，并不意味着这次事件已经结束。攻击者转移的资产能追回多少、币安如何补足受影响的储备，以及后续储备证明能否重新显示用户资产得到足额支持，仍是市场接下来需要关注的问题。