币安63亿美元被盗细节：热钱包签名系统疑遭攻破，损失创历史纪录

2026 年 10 月 31 日，全球最大加密货币交易所「币安」遭遇的重大黑客攻击事件有了进一步进展。此次攻击涉及约 63 亿美元加密资产，创下加密货币行业单次盗窃金额的最高纪录。

币安已预留超过 63.4 亿美元资金用于弥补损失，约 30 亿美元被盗资产已在链上被冻结，提现服务计划分阶段恢复。

区块链分析公司 TRM Labs 的调查显示，攻击者至少提前 36 小时开始准备，主要盗取活动集中在约 20 分钟内完成，涉及多个区块链网络。币安联席首席执行官 Richard Teng 披露，此次攻击存在多个入侵点，黑客使用了能够自行删除痕迹的恶意程序，并利用热钱包交易授权机制绕过正常审批流程。美国联邦调查局（FBI）和特勤局已参与调查，多家区块链分析机构怀疑此次攻击与朝鲜背景黑客组织有关。

提前 36 小时准备，20 分钟集中盗取巨额资产

根据 TRM Labs 的链上调查，攻击者最早于 10 月 28 日开始准备相关交易。当天，攻击者控制的钱包陆续收到来自混币服务 Tornado Cash 的三笔小额以太币。10 月 29 日，攻击者部署初步攻击代码，在多个钱包上进行测试，随后完成最后一次演练。约 4 小时后，相同代码被用于币安的一个热钱包。

10 月 29 日 20 时 05 分（UTC）左右，攻击正式开始。最先遭到攻击的是 XRP Ledger 网络。20 时 05 分至 20 时 09 分，币安的 5 个钱包向同一个攻击者地址转出约 2.3346 亿枚 XRP。20 时 10 分过后，Solana 和 Optimism 网络上的币安钱包相继出现异常转账。20 时 20 分，一个币安比特币热钱包向攻击者地址转出 18270 枚比特币，当时价值约 14.7 亿美元。攻击者随即通过多笔交易将这些比特币拆分至不同地址，其中大量转账以每笔 1000 枚或 100 枚比特币进行。

约两分钟后，波场网络上的币安热钱包又转出约 6.127 亿枚 USDT 和 4640 万枚 TRX。与此同时，以太坊网络上的多个币安钱包也遭到攻击。

TRM Labs 发现，大部分资产在最初约 20 分钟内被盗，但资金转移并未立即结束。当日 23 时 05 分左右，Avalanche 和 Polygon 网络上的部分币安钱包再次出现异常资金转出。一个受影响的以太坊钱包直到 23 时 56 分仍有资产被转走。

按照 TRM Labs 对 10 条区块链的追踪以及资产被盗时的价格计算，此次损失约 63.6 亿美元。其中，以太坊网络损失约 37.9 亿美元，比特币网络约 14.7 亿美元，波场网络约 6.28 亿美元，XRP Ledger 约 2.96 亿美元，Solana 网络约 9600 万美元，其余损失分布于 Arbitrum、Optimism、Base、Avalanche 和 Polygon。另一家区块链分析公司 Elliptic 追踪了 11 条区块链，估算被盗资产约 64.3 亿美元。

员工电脑疑似遭入侵，黑客操纵热钱包签名系统

此次事件最初被怀疑与一名开发运维（DevOps）工程师的笔记本电脑有关。币安首份公告披露，攻击者可能通过受入侵的电脑进入内部服务容器，并提交未经授权的提现交易。不过，后续调查发现了其他入侵点。

Richard Teng 进一步披露，此次攻击并非由一人完成。攻击者还使用了能够自行删除恶意工具及操作痕迹的机制，增加了调查人员还原攻击过程的难度。

TRM Labs 的链上调查发现，攻击者可能获得了调用币安热钱包交易签名系统的能力，使多个钱包向指定地址转账。其中，以太坊网络上的攻击涉及 EIP-7702 授权机制。

EIP-7702 是以太坊于 2025 年 5 月 Pectra 升级期间引入的功能，允许普通钱包通过签名授权，将部分执行行为委托给智能合约。TRM Labs 发现，攻击者提前准备了 50 份由币安热钱包有效签署的授权，分别对应不同的交易序号（Nonce）。由于热钱包持续处理大量交易，其交易序号不断变化，攻击者准备连续序号的授权，以确保其中至少一份能够在提交时生效。

10 月 29 日 20 时 20 分（UTC），攻击者提交包含这些授权的交易，其中一份成功生效，使币安热钱包开始执行攻击者控制的恶意合约。3 分 24 秒后，攻击者通过一笔交易从该钱包转走 167464 枚以太币及另外 63 种代币，其中包括约 16.15 亿枚 USDT。攻击者还利用该钱包拥有的执行权限，从另一个币安智能账户转移约 8.23 亿枚 USDC。

相关授权并未立即失效。此后数小时，每当新的资产进入受影响热钱包，攻击者便再次执行转账，持续转移资金。与此同时，其他区块链上的币安钱包也通过具有有效签名的普通转账交易遭到盗取。

TRM Labs 认为，这些区块链采用不同的密钥和签名机制，却几乎同时出现能够执行异常交易的有效签名，表明攻击者可能已经取得了调用币安跨链热钱包签名基础设施的权限。不过，币安目前尚未发现钱包私钥泄露的证据，也尚未公布完整技术根因。现有调查结果不能证明 EIP-7702 机制本身存在软件漏洞。

约 30 亿美元被冻结，黑客仍控制 32.3 亿美元资产

攻击发生后，多家稳定币发行商迅速采取冻结措施。根据 TRM Labs 截至 10 月 30 日 00 时 30 分（UTC）的链上统计，Tether 冻结约 17.7 亿枚 USDT，Circle 冻结约 8.25 亿枚 USDC，Ripple 冻结约 4050 万枚 RLUSD，World Liberty Financial 冻结约 2780 万枚 USD1。

币安联席首席执行官何一此前提到，Ripple 协助阻止约 2 亿美元资金转移，但这一数字与 TRM Labs 在链上确认冻结的 4050 万枚 RLUSD 并非同一统计口径。

Arbitrum 安全委员会还采取紧急措施，将攻击者控制的 8426 枚以太币和 7460 万枚 ARB 转移至其无法控制的地址，涉及资产价值约 3000 万美元。Paxos、First Digital 等机构也参与了后续冻结行动。

Elliptic 的链上调查确认，约 28.4 亿美元被盗资产已被冻结。币安随后披露的冻结总额约为 30 亿美元。不过，冻结行动未能阻止攻击者转移其他资产。

根据 Elliptic 于 10 月 30 日 19 时 30 分（UTC）更新的调查，攻击者仍控制约 32.3 亿美元无法由代币发行方直接冻结的资产，分布在数十个地址中。其中包括 519104 枚以太币（价值约 11.5 亿美元）、18270 枚比特币（价值约 13.9 亿美元），此外还有约 2.33 亿枚 XRP 和约 5.75 亿枚 TRX。

与 USDT、USDC 等能够由发行商实施地址冻结的稳定币不同，比特币、以太币和 XRP 等原生资产没有能够直接冻结相关余额的中心化发行机构。即使调查人员能够追踪资产去向，也无法仅通过发行商冻结地址的方式阻止转移。已经被冻结的资产同样不能等同于币安实际追回的资金。

黑客开始转移资金，不惜承受最高 26% 的交易损失

Elliptic 调查发现，在稳定币发行商完成冻结前，攻击者已经将约 7.86 亿美元稳定币转换为以太币和 TRX。其中，约 4.34 亿枚 USDT 通过 Uniswap、1inch 等去中心化交易渠道转换为 160451 枚以太币。这些交易的成交价格明显不利于攻击者，相对于当时市场价格存在约 12% 至 26% 的损失。

攻击者还向去中心化借贷平台 Aave 存入约 5990 万美元 USDT 作为抵押品，借出 19762 枚以太币。Aave 随后冻结相关市场，但没有直接没收攻击者的抵押资产。波场网络上，攻击者将约 2.34 亿枚 USDT 兑换成约 6.38 亿枚 TRX，并将资金分散至多个地址。部分资金随后通过交易服务和跨链协议转移至其他网络。

Elliptic 最新调查显示，10 月 30 日 11 时 38 分至 12 时 29 分（UTC），攻击者将被盗 AVAX 兑换为 USDC，通过 Circle 的跨链转账协议转移至以太坊网络，再兑换为约 7243 枚以太币。波场网络上的资金转移活动也在加快。按照 Elliptic 的追踪，已有价值约 2000 万至 3600 万美元的 TRX 离开其重点监测的相关地址，部分资金流入跨链交易和兑换服务。

此外，18270 枚被盗比特币已通过连续拆分交易分散至 19 个地址，但截至 Elliptic 最新调查时，尚未发现这些比特币进入交易所等服务机构。

此次攻击涉及的部分资金，还与 2026 年 9 月 Bitget 遭攻击事件中的资金进入相同钱包。不过，Elliptic 指出，不同攻击者可能使用同一资金转移网络，这一联系尚不足以证明两起攻击由同一组织实施。

币安准备超过 63.4 亿美元资金，承担全部损失

面对巨额资产损失，币安承诺使用用户安全资产基金（SAFU）及自有资金承担全部财务影响，用户无需承担此次黑客攻击造成的损失。

币安 10 月 30 日发布的第二次官方公告显示，已预留超过 63.4 亿美元资金。其中，价值约 50 亿美元的对应代币已经备妥，包括 USDT、USDC、比特币、以太币及 BNB 等，覆盖约 80% 的被盗资产规模。对于剩余约 20% 的对应代币，币安正在通过公开市场和场外交易渠道继续采购。

《路透社》报道，币安 SAFU 基金规模约 10 亿美元，以比特币形式持有，主要用于应对平台发生安全事件时的用户资产损失。币安已隔离受影响的基础设施，撤销相关授权，并对提现系统、内部权限及安全控制措施进行检查和升级。

第二次官方公告显示，充值及其他未受影响的服务正常运行，提现仍处于暂停状态。币安技术团队计划在公告发布后约 34 小时内启动分阶段恢复提现，具体取决于安全检查结果。提现将根据不同代币逐步开放，并非一次性恢复全部服务。币安还计划在 11 月 2 日公布更新后的储备金证明（Proof of Reserves），披露平台最新资产持有情况及用户余额对应的储备资产。

多家机构怀疑朝鲜黑客，美国 FBI 介入调查

关于攻击者身份，TRM Labs 将此次攻击归因于朝鲜背景黑客组织 TraderTraitor，并称其判断具有高度可信度。2025 年 2 月，Bybit 交易所曾遭黑客盗取约 15 亿美元加密资产，美国联邦调查局随后将该案归因于同一组织。

TRM Labs 指出，此次币安攻击与此前多起朝鲜背景黑客事件存在相似之处，包括提前准备攻击工具、获取钱包有效签名，以及在短时间内集中转移资产。Chainalysis 同样认为此次攻击可能与朝鲜背景黑客有关。不过，Elliptic 指出，虽然现有证据支持朝鲜黑客参与的判断，但部分资金转移行为与以往朝鲜黑客的模式存在差异。

《路透社》报道称，FBI 已确认知悉此次事件，并正与相关政府和私营机构共同评估事件影响及开展调查。美国总统特朗普 10 月 30 日在白宫接受记者提问时表示，尚不清楚朝鲜黑客是否参与此次攻击，美国政府正在调查。负责监管币安相关业务的阿布扎比全球市场金融服务监管局（FSRA）也已与币安保持沟通，并持续关注事件进展。

Coinbase 加强安全措施，其他交易所启动检查

此次事件还引发其他加密货币交易所采取防范措施。Coinbase 已对离线保存加密货币密钥的系统进行预防性调整。Kraken 也在持续监控行业安全事件，检查是否需要进一步完善防护措施。OKX 首席执行官徐明星呼吁行业建立实时安全预警机制，使交易平台能够在发生黑客攻击时共享信息、协调应对，并及时冻结可疑资产。独立运营的 Binance.US 确认，平台未受到此次事件影响，用户资产和相关服务正常运行。

币安全球注册用户约 3.35 亿。币安 2025 年年度报告显示，平台储备金证明覆盖的用户资产余额达到约 1628 亿美元。TRM Labs 数据显示，2025 年全球加密货币行业近 150 起黑客攻击造成约 29 亿美元资产损失，不及此次币安单次被盗金额的一半。

此次事件还引发加密货币市场下跌。比特币一度跌至 76368 美元，创六周新低；以太币跌至 2178 美元，创两个月新低。币安平台币 BNB 在 24 小时内下跌约 6.4%，Coinbase、Strategy 等加密货币相关上市公司股价也受到冲击。