ChainPeak

Binance 被盗追踪 🔟 Binance 热钱包安全事件：流程、攻击逻辑与阶段性复盘：数十亿美元是怎么被黑客转走的？ 根据目前公开的链上分析，涉及多个热钱包的异常资金流出规模可能达到 55—60 亿美元。如果最终确认，这可能成为加密行业历史上规模最大的盗币事件。 不过先说明一下：这个金额目前仍然是第三方估算，并不是币安确认的最终损失，目前已有约 30 亿美元相关资产被核实冻结，币安也宣布暂停充提并展开安全调查。 我花了一些时间研究这次事件，发现最值得关注的，其实不是黑客转走了多少钱，而是他们究竟怎么做到的。 因为这次攻击，可能暴露了一个比私钥泄露更加值得我们警惕的问题。 1️⃣ 黑客究竟做了什么？ 先理解一个概念：热钱包。 交易所每天要处理大量充值、提现，不可能每一笔交易都让工作人员拿出离线硬件钱包操作，所以需要使用能够在线签名、转账的热钱包。 这让交易所能够高效运行，但也让热钱包成为黑客的重要攻击目标。 根据安全机构 Blockaid 的分析，在事件发生前，攻击者已经部署了恶意智能合约，还进行了多次小额测试。 北京时间 10 月 30 日凌晨 4:20 左右，攻击者向 Binance 14 热钱包提交了一组特殊授权。 大约四分钟后，大规模转账开始了。 仅首批转出，就涉及大约： 16.7 万枚 ETH 16.15 亿枚 USDT 以及数十种其他代币 随后，Binance 16 等其他钱包也出现异常转出，多个网络上的资金开始向攻击关联地址集中。 整个过程非常迅速。 更值得注意的是，这并不是简单地把一笔钱转到另一个地址，而是一场有准备、有自动化程序参与的攻击。 2️⃣ 黑客到底是怎么拿到钱的？ 这次事件最重要的技术线索，是以太坊的 EIP-7702。 很多人看到这个名字可能就没有兴趣继续读了，其实原理并不复杂。 正常情况下，一个钱包想转钱，需要私钥对应的有效签名。 但是 EIP-7702 提供了一项功能：允许普通钱包经过授权后，委托一段智能合约代码来执行操作。 这项功能原本是为了让钱包更方便，例如批量交易、自动化操作。 但它也带来了新的权限管理风险。 可以这样理解： 你有一个保险柜，正常情况下，只有你拿钥匙才能打开。 但现在保险柜增加了一个功能：你可以签署一份授权书，让一台机器按照设定的规则帮你管理里面的东西。 如果有人让你签下了一份恶意授权，这台机器可能就会按照攻击者的规则，不断把里面的资产搬走。 本次链上分析显示，Binance 14 就出现了这样的恶意委托。 黑客还一次提交了 50 条不同交易序号的授权，最终有一条成功生效。 随后，恶意程序开始批量清扫钱包中的资产，甚至能够继续转走后来流入的部分资金。 但这里有一个非常关键的问题： EIP-7702 的授权本身仍然需要有效签名，黑客并不能凭空取得钱包控制权。 也就是说，真正需要调查的是：攻击者究竟怎样拿到了这份有效授权？ 目前存在两种主要可能。 第一种，私钥真的泄露了，黑客直接获得了签名能力。 第二种，私钥没有被直接偷走，但攻击者控制或欺骗了签名系统，让它批准了原本不应该批准的内容。 这两种情况都能解释部分链上现象，但目前还没有足够证据确认究竟是哪一种。 而这恰恰是整个事件最值得追查的地方。 3️⃣黑客可能来自哪里？ 很多人第一时间联想到了朝鲜黑客组织 Lazarus。 这个猜测并非完全没有背景。 2025 年 Bybit 发生过约 15 亿美元的盗币事件，FBI 后来将其归因于朝鲜相关攻击者。 两次事件都涉及大型中心化机构的资产安全，部分安全研究人员也认为，这次攻击的准备方式和签名操纵特征，与过去的专业攻击活动存在相似之处。 但我认为，这里需要保持谨慎。 攻击手法相似，不等于攻击者就是同一个组织。 目前没有足够公开证据，把 Binance 这次事件明确归因于 Lazarus，或者任何特定国家。 从已经观察到的准备工作、多钱包操作以及后续资金处理来看，我更倾向于认为，这是一场由具备较强技术和组织能力的攻击者实施的行动，而不是临时起意的普通盗币。 至于究竟是谁，需要更多链上关联证据、内部系统日志和安全调查结果。 4️⃣ 这么多资产，黑客能全部拿走吗？ 不一定。 攻击发生后，Tether、Circle 等机构开始配合冻结相关资产，币安也在与执法部门和安全机构合作追踪资金。 但这里需要区分三个概念： 被黑客转走的钱、被冻结的钱，以及最终无法追回的钱。 这三个数字并不相同。 USDT、USDC 这类中心化发行的稳定币，在特定条件下可以由发行方冻结。 但 ETH、BTC 等原生资产的处理方式不同，不能简单依靠发行方拉黑地址来追回。 黑客显然也知道这一点。 公开分析显示，攻击者在转移资金后，又进行了地址拆分、代币兑换，甚至利用 Aave 借贷协议抵押部分稳定币，借出 ETH。 目的未必只有一个，但客观效果是增加了资产追踪和处置的复杂程度。 所以，现在说黑客盗走了 60 亿美元，或者币安只需要承担剩下多少损失，都还为时过早。 冻结不等于已经追回，资产转出总额也不等于最终净损失。 真正的数字还要等待后续调查和对账。 5️⃣ 这次事件给我们什么启发？ 我认为至少有三个方面值得认真思考。 1）首先，私钥安全不等于资产绝对安全。 过去很多人认为，只要私钥没有泄露，钱包就是安全的。 但如果攻击者能够操纵签名请求、欺骗审批流程，或者滥用已经获得的授权，最终同样可能产生有效的链上交易。 这不代表私钥保护不重要，而是说明安全还必须覆盖整个授权过程。 2）其次，分散钱包不一定意味着真正分散风险。 假如多个钱包使用同一套签名服务、审批系统，或者存在共享的管理权限，那么某一个关键环节被攻击，就可能影响多个钱包。 真正有效的风险隔离，不只是把资产分开放，而是让不同资产之间的控制权限也保持独立。 3）最后，也是我认为最重要的一点： 交易所的安全，不应该只依赖于它不会出事，而要看它出事以后有没有能力承担后果。 币安目前已经表示会承担相关损失，并在推进资产冻结和调查。 这是积极的一面。 但我们还需要继续关注：攻击入口是否已经找到？风险是否真正被隔离？用户提现什么时候能够安全恢复？最终的资产缺口又将如何补足？ 我一直认为，在 Crypto 世界里，投资者经常会花大量时间研究一个资产未来能涨多少，却很少认真思考一个更基本的问题： 如果市场方向判断对了，但资产因为黑客、托管或其他安全问题而丢失，那前面所有的投资判断还有什么意义？ 这次事件也再次提醒我们，资产安全并不只是一个技术问题，它还是一个关于权限、信任和风险承担的问题。 从目前证据来看，我们还不能断定黑客最初的入侵方式，更不能确定攻击者身份。最终结论仍需等待完整调查。 但有一点值得所有长期投资者记住：赚钱需要判断力，留住钱需要一套能经受意外的安全结构。 对于一个想在 Crypto 市场长期生存的人而言，后者可能比前者更加重要。 注：本文依据截至 2026 年 10 月 30 日上午的公开信息整理，涉及金额及攻击归因仍可能随调查更新。