從幣安被盜看加密行業的安全幻覺：凍結、賠付與中心化

作者：Zhou，ChainCatcher

北京時間 10 月 30 日凌晨，幣安遭黑客攻擊，多條區塊鏈上的熱錢包資產相繼被轉出。當天上午，幣安確認此次安全事件總影響約 63 億美元，約 30 億美元已在鏈上凍結，並承諾以 SAFU 基金和公司自有資金承擔全部損失。

按被盜時價值計算，這是加密行業有記錄以來金額最大的盜竊案，約為 2025 年 Bybit 被盜案的四倍。消息傳出後，比特幣一度跌破 7.7 萬美元，BNB 跌近 10%。

被凍結的 30 億美元之外，剩下的資產流向了哪裡？幣安稱這是一場複雜攻擊，攻擊者如何讓交易所的簽名系統為其所用？全額賠付的承諾，又意味著多大的代價？

一、50個預簽名授權，3分24秒清空幣安核心熱錢包

攻擊當晚的資金流出過程，ChainCatcher 已在《復盤幣安 56 億被盜案全过程，何一表示承擔全部被盜損失》一文中梳理。此後各方的鏈上復盤，補充了更多攻擊細節。

據 Cobo 聯合創始人神魚復盤，攻擊者事前制定了涵蓋 64 種代幣的轉移清單，並用測試錢包演練了兩次，最後一次距正式攻擊約 3 個半小時。慢霧創始人余弦表示，黑客的操作較為粗糙，但正式動手前做足了演練準備。

據 TRM Labs 統計，最早被轉出的是幣安在 XRP Ledger 上的五個錢包，時間是凌晨 4 時 05 分，比以太坊上的大額轉出早了約 20 分鐘。隨後，幣安在 Solana、比特幣、波場等鏈上的錢包相繼被轉出，最終涉及十條區塊鏈。

以太坊上，神魚和安全公司 Blockaid 的分析均顯示，攻擊者在 4 時 20 分廣播了一筆包含 50 個授權的交易，目標是幣安熱錢包 Binance 14。

借助 EIP-7702 機制，普通錢包可以通過簽署授權，把執行權委託給一個智能合約，但每個授權只在錢包當時的交易序號上有效。

由於 Binance 14 一直在處理用戶提現，序號不斷變化，攻擊者提前準備了 50 個連續序號的簽名，其中一個命中，3 分 24 秒後，錢包資產被一次性轉走。

此後委託一直有效，新資金一進入錢包就會被再次掃走，TRM Labs 記錄到的最後一次轉出發生在早上 7 時 56 分。資產離開幣安錢包的同時，一場凍結與轉移的賽跑也開始了。

二、約30億美元被凍結，1.8萬枚 BTC 仍在黑客手中

穩定幣發行方是最先出手的。主轉賬發生 37 分鐘後，Tether 就凍結了主接收錢包中的 9.7 億多枚 USDT。Tether 首席執行官 Paolo Ardoino 隨後表示，已凍結超過 15.6 億枚與此次事件相關的 USDT。

Circle 首席執行官 Jeremy Allaire 也表示，Circle 凍結了超過 8 億枚 USDC。Ripple 凍結了 4,054 萬枚 RLUSD，World Liberty Financial 也凍結了相關的 USD1。

按鏈統計，以太坊上被轉移的約 37.5 億美元資產中，約 24 億美元已被凍結；波場上被轉移的約 6.3 億美元中，約 3.8 億美元已被凍結。

攻擊者顯然預料到了這一點。神魚指出，攻擊過程中，攻擊者將部分 USDT 等可凍結資產兌換為 ETH，以規避發行方凍結。據 TRM Labs 披露，攻擊者以超過 10% 的折價把約 3.25 億枚 USDT 賣給做市商，換成約 12.2 萬枚 ETH。

據鏈上分析平台 Lookonchain 監測，攻擊者還拋售了 UNI、ENA、PEPE 等七種代幣，共換得約 7 萬枚 ETH。鏈上分析師余燼感嘆，這個市場唯一的贏家只有黑客。

據 Arkham 統計，發行方已凍結約 28 億美元，黑客仍可轉移的資產約 29 億美元，主要是 10 個地址中的 49.6 萬枚 ETH，以及分佈在 19 個地址、自凌晨 4 時 48 分起未再移動的 18,270.2 枚 BTC。

ETH 已開始轉移，據鏈上監測平台 Onchain Lens，攻擊者 30 日午後又將 1.7 萬多枚 ETH 轉入一個新地址。

關於攻擊者身份，TRM Labs 以高置信度將其歸因於朝鮮黑客組織 TraderTraitor，美國聯邦調查局此前認定該組織是 Bybit 案的幕後黑手。

鏈上偵探 ZachXBT 指出攻擊者可能是朝鮮 Lazarus Group，並發現幣安與今年 9 月 Bitget 被盜案的資金經 THORChain 流入同一地址並發生混合。

慢霧創始人余弦也表示，幣安黑客資金與 2025 年初 Phemex 被盜案的黑客地址產生關聯，該案當時被查出涉及朝鮮黑客。

不過 TRM Labs 指出，此次攻擊者主要借助做市商兌換和借貸協議轉移資金，與 Bybit 案後大量使用跨鏈橋的方式有所不同。

三、幣安承諾全額賠付，事因調查仍在更新

異常轉賬出現後，幣安先是表示注意到潛在安全問題的報告，尚未確認用戶資金受到影響。

凌晨 5 時 52 分前後，幣安稱部分用戶提現因技術錯誤受阻。

約 20 分鐘後，官方表示，提現將在安全問題完全解決後恢復，隨後幣安 Alpha 交易也被暫停。

早上 8 時左右，幣安聯合創始人何一表示，幣安將承擔全部被盜損失。

8 時 30 分前後，幣安宣布暫停全部充值和提現。

10 時 23 分，幣安公布初步調查結果，稱事件可能涉及一名 DevOps 工程師的筆記本電腦被入侵，攻擊者借此進入一個服務容器，並提交了未經授權的提現交易，目前沒有發現錢包私鑰洩露的證據。

隨著調查推進，12 時 36 分，幣安稱充值正常運作，提現將在完成安全改造後於 48 小時內恢復，並表示事件由多重因素造成，一台被入侵的電腦可能是入口。

16 時 56 分，幣安又表示後續調查發現了更多入侵點，這是一場複雜攻擊。

幣安華語社區經理 sisi 解釋稱，員工電腦被黑只是攻擊的起點，並不存在某位工程師可以一鍵操作轉走資金的情況。聯席 CEO Richard Teng 則表示，調查並未將責任歸咎於任何個人。

值得一提的是，就在事發三天前，幣安曾公告稱過去一周其安全團隊識別並阻止了多起朝鮮相關攻擊，並提醒朝鮮黑客正借虛假招聘面試、代碼測試等方式，誘導目標運行惡意程序。

賠付方面，幣安表示將通過 SAFU 基金和公司自有資金承擔全部損失，並在修復完成後發布更新版儲備金證明。CZ 表示，此次損失約 60 餘億美元，其中 30 億美元已被凍結，SAFU 基金約 10 餘億美元，剩餘缺口約 20 億美元。

他表示，幣安當年參與馬斯克收購 Twitter 時投入 5 億美元，由此持有的 SPCX 股份現價值超過 10 億美元，可覆蓋大部分剩餘缺口，剩下的部分仍然痛苦但可控。

何一隨後回應稱，公司全年收入足以覆蓋損失，因此暫時不需要出售 SpaceX 股份。

此前加密博主加密無畏按 Forbes 等第三方估算的 160 億至 170 億美元年收入推算，認為幣安可能不到一年就能賺回損失。

四、被盜 BTC 難成拋壓，提現暫停衝擊更大

消息傳出後，加密市場普遍下跌。數據顯示，攻擊發生后一小時內，全網爆倉 6.277 億美元，其中多單占 6.066 億美元，幣安一家就占了 3.448 億美元。

1.8 萬枚 BTC 落入黑客手中，市場最直接的擔憂是拋壓。加密分析師 Benson Sun 認為，這部分 BTC 要真正變成拋壓並不容易。比特幣上沒有像 Tornado Cash 那樣流動性足夠深的大型混幣器，相關地址也會被各大交易所和鏈上分析公司標記，光是拆分地址加混幣就是以年計算的工程，此後還要折價通過場外交易出售。在他看來，被盜 BTC 表面上是利空，實際上相當於變相鎖倉。

加密 KOL 土澳大獅兄 也提到，ChipMixer、Bitcoin Fog、Samourai 等比特幣混幣服務近年已陸續被關停或起訴，大部分中心化交易所也實行嚴格的 KYC 並會配合凍結。2016 年 Bitfinex 被盜約 12 萬枚 BTC，黑客只洗出一小部分，6 年後美國執法部門追回了約 9.4 萬枚。

加密存儲公司 Ballet 創始人 Bobby Lee 則表示，這些比特幣很可能已經無法追回。對幣安來說追不回，對黑客來說也難以賣出，這部分 BTC 或將長期沉澱在鏈上。

ETH 的情況有所不同。Benson Sun 指出，大量 ERC-20 代幣被換成 ETH 後再進入 Tornado Cash，基本就很難追蹤，真正可能形成市場拋壓的大約在十幾億美元量級。

跌得更深的反而是山寨幣，Solana、XRP 等代幣的跌幅普遍超過比特幣和以太坊。KOL Seven Research 認為，這與提現暫停直接相關。圈內大部分做市商和量化機構的主保證金賬戶都在幣安，很多機構做跨所套利或對沖，幣安一關提現，資金鏈當場被卡住。行情繼續波動時，它們無法從幣安提錢補充其他平台的保證金，只能在其他交易所和鏈上被迫平倉抽回現金。

Seven Research 還提到，不少二三線交易所、理財平台和項方國庫，本質上也是把資金歸集在幣安的機構賬戶裡，如果提現暫停時間拉長，這些平台可能面臨擠兌。

目前已有機構開始行動，ChainUp Investment 首席投資官 Amanda He 對路透社表示，他們已賣出幣安上的全部倉位，能轉走的先轉走，轉不走的就賣掉換成穩定幣。

對於後市，加密交易員 Bonk Guy 表示，不認為市場已經脫離險境。他聯想到去年 10 月 11 日的大規模清算，當時許多人以為底部會立即到來，結果市場經歷了一輪漫長的低迷，因此建議謹慎抄底，提防二次下跌。

也有投資者感慨，如今在加密市場賺錢越來越難，守住錢更難。

五、私鑰守住了，簽名流程失守

價格波動之外，這次事件更讓業內警惕的，是它暴露出的安全問題。

幣安稱未發現私鑰洩露，而攻擊者似乎也並不需要私鑰。TRM Labs 指出，被轉出資產的錢包分布在十條鏈上，密鑰類型和簽名方案各不相同，卻都在約半小時內為攻擊者產生了有效簽名。

最可能的解釋是，攻擊者獲得了讓幣安熱錢包簽名系統按其意志簽署交易的能力。

50 個授權被提前批量簽好，也說明這種訪問可能有時間限制，或需要通過某個系統請求簽名。

安全公司 Blockaid 首席執行官 Ido Ben-Natan 同樣認為，這更像是簽名基礎設施被攻破，私鑰本身並未外洩。神魚也認為核心問題可能出在簽名環節，目前未發現合約漏洞，究竟是私鑰洩露還是簽名系統遭利用，仍有待幣安進一步確認。

不過，慢霧首席信息安全官 23pds 更傾向於私鑰洩露的假設。Seven Research 也認為，從攻擊者能順帶清空 Binance 14 名下另一個智能錢包來看，這種打法更像是主私鑰已經落入黑客手中。

業內的討論很快轉向防禦。OKX 創始人徐明星表示，安全不應成為商業競爭的領域。他建議，向未經驗證地址的大額提現和授予智能合約權限的交易，都應附加額外驗證和安全延遲，且這些限制應在密碼學簽名層強制執行，即便錢包管理系統被攻破也無法繞過。他還呼籲建立行業協同機制，必要時快速依法凍結可疑被盜資產。

Gate 創始人 韓林 則分享了保險箱方案，私鑰通過 MPC 拆成三個分片，分別由用戶設備、Gate 和一家第三方災備機構持有，資產轉出設置 48 小時延遲，期間用戶可隨時凍結。

值得一提的是，就在事發前數小時，微軟 發布報告評估了 8 個朝鮮黑客組織的 AI 應用水平，其中 3 個已將 AI 融入日常攻擊流程。不過目前尚未確認此次攻擊是否使用了 AI。

硬件錢包公司 OneKey 創始人 Yishi 認為，無論 Bybit 還是幣安，私鑰都未被直接竊取，攻擊者攻破的是交易審批流程，這類風險同樣存在於冷存儲。

Yishi 以全球最大的比特幣 ETF IBIT 為例，據 CoinGlass 估算，IBIT 目前持有約 76 萬枚 BTC，主要由 Coinbase 托管。貝萊德雖在 2025 年增設 Anchorage Digital 為額外托管商，但截至最新季報仍無轉移計劃。Coinbase 披露的 3.2 億美元商業犯罪保險由其所有客戶共享，按 IBIT 當前規模計算，覆蓋比例不足 1%。

若發生重大盜竊且無法追回資產或獲得足額賠償，損失可能由 ETF 持有人承擔。其懷疑 IBIT 已成為攻擊目標。

與此同時，資金卻在流向 IBIT。火幣聯合創始人杜均表示，早年經他配置 BTC 的家族辦公室，在經歷交易所被盜和冷錢包供應鏈安全事件後，紛紛把 BTC 換成了 IBIT，還有一部分直接賣幣買了實物黃金。也有加密投資者認為，自行持有比特幣現貨才是更可靠的選擇。

六、凍結權再起爭議，鏈上干預邊界受關注

當私鑰和流程都可能失守，鏈上凍結成了追回資產的重要手段。

30 日上午 8 時 19 分，Arbitrum 發布聲明稱，其安全委員會已採取緊急行動，將 Arbitrum One 上一個與幣安攻擊相關地址中的 74,559,805 枚 ARB 和 8,425 枚 ETH 轉入中間凍結錢包，價值約 3,000 萬美元。

這些資產此後只能經安全委員會進一步操作，或經 Arbitrum DAO 治理投票才能動用。

有分析人士指出，安全委員會臨時升級了一個系統合約，以攻擊者地址的名義執行轉帳，隨後恢復了原有實現，整個過程無需攻擊者簽名。

按照 Arbitrum 章程，這類緊急行動需 12 名委員中至少 9 人批准。今年 4 月，Arbitrum 曾以同樣方式凍結 KelpDAO 被盜案中的 30,766 枚 ETH，兩次針對的都是被歸因於朝鮮的資金。

鏈上分析師余燼調侃，這名黑客或許沒想到 Arbitrum 能直接從他的钱包里把錢轉走。凍結本身則再次引發爭論。

支持者認為，凍結黑客資產理所應當。加密分析師 yyy 表示，去中心化的目的是對抗強權、服務大眾，如果中心化手段被用於幫助大眾，就值得推崇，凍結黑客資產正屬於這種情況。

質疑者關注的主要是權力邊界。加密研究者 CyberSatoshi 認為，以太坊主網上的 ETH 不可篡改，但 Rollup 上的餘額由 12 選 9 的多簽管理，L2 資產的主權程度取決於控制跨鏈橋的管理員密鑰。也有分析人士提出，區塊鏈治理在什麼情況下才應擁有不經持有人簽名強制轉移資產的權力，仍需要更明確的邊界。

凍結之後，資產歸誰同樣是個難題。KelpDAO 案凍結的 ETH 原計劃用於補償受害用戶，但 5 月初，一批對朝鮮持有恐怖主義判決、尚未獲償的債權人向美國法院申請限制令，主張這筆 ETH 屬於朝鮮享有權益的財產。5 月 8 日，紐約南區聯邦法院允許 Arbitrum DAO 投票將資產轉給 Aave LLC，但限制令隨資產一並轉移，法院對核心爭議保留了裁決。

截至發稿，幣安提現尚未恢復，按官方時間表預計將於 11 月 1 日重啟。儲備金證明和技術復盤報告何時發布，剩餘的 BTC 與 ETH 何時開始移動，被凍結的約 30 億美元資產最終歸屬如何，仍有待後續進展。