事件发生：2026 年 10 月 29 日 20:24 UTC（北京时间 10 月 30 日凌晨 4:24）。 整理时间：2026 年 10 月 30 日。事件仍在进行中，数字随调查持续更新。 本文严格区分「已核实」与「估算」两类口径，各方数字尚未交叉对账，请以币安官方最终事后复盘报告为准。
核心结论
这不是智能合约漏洞，而是签名环节被控制后被 EIP-7702 授权机制放大所致。 2025 年 5 月以太坊 Pectra 升级引入的 EIP-7702，允许普通 EOA 通过自身私钥签名的授权，临时委托执行智能合约代码。攻击者拿到授权后，一笔交易即可扫空整个钱包。
① 关键事实：50 项授权全部可回溯至 Binance 14 自身私钥。 链上已验证签名有效，说明攻击者要么直接拿到热钱包私钥，要么能说服币安签名系统签署恶意授权。目前没有任何合约漏洞的迹象。
② 链上流出约 56.43 亿美元，但净损失推算仅约 10 亿美元量级。 两者差异主要来自冻结——稳定币发行方在 30 分钟内冻结了约 30 亿美元。
③ 结构性问题是：冻结只对央行型稳定币有效。 BTC、ETH、TRX、SOL 等原生资产没有发行方可控的冻结开关，攻击者已在攻击过程中把稳定币换成 ETH、BTC，经 DEX 抛售山寨币并以 Aave 抵押借贷变现。可冻结部分仅约占流出的 50%~55%。
④ 币安官方始终使用「potential security issue」措辞，至今未正式定性为「被盗 / 黑客攻击」。 但已公开承诺承担全部黑客损失，并将在调查完成后发布完整事后复盘报告。
| 维度 | 结论 | 确定性 |
|---|---|---|
| 事件性质 | 热钱包被授权委托（EIP-7702）导致的批量盗取 | 已核实 |
| 作案手法 | EIP-7702 授权 + 恶意 sweep 合约一次性清空钱包 | 已核实 |
| 攻击入口 | 签名环节——私钥泄露 / 签名基础设施被入侵 / 内部人员 | 未确认 |
| 链上流出总额 | 约 56.43 亿美元（已剔除找零与内部转账） | 估算（多源区间 17 亿 ~ 62 亿） |
| 已核实冻结总额 | 约 30 亿美元（币安官方 10/30 最新口径） | 已核实，仍可能上升 |
| 币安官方定性 | 始终使用「potential security issue」，未正式使用「被盗」 | 已核实 |
| 损失承担 | 币安公开承诺承担全部黑客损失 | 已核实（何一声明） |
一、完整时间线
时间为 UTC，括号内为北京时间（UTC+8）。
阶段一：攻击准备（10/28 — 10/29 20:20）
| 时间 | 事件 |
|---|---|
| 10-28 | 攻击者相关地址通过 Tornado Cash 获得少量 ETH 作为 gas 费 |
| 10-29 下午 | 攻击者部署用于清空钱包的恶意 sweep 合约 |
| 约 16:50 | 使用测试钱包演练两次，最后一次演练距正式攻击约 3.5 小时；事前制定 64 种代币转移清单 |
阶段二：攻击执行（20:20 — 21:30）
| 时间 | 事件 |
|---|---|
| 20:20:59（04:20:59） | 攻击者广播含 50 项 EIP-7702 授权请求的交易，全部授权由 Binance 14 私钥有效签名，已在链上验证 |
| 20:24:23（04:24:23） | 主扫荡：Binance 14 向新建地址转出约 167,464 枚 ETH（约 3.88 亿美元）+ 约 16.15 亿枚 USDT + RLUSD、wBETH、XAUt、UNI、USD1 等 60 余种代币，单笔估值约 25 亿美元 |
| 20:24:47 | Binance 16 向同一新建接收地址转出约 28,005 枚 ETH |
| 20:41 起 | Hot Wallet 34 等更多热钱包转出大额资产（含约 7.8 亿枚 USDC） |
| 20:24 — 21:30 | 持续流出，覆盖以太坊、比特币、波场、XRP、Solana、Arbitrum、Avalanche、Optimism、Base 等 至少 9 条链；因委托未撤销，后续新到账资金仍被自动扫走（二次、三次扫荡）；攻击中即把 USDT 兑换为 ETH 规避发行方冻结 |
阶段三：冻结响应（21:01 — 23:40）
| 时间 | 实体 | 动作 |
|---|---|---|
| 21:01 | Tether | CEO Paolo Ardoino：对相关地址执行 USDT 黑名单冻结 |
| 21:04 | Circle | CEO Jeremy Allaire：与执法部门协调冻结 USDC，为首个响应的发行方 |
| 21:15 | Binance | 首次公开回应「已知悉潜在安全问题，正在积极调查」；同期 CZ 发帖 |
| 22:32 | Aave | 冻结 V3/V4 全部 DAO 运营市场（暂停新增存款/借款/利率互换，允许提款与还款）；背景是黑客存入 6000 万 USDT 借出 19,762 ETH |
| 22:36 | World Liberty Financial | CEO Zach Witkoff：冻结 2700 万美元 USD1 + 约 200 万美元 WLFI，联合托管方 BitGo 执行 |
| 23:35 | Binance | 公布经核实冻结总额 25.4 亿美元，澄清此前流传的 18 亿口径 |
| 23:40 | Ripple | 稳定币高级副总裁 Jack McDonald：宣布冻结关联 RLUSD；何一称协助阻止约 2 亿美元资产转移 |
阶段四：全面暂停与最新进展（10/30 00:00 ET — 至今）
| 时间 | 事件 |
|---|---|
| 00:00 ET（08:00 北京） | 何一：暂停全部充值与提现、暂停 Binance Alpha 交易；宣布币安承担全部黑客损失；承诺调查完成后发布完整事后复盘报告 |
| 10-30 上午 | Arbitrum 安全委员会：链上治理执行，将 74,559,805 ARB + 8,425 ETH 转入中间冻结钱包，约 3050 万美元 |
| 10-30 上午 | Paxos：冻结 21.57 万美元 USDP；链上侦探 Specter 据此测算累计冻结 28.29 亿美元 |
| 10-30 最新 | 币安确认已核实冻结总额约 30 亿美元，声明持续与执法机构、发行方、区块链情报公司合作追踪 |
二、各币种被盗数量
口径说明：链上监测的「流出总额」≠ 最终确认的「净被盗损失」。各机构统计范围不同（是否仅计以太坊、是否剔除找零与后续转账），导致估算从 17 亿到 62 亿不等。
2.1 按链拆分
| 链 | 流出估算 | 占比 | 说明 |
|---|---|---|---|
| 以太坊 | $35.28 亿 | 62.5% | 主战场，含 167,464 ETH + 16.15 亿 USDT + 60 余种代币 |
| 比特币 | $14.49 亿 | 25.7% | 18,270 BTC |
| 波场 | $6.28 亿 | 11.1% | 6.84584 亿 TRX |
| Arbitrum / Optimism / Base | $0.38 亿 | 0.7% | 合计 |
| 合计 | $56.43 亿 | 100% | 已剔除找零输出与重复计算 |
其他独立估算参考：
- Blockaid：识别约 33 亿美元可疑转账（以太坊 + Arbitrum + Avalanche）
- Lumo Wallet：三链合计至少 55.7 亿美元（以太坊 35.1 亿 / 比特币 14.4 亿 / 波场 6.3 亿）
- Axios 引述交易员：区间 17 亿 ~ 57 亿美元
- SEAL 911 的 Taylor Monahan：攻击者实际获利「远超 20 亿」，最高可能 55 亿
- 净损失（冻结后推算）：约 10 亿美元量级，官方尚未确认
2.2 黑客地址集群持仓（Arkham，65 种代币，合计约 $58.75 亿）
| 代币 | 数量 | 估值（亿美元） | 可否被发行方冻结 |
|---|---|---|---|
| USDT | 17.688 亿 | 17.69 | 可（Tether 已冻结） |
| BTC | 18,270 枚 | 14.40 | 不可 |
| ETH | 460,568 枚 | 10.40 | 不可 |
| USDC | 8.23 亿枚 | 8.23 | 可（Circle 已冻结） |
| TRX | 6.84584 亿枚 | 2.41 | 不可 |
| SOL | 970,538 枚 | 0.94 | 不可 |
| WBETH | 29,934 枚 | 0.75 | 部分可（本质为 ETH） |
| AETHUSDT | 6000.1 万枚 | 0.60 | Aave 相关 |
| XAUT | 12,574 枚 | 0.50 | 可（Tether 发行） |
| RLUSD | 4054.1 万枚 | 0.41 | 可（Ripple 已冻结） |
| ENA | 2.02815 亿枚 | 0.36 | 可（Ethena） |
| USD1 | 2782.4 万枚 | 0.28 | 可（WLFI 已冻结） |
| AVAX | 205.9 万枚 | 0.17 | 需 Avalanche 配合 |
| ARB | 7456 万枚 | 0.12 | 可（Arbitrum 安全委员会已冻结） |
| PEPE | 2.11 万亿枚 | 0.10 | 不可 |
| USDe | 903 万枚 | 0.09 | 可（Ethena） |
| PAXG | 1,907 枚 | 0.08 | 可（Paxos） |
| FUN | 7.14911 亿枚 | 0.06 | 不可 |
| USDT0 | 618.6 万枚 | 0.06 | 可（Tether 生态） |
| ZAMA | 8785.3 万枚 | 0.06 | 不可 |
| ZRO | 360.2 万枚 | 0.06 | 不可 |
| PROM | 91.1985 万枚 | 0.05 | 不可 |
2.3 分链冻结进度
| 链 | 被转移资产 | 已冻结 | 冻结比例 |
|---|---|---|---|
| 以太坊 | 约 $37.5 亿 | 约 $24 亿 | 约 64% |
| 波场 | 约 $6.3 亿 | 约 $3.8 亿 | 约 60% |
三、各实体冻结动作
共 7 家实体 / 组织采取了实质性动作，另有 2 家交易所声明未受影响。
| 实体 | 类型 | 动作 | 金额 | 手段 | 关键人物 |
|---|---|---|---|---|---|
| Tether | 稳定币发行方 | 冻结 USDT | $15.67 亿（初始 9.71 亿 / 后有 13.8 亿口径） | 地址黑名单 | CEO Paolo Ardoino |
| Circle | 稳定币发行方 | 冻结 USDC | $8.23 亿 | 与执法部门协调 | CEO Jeremy Allaire |
| Ripple | 稳定币发行方 | 冻结 RLUSD 及相关资产 | 约 $2 亿（RLUSD 4054 万） | 主动冻结 | SVP Jack McDonald |
| World Liberty Financial | 稳定币发行方 | 冻结 USD1 + WLFI | $2700 万 + 约 $200 万 | 联合 BitGo 执行 | CEO Zach Witkoff |
| Arbitrum 安全委员会 | 链上治理 | 转走 74,559,805 ARB + 8,425 ETH 至中间冻结钱包 | 约 $3050 万 | DAO 治理链上交易 | — |
| Paxos | 稳定币发行方 | 冻结 USDP | $21.57 万 | 发行方黑名单 | — |
| Aave | DeFi 借贷协议 | 冻结 V3/V4 全部 DAO 市场 | 非资金冻结，为风控暂停 | 社区治理决策 | — |
| Coinbase | 交易所 | 声明未受影响，持续监控 | — | — | — |
| Binance.US | 交易所 | 声明独立运营、未受影响 | — | — | — |
| Wintermute | 做市商 | 自评敞口占净资产 <20% | — | 风险自评 | CEO Evgeny Gaevoy |
3.1 冻结总额口径对照
| 口径 | 金额 | 来源 | 时间 |
|---|---|---|---|
| 发行方初始合计 | $18.36 亿 | Tether 9.71 亿 + Circle 8.23 亿 | 21:00 UTC 前后 |
| 发行方后续合计 | 约 $23.6 亿 | Tether 15.67 亿 + Circle 8.23 亿 | 21:30 UTC 前后 |
| 币安核实值 | $25.4 亿 | 币安官方 X 公告 | 23:35 UTC |
| 链上侦探测算 | $28.29 亿 | Specter（含 Arbitrum + Paxos） | 10-30 上午 |
| 币安最新确认 | 约 $30 亿 | 币安官方更新 | 10-30 最新 |
各方数字尚未交叉对账。币安强调「只会分享已确认的数字」，且冻结金额可能继续上升。
四、币安官方声明
4.1 首次声明（发言人）
"Our teams are aware of reports of a potential security issue and are actively investigating. At this stage, we have not confirmed any impact to user funds. Our security teams are reviewing all relevant information with urgency, and we will provide updates through official Binance channels as soon as we have verified information."
同时提醒用户警惕诈骗，非官方链接、消息、索取账户信息的请求一律不信。
4.2 冻结金额声明（23:35 UTC）
「我们注意到目前公开流传着关于冻结金额的各种不同数字，其中包括提及 18 亿美元的说法。为澄清事实，目前经核实的冻结总额为 25.4 亿美元。随着我们的团队与执法机构、发行方、区块链情报公司以及行业合作伙伴紧密合作，以追查并冻结更多资产，这一数字可能还会继续增加。我们只会分享已确认的数字，并在获取更多经核实的信息后提供进一步的更新。」
4.3 承担损失与全面暂停（何一，10-30 00:00 ET）
"User funds are safe. Binance will cover all hacking losses. Deposits and withdrawals are temporarily suspended while our team conducts security checks, freezes funds, and works with law enforcement. We will share a full post-mortem once the investigation is complete. Please rely only on official Binance channels for updates."
补充公告要点：
- 暂停全部充值与提现，直至环境确认安全
- 暂停 Binance Alpha 交易（含使用现货钱包资金的即时交易）
- 与执法机关协作，全天候处理
- 调查结束后发布详细事后复盘报告
- 「这是一项全行业共同参与的行动，我们非常感谢生态系统中的合作伙伴迅速采取行动」
4.4 CZ（赵长鹏）表态
"User funds are safe!" / "It does look like a hack on Binance."
感谢 Tether 与 Circle 的快速冻结；「我已不再管理 Binance，但作为股东，我预计所有用户资金都将得到全额覆盖」；后续表示损失可能高于最初报告，但币安会承担。
4.5 措辞变化的观察点
声明在短时间内经过编辑，从「尚未确认对用户资金的影响」变为明确「用户资金完全安全」；官方口径始终使用 potential security issue（潜在安全问题）而非 hack / theft，至今未发布正式的事故定性。
五、攻击技术机制
| 环节 | 细节 |
|---|---|
| 利用的协议 | EIP-7702（2025 年 5 月以太坊 Pectra 升级启用），允许普通 EOA 通过自身私钥签名的授权，临时委托执行智能合约代码 |
| 攻击链 | Tornado Cash 注入 gas → 部署 sweep 合约 → 广播 50 项 EIP-7702 授权 → 委托生效后单笔交易批量扫荡 |
| 签名验证 | 50 个授权均恢复为 Binance 14 自身私钥签名，链上已验证 |
| 破坏力放大 | EIP-7702 本身不是漏洞，它放大了「密钥 / 签名被控制」后的破坏力——单笔交易即可扫空全部资产，效率远高于逐笔签名 |
| 多钱包扩散 | Binance 16 等使用普通签名直接转出，其他链钱包亦异常，指向更上层的签名基础设施可能被利用 |
| 攻击者准备度 | 提前制定 64 种代币转移清单、两次测试钱包演练、预置多组 nonce 匹配实时交易 |
| 反冻结手段 | 攻击进行中即把 USDT 换成 ETH；通过 DEX 抛售山寨币；用 Aave 抵押借贷变现 |
| 核心疑点 | 签名环节——未发现任何合约漏洞。是私钥泄露、签名系统被入侵，还是内部人员？待币安确认 |
5.1 与近两年重大交易所事件的对比
| 事件 | 时间 | 金额 | 手法 |
|---|---|---|---|
| Bybit | 2025-02 | 约 $15 亿 | 篡改多签前端诱导签名（FBI 认定朝鲜组织） |
| Bitget | 2026-09 | 约 $3.87 亿 | 利用第三方安全产品漏洞获取内部凭证、伪造提现指令 |
| Binance（本次） | 2026-10 | 约 $56 亿（估） | EIP-7702 委托 + 恶意 sweep 合约，授权由钱包自身私钥签署 |
手法已从传统私钥泄露 / 合约漏洞，演变为针对签名基础设施、第三方依赖、前端界面与社会工程的组合式渗透，规模与精准度明显提升。
六、市场反应
| 资产 | 反应 |
|---|---|
| BTC | 一度跌破 79,000，盘中低见约 76,000，收于 77,994（-4%+），创六周低点 |
| ETH | 跌至 2,238–2,247（-4.8% ~ -6.4%），两个月低点 |
| BNB | 跌 7.68% 至 694.45 |
| HYPE | 逆势涨 9.7% 至 89.08 |
| XMR | 涨超 6%（隐私币避险，与 2025 年 4 月 3.33 亿美元 BTC 被盗后涨 51% 呼应） |
| 杠杆清算 | Coinglass 数据显示 24 小时内约 14 亿美元多头被清算 |
| 宏观 | 纳斯达克 100 期货跌幅扩大至 2% |
无关事件：同日 Polymarket 因第三方服务商遭入侵短暂停交易，约 270 万美元用户资金受影响，平台承诺全额赔付，19:05 UTC 恢复。两者暂无直接关联证据。
七、当前状态与未决问题
已确认
- 多热钱包异常大额转出确实发生
- EIP-7702 委托由钱包自身私钥签署
- 用户资金官方反复声明安全，充值提现已暂停
- 大规模稳定币冻结已执行（官方口径约 30 亿美元）
未确认
- 攻击者如何获得签名权限（私钥泄露 / 签名基础设施被入侵 / 内部人员 / 其他）
- 最终精确净损失数字（推算约 10 亿美元量级，官方未公布）
- 官方尚未正式定性为「被盗」
- 事件是否已完全停止（曾出现新到账资金被持续扫走的情况）
- 攻击者身份（部分研究者提及朝鲜组织可能性，无官方归因）
- 被冻结资产的最终归属与返还路径
- Binance Alpha 与提现恢复时间表
行业影响
- 事件再次暴露「热钱包 + 委托授权」组合的放大风险
- 各大交易所被提醒排查签名系统是否存在签署非预期授权的风险
- 币安拥有全额覆盖能力（SAFU 用户资产安全基金 + 资产负债表）；Wintermute CEO 评估币安可承受当前损失 3–4 倍冲击
- 币安 2024 年报显示全球注册用户超 3 亿、托管资产约 1600 亿美元
八、追踪渠道与用户行动建议
| 渠道 | 用途 |
|---|---|
| 币安官方 X 账号 | 唯一权威进展来源，事后复盘报告发布渠道 |
Etherscan 标签 Binance Hot Wallet Exploiter | 实时查看被盗地址与资金流向 |
| Arkham「binance-hacker-1029」标签 | 黑客地址集群持仓追踪 |
| Blockaid / SEAL 911 / Specter / Ondology Labs | 链上取证与冻结进展汇总 |
| 代币发行方 X（Tether、Circle、Ripple、Paxos、Ethena、WLFI） | 各方冻结公告 |
用户行动建议：在查明签名环节问题前，避免向币安充值；分散持仓、优先自托管；严格验证官方渠道，警惕仿冒链接与索要账户信息的消息。
参考来源：币安官方 X 账号公告（多轮）· Cointelegraph / CoinDesk / The Block / BlockBeats / Odaily 星球日报 · AP / CNBC / Bloomberg / Axios / 华尔街日报 · 链上数据：Arkham Intelligence、Blockaid、SEAL 911、Specter、Etherscan · 机构分析：Cobo（神鱼）、Phylax Systems（Odysseus）、Ondology Labs、Lumo Wallet、BitGo · 中文媒体：吴说区块链、财联社、36 氪、新浪财经
本文为事件信息整理，不构成投资建议。
评论
评论功能在应用内提供，无需注册即可参与讨论。
打开完整版参与评论