币安的63亿美元去哪儿了：这场创纪录的黑客攻击是如何发生的，资金能否追回
加密货币交易所币安（Binance）于2026年10月30日通报了一起大规模网络攻击事件，期间其钱包中约63亿美元的数字资产被盗。 据该公司初步调查显示，攻击者可能通过一名DevOps工程师遭入侵的笔记本电脑渗透到内部基础设施，并利用内部系统进行未经授权的转账。
大部分资金在约20分钟内被转移，且交易同时发生在十个区块链网络中。 币安与合作伙伴共同宣布已冻结约30亿美元的资产，但其余被盗加密货币仍处于其控制之外。币安还宣布已预留超过63.4亿美元自有资金，以全额弥补用户的损失。 其中50亿美元已以此次攻击所涉及的相同代币形式储备。该公司已开始向客户返还资产。
此外，还有迹象表明此次攻击与此前发生的加密货币盗窃案存在关联。链上研究员ZachXBT发现，来自币安和Bitget被盗资金在通过THORChain转账后，最终流向了同一个地址。 TRM Labs和Chainalysis的分析师认为，朝鲜黑客组织TraderTraitor很可能涉案，但攻击者的身份尚未正式确认。
UA.News将深入剖析此次攻击的实施过程、安全机制为何未能阻止交易、数十亿美元资金是如何被冻结的，以及该事件将给用户和加密货币市场带来哪些风险。
币安发生了什么？黑客是如何转移数十亿美元的
首批可疑交易发生在10月29日晚，大约世界协调时（UTC）20:05。 据TRM Labs数据显示，在随后的20分钟内，攻击者便已将大部分资金从币安用于日常客户交易的热钱包中转移出去。在此次主要攻击阶段结束后，仍有零星的未经授权转账持续发生。
总体而言，研究人员追踪到约63.6亿美元的资产分布在十个区块链网络中：以太坊（Ethereum）、比特币（Bitcoin）、波场（Tron）、XRP账本（XRP Ledger）、索拉纳（Solana）、Arbitrum、Avalanche、Optimism、Base和Polygon。 其中，以太坊（Ethereum）的资金规模最大，约为37.9亿美元。该网络中被盗的资产包括超过20万枚ETH，以及大量USDT、USDC和其他代币。
另有约14.7亿美元被转移至比特币网络——共计18,270 BTC。通过波场（Tron）转出的资金约为6.28亿美元，通过XRP Ledger转出的资金为2.96亿美元，而通过Solana转出的资金则接近9,600万美元。
转账的规模和速度引起了分析师们的特别关注。 攻击者同时操作了多个区块链，而每个区块链都有其独特的交易规则。这表明他们进行了事先准备，并且可能拥有可同时服务于多个网络的基础设施访问权限。
在10月30日的公告中，币安将此次事件的总影响估算为约63亿美元。根据这一初步评估，此次攻击规模超过了此前纪录——即2025年2月Bybit遭黑客攻击事件，当时被盗金额约为15亿美元。 不过，63亿美元是受攻击影响的资产价值，而非最终的不可挽回损失：部分资金已被冻结，且加密货币价格处于波动之中。
一台被黑的笔记本电脑如何导致币安钱包遭入侵
关于此次入侵的主要推测与该交易所一名员工的工作设备有关。 币安表示，黑客可能入侵了一名DevOps工程师的笔记本电脑，随后访问了内部服务容器，并通过该容器发送了未经授权的提现请求。
DevOps 专家负责维护技术基础设施、部署应用程序以及实现内部流程的自动化。 在大型金融机构中，相关工具可能与处理交易的服务进行交互。仅凭笔记本电脑被入侵本身并不能赋予操控加密货币的权限，但若能访问关键的服务环境，则可能引发此类风险。
值得注意的是，该交易所未发现钱包私钥被盗的证据。 私钥用于通过加密方式验证资产交易。在此案例中，攻击者很可能采用了另一种方式——迫使币安的常规基础设施生成并签署转账指令，将资产转入其控制的地址。
TRM Labs的分析支持这一说法：这些交易带有Binance相应钱包的有效数字签名。在区块链上，这些交易看起来在技术上是正确的，尽管实际上是在未经公司授权的情况下进行的。 因此，漏洞可能并非出在网络的加密算法上，而是出在管理交易签名的系统访问机制上。
与此同时，币安联合首席执行官理查德·滕（Richard Teng）澄清称，此次攻击远比单纯利用一名员工的访问权限要复杂得多。
“我想强调：攻击者并非仅仅利用了一名工程师的访问权限，这也不是一次‘一键式’操作。此次攻击更为复杂，由多个阶段组成。 目前，我们的调查尚未确定任何具体员工的责任，”理查德·滕表示。
因此，工作设备遭入侵仍被视为此次入侵的可能原因之一，但无法解释攻击的所有阶段。币安仍在调查攻击者是如何获得内部服务访问权限并发起转账的。 该公司承诺将在调查结束后发布详细的技术报告。
为何安全系统未能阻止交易
交易所将资产存储在冷钱包和热钱包中。前者与互联网断开常连，后者则可确保快速充值和提现加密货币。 热钱包的自动化虽然加快了客户服务速度，但也使得保护内部转账确认机制变得尤为重要。
此次攻击最复杂的部分发生在以太坊上。TRM Labs的研究人员发现，黑客利用了EIP-7702的功能——该机制是在2025年5月Pectra更新期间引入的。 该机制允许普通的以太坊地址在签署特殊授权后，执行智能合约的逻辑。
据分析师称，攻击者预先为币安（Binance）的一款主要钱包准备了50份此类授权，这些授权针对该地址的不同状态。 在激活相应授权后，该钱包开始执行由攻击者控制的程序代码。大约三分钟内，167,464 ETH以及数十种其他代币（包括约16.15亿USDT）被从该钱包中转出。
问题不仅限于这一笔交易。由于授权仍处于有效状态，此后流入该受感染地址的资金同样可能被转出。研究人员在随后的数小时内记录到了数笔此类转账。
与此同时，EIP-7702并不能解释所有钱包遭入侵的原因。 在比特币、波场、Solana等网络中，攻击者使用了常规的签名交易。这进一步强化了以下推测：攻击者获得了对币安内部服务的更广泛访问权限，而不仅仅是利用了以太坊中某个孤立的漏洞。
攻击准备工作早有预兆：TRM Labs追踪到相关地址的活动，时间至少早于主要攻击发生前36小时。 攻击者编写了程序代码，测试了其运行情况，并准备了用于接收资金的地址。监控系统为何未能更早阻止这些大额转账，以及遭入侵的服务拥有何种权限，仍有待查明。
如何成功冻结了约30亿美元的资产
在发现攻击后，币安立即开始与稳定币发行方、区块链分析师及执法机构协调行动。正是这一举措，才得以迅速限制了大部分被盗代币的流动。
与没有集中式发行方的比特币不同，部分稳定币具备封锁特定地址的机制。其发行方在具备相应理由的情况下，可以冻结与犯罪活动相关的代币。
Tether冻结了约17.7亿USDT，Circle则冻结了约8.25亿USDC。 此外，其他稳定币（特别是RLUSD和USDC）的交易也受到限制。Arbitrum团队利用紧急权限，将8426 ETH和7460万ARB（总价值约3000万美元）转移至安全钱包。
截至10月30日凌晨，分析师确认被冻结资产总额约为27亿美元。币安（Binance）方面则报告称约30亿美元。这一差异源于估值时间点不同，以及研究人员和交易所所统计交易范围的差异。
资产冻结并不等同于自动退款。代币可能仍留在攻击者的地址上，但他已无法自由转移这些资产。最终的赔偿可能需要额外的技术和法律程序。
未能及时冻结的加密货币被转移到了哪里
黑客试图抢在稳定币被冻结前，迅速将其兑换为比特币、以太坊及其他没有集中式冻结机制的资产。为此，他们利用了去中心化的交易和借贷协议。
约3.25亿USDT通过UniswapX及其他工具兑换成了12.23万ETH。攻击者甚至接受了不利的汇率，因为速度比损失部分资产价值更为重要。 他们还通过借贷平台Aave存入约6000万USDT作为抵押，并借出了约19,760 ETH。
在调查的早期阶段，分析师估算攻击者不受发行方控制的资产——超过42万 ETH 和 18,270 BTC——价值约24亿美元。 这些数据并非被盗资产的最终盘点：部分地址可能参与了后续交易，且币值会随市场波动而变化。
币安与Bitget遭黑客攻击有何关联
10月30日，链上研究员ZachXBT披露了这两起加密货币攻击事件资金流之间的关联。 据公开数据显示，从币安被盗的资金以及此前Bitget遭攻击时流出的资产，在通过THORChain协议转账后，最终汇入了同一个加密货币地址。
THORChain允许在无需传统中心化交易所的情况下，在不同区块链之间交换资产。这虽是一种合法的技术工具，但犯罪分子也可利用它在不同网络间快速转移加密货币。 当不同事件中的资金汇集到同一个地址时，研究人员便有理由核查这些交易的执行者或中间人之间是否存在关联。
据 ZachXBT 披露，该资金流转的共同中转地址为 0x15104a9ce0f08a8f0075a0869ae80e795fe0feb7。 该研究员将Bitget遭黑客攻击事件与这一骗局联系起来，此前该事件造成的损失估计约为3.88亿美元。此外，该地址此前已出现在针对与朝鲜有关联的TraderTraitor团伙活动的调查中。
为何怀疑是朝鲜团伙TraderTraitor所为
关于朝鲜涉案的说法得到了多位研究人员的认同。TRM Labs表示，对TraderTraitor涉案一事具有高度信心。 其论据包括：基础设施的预先准备、获取授权的方式、资金流动的特征，以及使用那些使加密货币追踪变得复杂的服務。
特别是，与攻击者相关的地址在主要入侵发生前，就已通过Tornado Cash接收过小额转账。该服务可隐藏发件人和收件人地址之间的直接关联。 虽然仅凭使用该服务这一事实并不能证明特定团伙的参与，但会与其他技术特征一并纳入考量。
Chainalysis公布了上述结论。该公司管理层将潜在的组织者与此前发生的攻击事件联系起来，同时提醒在调查结束前不宜做出最终归因。 Chainalysis的一位代表在接受路透社采访时表示，该公司正在继续分析此次事件的具体情况。据初步评估，其专家已追踪到至少59.12亿美元的资金流向。
TraderTraitor此前曾卷入近年来规模最大的加密货币盗窃案之一。 2025年2月，Bybit交易所遭窃约15亿美元。美国联邦调查局（FBI）已正式将此次攻击与朝鲜联系起来，并描述了资产在加密货币及多个地址之间快速转移的情况。
另一个典型案例是2024年日本DMM Bitcoin交易所遭黑客攻击，当时被盗金额超过3亿美元。 调查结果显示，攻击者利用了社会工程学手段：他们伪装成招聘人员，并通过恶意测试任务获得了合作伙伴公司员工工作环境的访问权限。
这一案例表明，攻击目标可能并非区块链本身，而是拥有金融基础设施访问权限的人员。不过，目前尚无证据表明币安（Binance）遭遇了类似的虚假招聘骗局。
朝鲜黑客组织之所以引起执法部门的关注，不仅是因为单次盗窃案的规模。美国和其他国家将他们的活动与试图绕过国际制裁获取资金的行为联系在一起。 加密货币平台因集中了大量资产且能够在不同司法管辖区之间快速转移资金，因此成为极具吸引力的目标。
币安用户会损失资金吗
10月30日，币安宣布了新的措施以补偿用户的损失。该交易所已预留超过63.4亿美元自有资金，用于全额弥补可能出现的资产缺口。
其中50亿美元已以受此次事件影响的加密货币和代币形式持有。剩余所需资产，公司正通过公开市场及场外交易（OTC）进行购入。
据币安解释，由于部分代币流动性有限，且大额场外交易的结算周期较长，这一过程可能需要一定时间。与此同时，该公司已开始向受此次攻击影响的用户返还资产。
“币安已开始向受此次事件影响的用户返还资产， 并继续与执法机构、发行方、区块链分析公司及其他行业参与者合作，以追踪、冻结并追回更多资金，”官方声明中写道。
值得注意的是，这63.4亿美元的储备金并不包括已成功冻结的约30亿美元资产。这些资金目前正处于返还和进一步核查过程中。
该公司强调，将动用自有资源弥补任何经确认的资金缺口。在完成客户资金保全流程后，计划通过更新后的《储备证明（Proof of Reserves）》报告向公众予以确认。
此次攻击对比特币和加密货币市场的影响
关于币安遭黑客攻击的消息迅速反映在数字资产价格上。10月30日，比特币跌幅超过3%，跌至约7.64万美元——创下六周新低。 以太坊价格也下跌了3%以上，至约2,180美元。这种负面反应还波及了加密货币行业公司的股票，特别是Coinbase和Strategy。
专家们担心的不仅是被盗资产的价值，还有可能出现的流动性短缺。币安在全球加密货币交易中扮演着重要角色。 如果客户和做市商无法快速提取资金，他们将更难在不同平台之间调配资本，也难以维持稳定的买卖价格。
做市商GSR的代表阿拉文德·斯里尼瓦桑表示，在市场最紧张的时候，币安现货市场上比特币的买卖价差约为平时的五倍， 而以太坊的买卖价差则约为平时的2.5倍。
转账限制也给使用杠杆的交易者带来了困扰。当资金被锁定在一个交易平台时，无法及时转至另一个平台以维持头寸。这可能会导致强制平仓并引发市场进一步波动。
分析师指出，后续市场反应将取决于币安恢复运营的速度、返还资产的规模以及安全保障措施的可靠性。正因如此，此次事件的影响远不止于交易所直接的财务损失。
Binance遭受攻击后，加密货币交易所的安全防护应如何改进
币安已暂时暂停提现，以对相关服务和加密货币地址进行全面核查，并撤销了与此次事件相关的地址授权。
执法机构和专门从事区块链交易分析的公司已参与调查。他们协助追踪被盗资产的后续流向、确定相关地址并确保资金追回。
“我们的团队正在全天候工作，以确保安全且全面地处理此次事件的后果。我们正与执法机构密切合作，以查明犯罪分子的身份并追究其责任，”币安方面表示。
对币安自身而言，关键任务仍是全面恢复运营、履行对用户的承诺以及发布技术报告。该报告将阐明第三方如何访问转账确认系统，以及为何控制机制未能及时生效。
与此同时，调查人员仍在持续追踪相关加密货币。ZachXBT发现的Binance和Bitget遭黑客攻击后资金之间的关联，或有助于还原资产流转的完整图景，并验证关于“TraderTraitor”的说法。 目前，此次事件的主要结论是：对于加密货币交易所而言，仅保护密钥是不够的，还必须同样严格地管控那些有权支配数十亿美元的人员、设备和程序。
