
币安在2026年10月29日遭遇热钱包资金被转出事件,官方估算受影响规模约63亿美元。截至10月30日07:00 UTC,提现仍处暂停状态,币安称预计在48小时内开始恢复,存款按其最新服务更新已回到正常运行。链上已被冻结的相关资产约30亿美元,尚无资产被追回并返还交易所的公开记录。币安表示将以SAFU基金与公司资金承担全部损失。
攻击路径:EIP-7702委托授权而非私钥泄露
以太坊上的转出通过一笔EIP-7702委托授权完成。按TRM Labs与Blockaid的分析,攻击者提交的委托交易中包含50条预签名授权,分别对应连续的50个交易序号,以保证其中一条在执行时处于有效状态。授权生效后,币安的热钱包按攻击者部署的合约逻辑完成清扫,整个过程在委托生效后约三分半钟内结束。相关合约在当日早些时候部署,关联地址的初始资金来自混币服务的小额提款。
这一机制解释了为何“未发现私钥泄露”与“钱包被清空”可以同时成立。委托授权本身需要一笔来自钱包的有效签名,但攻击者只需使签名请求被批准,无需接触私钥本身。Blockaid据此把事件性质判断为签名基础设施的密钥误用。
TRM Labs统计的转出覆盖十条链,其中以太坊约37.9亿美元,包含200,630枚ETH与约18.75亿USDT;比特币18,270枚,约14.7亿美元;波场约6.28亿美元;XRP Ledger上233.46万枚XRP,约2.96亿美元;Solana上970,500枚SOL,约9,600万美元;Arbitrum、Optimism与Base合计约3,900万美元;Avalanche约2,800万美元;Polygon约1,000万美元。除以太坊外,其余各链的转出均为常规签名转账,EIP-7702在这些链上并不适用。TRM Labs据此判断,更可能的情形是热钱包签名基础设施整体被控制。
币安在10月30日02:25 UTC的声明中表示,初步调查显示事件可能涉及一台被入侵的DevOps工程师笔记本电脑,攻击者由此进入一个服务容器并提交了未经授权的提币交易,同时称未发现任何钱包私钥泄露的证据。币安表示已撤销涉事地址的授权,并将在修复完成后更新储备证明数据,另行公布完整的技术复盘报告。截至10月30日07:00 UTC,该复盘报告尚未发布。
冻结金额的构成与“冻结不等于追回”
公开流传的金额从33亿美元到63.6亿美元不等,差异来自统计覆盖的链不同、计价时点不同,以及统计对象是转出金额还是攻击者钱包的持仓余额。TRM Labs截至10月30日00:30 UTC的统计把冻结金额拆为Tether约17.7亿USDT、Circle约8.25亿USDC、Ripple 4,050万RLUSD、World Liberty Financial 2,780万USD1,以及Arbitrum安全委员会处置的8,426枚ETH与7,460万枚ARB,合计约27亿美元。币安在二十二分钟后通报的核实冻结金额为约30亿美元,两者的差额来自统计时点,而非口径冲突。First Digital在02:21 UTC冻结了涉事的FDUSD,未披露具体金额,该部分未计入上述拆分。
被冻结的资产处于发行方的合约黑名单状态,既不在攻击者手中,也未回到交易所账目。资产要回到币安,需要发行方重新铸造或在司法程序下划转。按币安口径计算,当前冻结金额占受影响规模的约48%,而剩余部分集中在比特币与以太币这两类没有中心化发行方的资产上,不存在同类冻结途径。
TRM Labs记录到攻击者在发行方冻结生效前,以超过10%的折价向做市商出售约3.25亿USDT,换入约122,300枚ETH,并在Aave上以USDT抵押借出ETH,同时通过波场链上的借贷协议与Uniswap兑换转移资产。这一系列动作把可被冻结的中心化稳定币换成了无法冻结的原生资产,是剩余约24亿美元集中于BTC与ETH的直接原因。
服务状态与损失承担
币安于10月29日22:15 UTC暂停提现,10月30日00:07 UTC暂停存款。联席CEO何一在10月30日04:17 UTC的服务更新中表示,提现将在团队完成提现服务及相关地址的安全改造前保持暂停,预计在48小时内开始恢复,该窗口对应11月1日04:17 UTC前后;同一条更新称存款不受影响、运行正常。币安在00:07 UTC与02:25 UTC的公告中均将存款列为暂停,与04:17 UTC的表述不同,公司未就两者的差异作出说明。截至10月30日07:00 UTC,提现中断已持续约九小时;若按48小时窗口完成恢复,自暂停起算的总中断时长约为54小时。现货与合约交易在此期间未见暂停公告。
币安在公告中表示将以SAFU基金与公司资金承担全部损失,并称用户资产安全。创始人赵长鹏在社交平台表示,作为股东他预期用户资金将被完全覆盖,并称损失规模可能略高于最初通报。按DefiLlama的数据,事件前币安平台资产约1,440亿美元,受影响规模约占其中4.4%。做市商Wintermute首席执行官Evgeny Gaevoy表示,按当前规模的三到四倍计算,币安仍可承受。Wintermute与GSR均披露在币安有敞口,GSR称低于其净权益的5%,Wintermute称低于20%,两家均未公布金额。
归因方面,TRM Labs以高置信度将攻击归因于朝鲜黑客组织TraderTraitor,依据包括链上与链下情报,以及与2025年2月Bybit事件和2026年4月KelpDAO事件在混币小额注资与预签名手法上的相似性。链上调查者ZachXBT与Blockaid也指向朝鲜方向。目前没有执法机构的正式认定。
对市场而言,事件当晚市场下探至六周低点。截至10月30日01:19 UTC,比特币报约76,937美元,二十四小时内下跌4.9%;以太币跌5.7%至约2,211美元;BNB跌约8%至约693美元;AAVE跌11.3%,UNI跌10.7%。此后市场部分收复跌幅。CoinGlass统计事件后二十四小时内全市场杠杆清算约14亿美元,这一数字包含与本次事件无关的常规清算。后续可核对的信息包括币安修复后更新的储备证明数据与完整技术复盘报告;储备证明回答的是某一时点的资产负债对应关系,不回答热钱包签名权限如何管理、运维终端如何隔离。
声明:文章不代表CHAINTT观点及立场,不构成本平台任何投资建议。投资决策需建立在独立思考之上,本文内容仅供参考,风险 自担!转载请注明出处:https://www.chaintt.cn/72852.html