20分钟，约63亿美元。钱不是从金库里被一点点搬走的，而是在大量自动化操作中成批转出。据原文披露，币安在2026年10月29日晚遭遇大规模加密资产被盗事件。FBI随后将目标指向朝鲜TraderTraitor团伙。这起案件最值得警惕之处，不只是金额巨大，而是攻击者没有直接拿走私钥，却通过内部权限和账户授权获得了转走资金的能力。 一、被盗规模可能达到有记录以来最高 据原文披露，币安官方口径为影响金额约63亿美元；区块链安全机构TRM Labs估算约63.6亿美元；Elliptic按事发时价格统计约64.3亿美元，波及11条链。无论采用哪个口径，结论都指向同一事实：这是一起规模惊人的加密资产盗窃事件。 原文将其与2025年Bybit约15亿美元被盗案进行比较，指出此次规模超过后者四倍。大部分盗取动作集中在约20分钟内完成，呈现出多地址、多资产同步转移的特征。从最终结果看，攻击者并不只是“登录某个账户转了一笔钱”，而是几乎搬空了交易所热钱包中的可用资产。 更反常的是，币安后来披露，截至相关统计时并未发现钱包私钥泄露。私钥仍在平台控制之下，攻击者却完成了批量转账。这一事实说明，资金安全不能只用“私钥有没有丢”来判断，授权关系、内部操作权限和自动化签名同样可能成为失守入口。 二、攻击者利用EIP-7702劫持执行权限 据币安及多家链上分析机构在原文中的还原，攻击者首先入侵了一名负责开发运维的工程师笔记本，取得内部系统的部分权限。随后，其目标转向利用以太坊EIP-7702机制，让普通账户把执行权限委托给预先部署好的智能合约代码。 简单来说，私钥相当于保管资产的钥匙，授权则相当于允许某段合约代替账户执行操作。攻击者拿到内部权限后，提前准备好用于扫款的合约，再提交一连串授权请求。由于币安热钱包高频运转，交易序号nonce持续变化，攻击者一次性铺设了50个连续序号进行“撒网”，只要其中一个请求命中，就可能建立有效的委托关系。 授权一旦成立，影响并不限于当时已经存在于钱包中的资产。后续进入钱包的资金也可能被继续转走，甚至币安的自动化系统仍会向已经被劫持的钱包补充资产。整个过程更像是攻击者拿着平台自己盖过的章，替平台批准了一笔又一笔提款，而不是传统意义上的“破解私钥”。 三、FBI发布通告，将目标指向朝鲜TraderTraitor 事件发酵后，FBI于10月31日联合美国特勤局USSS、国税局刑事调查部IRS-CI发布通告。据原文披露，FBI将此次事件归因于朝鲜，并使用“TraderTraitor”作为行动代号。 通告还称，TraderTraitor与2025年Bybit约15亿美元被盗案存在关联，同一个团伙被认为涉嫌实施了两起重大案件。相关团伙被广泛认为与朝鲜“拉撒路集团”Lazarus Group有关。不过，具体组织关系仍应以原文所引官方通告为准，不宜将司法归因之外的信息混为一谈。 FBI公布了一批涉案地址，包括600多个以太坊地址、不到20个比特币地址以及1个Solana地址，并呼吁全球THORChain节点、RPC节点、即时兑换平台、DeFi服务和区块链分析公司主动拦截与这些地址有关的交易。 原文还记录了特朗普政府方面的态度变化。10月31日白宫答问时，特朗普先表示“不知道是不是朝鲜，正在了解”；FBI通告发布后，他又表示，如果此事确为朝鲜所为，美方将与朝方沟通。从等待核实到公开点名，执法通告成为事件定性变化的关键节点。 四、被盗资金进入自动化洗钱流水线 拿到资金后，攻击者没有将大笔资产长期停留在一个地址中，而是迅速进入链上洗钱环节。据原文描述，其第一步是把不同的小币种和稳定币通过Uniswap等渠道兑换成以太坊。ETH流动性较高，便于拆分、转移和跨链流转，因此成为洗钱过程中的主要中转资产。 Chainalysis观察到，攻击者已经使用“数千个地址”进行中转，未来几周可能涉及“数万个地址”。整个过程依靠自动化脚本完成拆包、转移和回环，目的就是增加追踪难度。与此同时，攻击者还利用THORChain等跨链兑换协议以及即时swap服务，在多条链之间跳转资产。 据原文描述，THORChain一度因以太坊故障停摆，客观上拖慢了洗钱速度，但这并没有让资金追踪停止。稳定币同样并非无法冻结。Tether、Circle等发行方可以将相关地址列入黑名单，目前约有20亿美元规模的USDT和USDC被卡在黑客主钱包中，无法正常转出。 币安联合链上机构则已冻结约30亿美元受影响资产。原文列示的20亿美元与30亿美元属于不同统计口径，不宜简单相加。可以确定的是，链上资产虽然流转速度快，却并非完全匿名。只要地址、资金路径和交易节点被标记，交易所、稳定币发行方、跨链节点与执法机构之间就能形成拦截网。 五、币安启动兜底，但“回填”不等于风险完全解除 面对用户最关心的损失问题，币安表示将使用公司资金、用户安全资产基金SAFU以及期货保险基金进行兜底。原文披露，币安已划拨超过63.4亿美元等价资产回填；截至11月1日，相关覆盖率从80%提高到90%，随后达到约95%。 剩余部分主要是流动性较差的冷门代币，需要逐步处理。币安称，BTC、ETH、USDT、BNB、SOL、USDC、XRP等主流资产获得100%背书，用户不承担被盗损失，提现服务也从11月1日起按网络分批恢复。 这意味着，就原文披露的安排而言，普通用户不会直接承担本次被盗损失。但这并不等于事件已经彻底结束。平台回填本质上是动用自身信用和资金进行补偿，并不代表被盗资金已经全部追回；提现恢复也不等于部权限、授权委托等安全问题已经清零。链上追踪可能持续数月甚至数年，平台仍需完成技术修复、权限审计及涉案资产处置。 六、这起案件击穿了三个常见的安全错觉 第一个错觉是“大平台一定绝对安全”。币安是全球最大的加密资产交易所之一，仍然可能成为国家级攻击者的目标。中心化平台能够提供便利、流动性和应急补偿，但用户把资产交给平台保管，就不能把平台规模直接等同于资产绝对安全。 第二个错觉是“私钥没泄露，钱就一定安全”。此次事件恰好从反面说明，私钥只是安全链条的一环。内部系统权限、智能合约授权、自动化签名和热钱包持续运行中的操作能力，都可能成为攻击入口。用户看到的是一次普通签名，攻击者获得的却可能是持续转走资产的执行权。 第三个错觉是“链上匿名，被盗资金肯定追不回”。从公开的600多个以太坊地址，到稳定币发行方冻结、交易所协助拦截，再到THORChain、RPC节点和DeFi服务参与阻断，链上追踪已经形成全球协同。攻击者可以隐藏资金最终去向，却很难抹去每一段公开的交易轨迹。 七、普通用户应从授权操作开始改变习惯 首先，大额资产不要长期放在交易所热钱包中。原文将交易所比作提供便利的“活期账户”，而不是绝对安全的保险柜。冷钱包、硬件钱包以及更合理的资产分散安排，应当成为管理大额加密资产时认真考虑的工具。 其次，不要乱点链接，更不要在看不懂的授权页面随意签署。Web3中最昂贵的动作往往不是普通转账，而是“Sign”。看不懂的合约地址、授权对象和执行内容，一律应当视为高风险信号。选择平台时，也要关注其是否支持授权查看、权限隔离以及必要的撤回机制。 第三，不要碰来路不明的“高收益搬砖、量化、托管盘”。原文指出，不少项目把资金盘包装成加密理财，其底层逻辑可能是用后来者的资金支付前面人的收益。真正的链上安全能力与承诺固定高回报之间不能画等号，所谓托管盘一旦发生风险，本金往往比大型平台事件中的用户更难获得保障。 第四，不要把稳定币理解成完全中立的“离线黄金”。本次事件中，约20亿美元规模的USDT和USDC因地址被标记而无法正常动用。稳定币同样依赖发行方的冻结、审查和追踪机制，在特定账户中可能受到限制。 第五，看到“内部消息”“保证回本”“带单老师”，应直接远离。真正有链上追踪能力的安全团队，不会依靠收取群费教授发财捷径。任何以内部关系、独家资金通道或政策消息为诱饵，要求转账、提供授权或购买课程的行为，都应先按高风险骗局处理。 八、平台安全也需要从“防盗”转向“防授权劫持” 原文认为，这起案件背后同时出现了三种变化：国家级网络战进入加密资产主战场，链上反洗钱从被动追踪转向全球协同拦截，交易所安全则不能只防外部盗窃，还要防范内部权限滥用和授权劫持。 今后判断一个平台是否稳健，不能只看交易量、上币速度和提现速度，还应关注多签机制和权限隔离是否完善，授权委托能否及时查看与撤回，以及出事之后有没有真实资金进行兜底。63亿美元级别的损失，检验的不仅是攻击者的技术能力，更是平台的安全架构与责任承担能力。 这起币安事件留下的警示，不是“私钥没有泄露就可以放心”，而是“权限、授权与签名都可能成为资金失守的入口”。对普通用户而言，真正需要改变的是每一次授权前的谨慎，以及大额资产不能只放在一个热钱包中的习惯；对平台而言，封堵一个漏洞远远不够，只有权限隔离、持续追踪和真金白银的兜底能力缺一不可。 温馨提示：本文内容仅用于信息资讯分享，不对任何经营与投资行为进行推与背书。请严格遵守所在地区的法律法规，不参与任何非法金融活动。本文不为任何虚拟货币、数字藏品相关的发行、交易、融资等提供交易入口、操作指引或渠道推广。