字号·· | 护眼
研究报告

币安加密货币失窃始末

事件轮廓

2026 年 10 月 29 日 20 时 05 分(UTC)起,币安热钱包在多条区块链上被转走约 63 亿美元代币资产,整个过程约持续四小时Binance+1。美国联邦调查局(FBI)10 月 31 日认定朝鲜黑客组织 TraderTraitor 对此负责fbi+1,朝鲜方面随后否认美方指控,称其为「严重的政治挑衅」CNBC。币安以自有资金回补损失、分阶段恢复提币,到 11 月 3 日称已补回约 95% 的受影响资产凤凰网,其官网调查报告则称截至 10 月 31 日回补比例已达 98%Binance。

图 1「币安 黑客攻击」相关报道每日篇数(近 180 天)单位:篇
「币安 黑客攻击」相关报道每日篇数(近 180 天)

注:1CCF 本库统计,关键词:币安 黑客攻击(标题或正文命中);全景

本库「币安 黑客攻击」相关报道在 10 月 30 日达到峰值 17 篇,11 月 1 日回落到 8 篇后再度回升至 15 篇,事件在调查报告、朝鲜否认与提币恢复的推动下持续处于进行状态。

关键节点

时间(UTC) 事件 关键数字 出处
2026 年 6 月 钱包开发团队一名员工下载被篡改的工具,形成供应链攻击入口 现有材料没有提到 Binance+1
2026 年 9 月 第二名软件工程师在虚假招聘面试后下载恶意代码仓库 现有材料没有提到 Binance+1
10 月 20 日 攻击者借被攻破的电脑与内部 AI 工具控制钱包开发人员系统 现有材料没有提到 Binance+1
10 月 28 日上午 攻击者操作钱包收到 Tornado Cash 三笔小额提款,开始演练 三笔小额 theregist…+1
10 月 29 日 17:15 至 19:56 攻击者登录第三名工程师电脑,部署容器并触发恶意脚本 现有材料没有提到 Binance
10 月 29 日 20:05 至 20:09 五个热钱包转出 2.3346 亿枚 XRP,Solana 与 Optimism 钱包同时被转出 97.05 万枚 SOL、4420 万枚 OP Binance
10 月 29 日 20:20 起约 40 分钟 八条链上的币安钱包资金被转空 167464 枚 ETH、16.15 亿枚 USDT、18270 枚 BTC 华尔街见闻
10 月 29 日 22:23 币安发布首份安全事件公告 现有材料没有提到 binance
10 月 29 日 23:56 最后一笔未授权转账 2961.9 枚 ETH 上链 距攻击开始近四小时 Binance
10 月 30 日 00:10 币安从 Binance 14 钱包向零地址发起授权,清除 EIP-7702 委托 现有材料没有提到 Binance
10 月 29 日 21:15 前后(美东下午 5 点) Circle 冻结逾 8 亿美元,Tether 冻结逾 15 亿美元 合计逾 23 亿美元 彭博+1
10 月 31 日 币安称回填 90%,完成储备金证明快照 现有材料没有提到 binance+1
10 月 31 日 FBI 认定朝鲜 TraderTraitor 负责 逾 60 亿美元 fbi+1
11 月 1 日 06:00 至 09:00 第一阶段 15 种代币提币恢复 15 个网络与代币 binance+1
11 月 2 日 10 月 31 日储备金快照的零知识证明生成,用户可独立验证 10 种代币 100% 足额 Binance+1
11 月 3 日 04:00 第二阶段开放更多资产提币 以太坊新增 31 项、Solana 新增 20 项 binance+1
11 月 3 日 币安发布初步调查报告;CEO 称已补回 95%、事后调查适时公布 截至周一净提现 47.2 亿美元 Binance+1
11 月 3 日至 4 日 金与正否认朝鲜参与,并称无意与美对话 现有材料没有提到 CNBC+1
图 2币安 63 亿美元失窃案关键节点(2026 年 10 月 20 日至 11 月 3 日)出处Binance+9
  1. 2026-10-20攻击者借被攻破电脑与内部 AI 工具控制钱包开发人员系统(6 月供应链、9 月虚假面试已铺垫)Binance+1
  2. 2026-10-28攻击者操作钱包收到 Tornado Cash 三笔小额提款,开始部署与演练theregist…+1
  3. 2026-10-2920:05 UTC 起四小时内多链资金外流,23:56 最后一笔转账上链Binance+1
  4. 2026-10-31币安称回填 90%,FBI 认定朝鲜 TraderTraitor 负责binance+1
  5. 2026-11-01第一阶段 15 个网络与代币的提币恢复binance+1
  6. 2026-11-03币安发布初步调查报告,第二阶段提币开放,朝鲜公开否认Binance+2

时间线显示,真正的入侵铺垫跨越了四个月,而资金外流、冻结与提币恢复集中在五天之内。

入侵链条

币安 11 月 3 日发布的初步调查报告把入侵追溯到 6 月,而不是攻击当夜。报告称,钱包开发团队的一名员工从互联网下载了一个已被篡改的工具,币安事后更换设备并修改凭证,但该员工及钱包团队其他成员的身份已暴露Binance+1;知情人士称,恶意版本通过搜索引擎优化结果投放,在搜索中的排名高于正版亚洲新闻台。9 月,第二名正在找工作的软件工程师在以为是合法职位的面试后,把「恶意代码仓库」下载到个人电脑,面试环节包括与一家虚构公司的首席执行官视频会面亚洲新闻台。10 月 20 日,攻击者利用被攻破的电脑加上一个内部 AI 工具,控制了钱包开发人员的系统Binance+1。10 月 29 日 17:15 至 19:56,攻击者登录第三名工程师的电脑,用从第一名工程师处窃取的凭证部署容器并触发恶意脚本,发动攻击Binance。

链上侧的准备出现得更晚也更短。TRM 的链上分析显示,攻击者的操作钱包在 10 月 28 日上午收到来自混币服务 Tornado Cash 的三笔小额提款,次日早些时候部署第一段攻击代码并在两个钱包上测试theregist…;攻击者当天还在第三个钱包上预演最终版本,随后把测试资金转回自身,预演四小时后同一代码被安装到币安热钱包上连线。币安称 2026 年已检测并阻止 57 起疑似与朝鲜有关的网络威胁Binance+1。

四小时外流

资金外流在前几分钟就已完成最大的一笔。币安报告显示,10 月 29 日 20:05 至 20:09,五个热钱包向攻击者控制的地址转出 2.3346 亿枚 XRP,Solana 与 Optimism 上的热钱包同时转出约 97.05 万枚 SOL 和 4420 万枚 OPBinance。按 DRK 整理的链上时间线,北京时间 10 月 30 日凌晨 4 点 20 分 59 秒,一笔没有转账金额、也没有调用数据的以太坊交易完成上链,唯一内容是向标记为「Binance 14」的热钱包提交了 50 条 EIP-7702 授权华尔街见闻;3 分 24 秒后,该钱包内的 167464 枚 ETH、16.15 亿枚 USDT 及 63 种代币在一笔交易中被全部转走华尔街见闻。18270 枚 BTC 在同一个区块内转出,约合 14 亿美元华尔街见闻。

攻击持续了远超「几分钟」的时间。币安承认,最后一次未授权转账是 2961.9 枚 ETH,在 23:56(UTC)上链,距攻击开始已近四小时Binance;攻击者提交 50 笔签名交易操纵账户 nonce,建立恶意的 EIP-7702 委托授权,这些授权独立于币安正常的提现基础设施运行Binance。直到 10 月 30 日 00:10,币安才从 Binance 14 钱包向零地址发起新授权,清除 EIP-7702 委托代码Binance。受影响金额的估值在当晚不断攀升,最终定为约 63 亿美元海峡时报,币安官网口径为约 63.4 亿美元Binance;TRM 的统计是 10 条区块链、约 63.6 亿美元,大部分集中在约 20 分钟内法布财经+1。

手法争议

攻击入口指向币安内部的签名与提现基础设施,而不是一把泄露的私钥。首份公告称初查可能涉及一名 DevOps 工程师被入侵的笔记本电脑,使攻击者进入服务容器并提交未经授权的提现交易,未发现钱包私钥泄露的证据binance;币安随后补充「发现了更多入侵点」BBC+1。联席首席执行官邓伟政称这次入侵涉及一台被入侵的笔记本电脑和专门删除自身活动痕迹的恶意软件,增加了追踪难度凤凰网;他 11 月 4 日表示公司已重建受影响的钱包系统、更换设备与访问凭证,并加强 AI 安全监测财新。

EIP-7702 是这次攻击的关键工具。它是以太坊 Pectra 升级引入的特性,允许账户在不暴露私钥的情况下把部分执行权委托给智能合约华尔街见闻;攻击者向 Binance 14 一次性签下 50 条连续序号委托,覆盖 18914775 至 18914824 共 50 个 Nonce 值,只要一个命中即可生效华尔街见闻。链上分析人士神鱼的诊断是问题出在签名环节,没看到合约漏洞,黑客大概率是在自动签名系统、权限校验或运维指令管道里找到缺口,诱导签名机签下了那批不该签的 Type-4 交易华尔街见闻。这一手法与 2025 年 2 月 Bybit 被盗 15 亿美元时通过入侵 Safe 钱包开发环境诱骗多签审批者批准伪装交易的做法被安全公司 Blockaid 称为「非常相似」华尔街见闻。

币安在这份初步报告中的定性是「这不应该发生」,并向用户、合作伙伴和行业道歉Binance+1;公司称正聘请独立第三方网络安全专家对事件做全面审查、验证调查结论Binance,完整的「事后调查」将在适当时候公布凤凰网。币安同时表示将增加对 AI 驱动检测的投资,并设立安全研究基金亚洲新闻台。

冻结的边界

能冻结的主要是中心化发行的稳定币。美东时间 10 月 29 日下午 5 点 15 分,币安公开确认知悉一起「潜在安全问题」,3 分钟后 Circle 首席执行官宣布冻结逾 8 亿美元相关资金,7 分钟后 Tether 首席执行官宣布冻结逾 15 亿美元彭博;按这一口径,Tether 冻结 15.6 亿美元、Circle 冻结 8 亿美元CNBC,加上世界自由金融冻结的 2700 万美元相关 USD1华尔街日报,合计约 23.87 亿美元计算。币安首份公告的口径是「已在链上冻结约 30 亿美元」binance+1,占其估计的 63 亿美元受影响金额的约 47.62%计算;

口径 金额 说明 出处
币安官网受影响金额 约 63.4 亿美元 11 月 3 日调查报告 Binance
币安首份公告估计总影响 约 63 亿美元 用「估计」而非最终净损失 Binance+1
TRM Labs 链上统计 约 63.6 亿美元 10 条区块链,多数在 20 分钟内 法布财经+1
Elliptic 统计 约 64.3 亿美元 用于计算冻结比例 CNBC
FBI 声明 逾 60 亿美元 归因声明 fbi
币安已冻结或拦截 现有材料没有提到 11 月 3 日报告口径 Binance
币安首份公告链上冻结 现有材料没有提到 10 月 29 日公告口径 binance+1
Tether 冻结 15.6 亿美元 稳定币发行商 CNBC
Circle 冻结 8 亿美元 稳定币发行商 CNBC
世界自由金融冻结 USD1 2700 万美元 与事件相关 华尔街日报
三家发行商分项合计 约 23.87 亿美元 15.6 + 8 + 0.27 计算
Elliptic 估计仍在盗窃地址 约 32.4 亿美元 主要为比特币与以太币 CNBC
未被冻结缺口 33.4 亿美元 63.4 亿美元预留减 30 亿美元冻结 计算
超出任何发行商控制 24 亿美元 TRM 口径 纽约时报
预留公司资金 63.4 亿美元 其中 50 亿美元为同种代币 Binance+1
图 3币安失窃资金处置口径(亿美元)单位:亿美元出处Binance+2
币安失窃资金处置口径(亿美元)

注:冻结为币安 11 月 3 日报告口径;仍在盗窃地址为 Elliptic 口径;缺口为 63.4 亿美元预留减 30 亿美元冻结

币安报告的 28.5 亿美元与 Elliptic 估计的 32.4 亿美元未冻结资金,说明真正被锁住的部分不到总额的一半。

这个缺口只能靠总额相减得出,无法用分项逐笔拼回去。33.4 亿美元是按币安预留的 63.4 亿美元减去首份公告所称约 30 亿美元链上冻结算出来的差额计算+2;它与 Elliptic 独立统计的「约 32.4 亿美元仍在与盗窃有关的地址、主要为比特币和以太币」相差约 1 亿美元,两个数字并不重合CNBC。发行商分项的口径同样对不上:Tether 15.6 亿美元、Circle 8 亿美元、世界自由金融 2700 万美元合计约 23.87 亿美元CNBC+2,与币安自称的 30 亿美元之间差约 6 亿美元,现有材料没有对这 6 亿美元给出逐笔说明,也没有列出被冻结地址的清单,因此「未被冻结缺口」只能确认量级在 32 亿至 33 亿美元区间,构成无法进一步拆解CNBC+1。

比特币、以太坊等没有发行方的资产无法直接冻结。TRM 指出,已有价值 24 亿美元的加密货币「超出了任何发行商能够控制的范围」纽约时报;攻击者还在美东时间下午 5 点把价值 6000 万美元的稳定币存入 Aave 借出近 2 万枚以太币(当时价值约 4460 万美元),把资金转入中心化平台无法触及的范围华尔街日报。Elliptic 称,在 Tether 和 Circle 等发行商冻结剩余资产前,约 7.86 亿美元稳定币已被兑换成发行方无法冻结的资产CNBC。追回与冻结是两件事,TRM Labs 全球政策主管、前美国联邦检察官兼财政部官员 Ari Redbord 的说法是冻结阻止资金流动、追回则要走法律程序,执法机构通常需先获得法院命令或扣押令,再与稳定币发行商合作释放或重新发行资产CNBC+1。

洗钱在多条链上快速展开。Elliptic 11 月 2 日的报告称,攻击后前四天黑客在 11 条区块链上使用约 1.2 万个钱包、完成超过 4 万笔交易,平均每 25 秒就启用一个新钱包CNBC。资金最初主要在 Tron 上分散到约 7700 个地址,随后通过跨链桥转到以太坊,至少 1.47 亿美元经桥转出CNBC;Chainalysis 称,与朝鲜有关的行为体在通过 Tron 中介钱包转移超过 5 亿美元后,开始把资金转向 SolanaCNBC。更早的统计显示,黑客在得手后三天内以平均约 90 秒的间隔进行 1113 笔拆分转账,部分交易不惜承受高达 26% 的兑换损失联合早报;联合早报引述 Elliptic 称,黑客得手数分钟内就把价值 4.34 亿美元的 USDT 换成以太坊联合早报。Elliptic 还发现比特币混币的早期迹象,截至周一早些时候约 28 枚比特币(价值 220 万美元)经 18 笔混币交易CNBC。

回补与提币

回补进度按币安公告逐级推进。10 月 30 日的公告称已预留超过 63.4 亿美元公司资金,其中 50 亿美元以被盗的同种代币形式持有,已填回约 80%Binance+1;10 月 31 日的公告称回填比例升至 90%,BTC、ETH、USDT、BNB、SOL、USDC、XRP、USD1、RLUSD 和 ZEC 均已 100% 足额支持,约 10% 未补足的都是这十种之外、流动性较低的代币binance+1。回补资金来自部分 SAFU 基金、部分合约保险基金和公司自有资金binance+1;何一称将动用 SAFU 资金的 50%,公司承诺把该基金补回约 10 亿美元规模星洲日报+1。SAFU 于 2018 年 7 月设立,由 Nest Clearing and Custody Limited 持有和管理Binance。

到 11 月 1 日,币安称已回填约 95%,剩余约 5% 是市值排名前十之外的代币Binance,CEO 邓伟政 11 月 3 日仍表述为 95%凤凰网;11 月 3 日的官网调查报告则称,截至 10 月 31 日 98% 的受影响代币资产已完成回补,并可在储备金证明页面验证Binance,华尔街见闻的行情报道也提到币安称已补足 98%、约 28.5 亿美元被冻结或拦截华尔街见闻。11 月 2 日,10 月 31 日 00:00(UTC)快照的完整零知识证明生成,持有上述十种代币的用户可独立验证余额至少 1:1 足额Binance+1;币安计划在 11 月 4 日生成覆盖更多代币的新快照,完整证明预计需约 40 至 50 小时Binance。

提币恢复分两阶段推进,资产范围一次比一次宽。第一阶段定在 11 月 1 日 06:00 至 09:00(UTC),覆盖 15 个网络,包括比特币、以太坊、BNB Chain、Solana 以及若干二层网络,代币层面包括 BTC、ETH、XRP、DOGE 与部分 USDT、USDCbinance+1;比特币提币在周日格林威治时间 0600 后不久恢复印度斯坦时报。第二阶段自 11 月 3 日 04:00(UTC)起陆续开放,官网逐链列出清单:BSC 上开放 USD1、XUSD、ADA、FDUSD、LTC、BTC、ETH、XRP、NEAR、ZEC、DOGE、CAKE、SOL、DOT、LINK、SHIB、XLM、HBAR、TUSD 等,并开放全部 bStocks;以太坊上开放 RLUSD、USD1、ENA、USDE、PENDLE、WLD、QNT、ONDO、LINK、ETHFI、BAT、STRK、POL 等;Solana 上开放 USD1、PUMP、RAY、TRUMP、JUP、PYTH、BNSOL、ORCA、WIF、JTO、BOME 等,另含 SUI、Arbitrum、Optimism、TRX、Base 多条链上的资产binance。按 crypto.news 的统计,以太坊新增 31 项资产、Solana 新增 20 项,此前以太坊已先恢复 5 种稳定币的提币crypto。存款服务全程未受影响binance。到 11 月 3 日 03:00(UTC),币安称每小时存款量已超过提款量Brave New…。

挤兑检验

恢复初期的资金流出是市场对信任的直接检验。币安发言人称,截至格林威治时间 15 时 30 分,净流出约 36.4 亿美元,相当于其资产的 2.1%,提款量在初期激增后趋于稳定,存款量仍维持「相当庞大」中央社;卫报给出的版本是币安处理了 46 亿美元提款和 10 亿美元存款,净流出约 36 亿美元,占其 1710 亿美元总管理资产的 2.1%卫报。到 11 月 2 日,币安称截至周一客户净提现额已达 47.2 亿美元凤凰网;共同社的报道是,币安发言人称截至伦敦时间周一早上平台净撤资额达 47 亿美元,这笔流出不足其 1280 亿美元资产的 4%共同社。区块链分析平台 DefiLlama 的数据看板显示流出金额更高,达 58.1 亿美元,币安回应称该数字未纳入公司已存入自家新热钱包的资金,因此并不准确中央社。储备方面,Nansen 数据显示币安数字钱包中总共持有 1670 亿美元加密资产,包含用户资金、公司资产与 SAFU 储备华尔街日报;商业内幕指出 SAFU 事发时仅有约 12 亿美元,币安需用公司储备弥补其余部分商业内幕。

一部分资金外流来自抢跑与套利。彭博引述 Bitquery 的数据称,攻击者因执行不力估计损失 1.19 亿美元,其中约一半被交易者和套利机器人获取,帮助组装和批准以太坊交易的运营者另获 2950 万美元彭博。

归因与否认

归因在事发两天内完成。Chainalysis 与 TRM Labs 均将攻击归因于朝鲜的 TraderTraitor,Chainalysis 的部分依据是被盗的币安资金与上月针对 Bitget 的攻击中被盗资金「混在一起」海峡时报+1。FBI 10 月 31 日的公告认定朝鲜对 10 月 29 日前后从币安窃取逾 60 亿美元虚拟资产负责,将该活动命名为 TraderTraitor,并称与特勤局(USSS)、国税局刑事调查局(IRS-CI)观察到该组织成员主要把被盗资产转换为以太币,预计会通过 DeFi 和即时兑换服务进一步洗钱fbi+1。这个组织此前被认定对 Bybit、DMM Bitcoin、Atomic Wallet、Alphapo、CoinsPaid 等案负责海峡时报+1。

朝鲜这次没有沉默。据朝中社报道,金正恩的妹妹金与正谴责 FBI 的归因,称其为「严重的政治挑衅」,指责华盛顿把世界各地的网络犯罪都描绘成朝鲜所为以误导国际舆论CNBC。11 月 4 日,金与正进一步表示平壤「没有必要与这种不可靠且充满敌意的人面对面坐下来」,并把币安指控与美韩军演、无核化要求并列为美国敌视政策的延续亚洲新闻台。韩国学者解读这一表态降低了对话优先级,同时向美国施压亚洲新闻台。

美方口径并不完全一致。特朗普 10 月 31 日对朝鲜涉案表示怀疑,称「我们不知道是不是朝鲜」每日邮报,11 月 3 日又说「我们正在了解情况。我不担心……我们不知道是否是朝鲜干的,但如果是,我们会就此事与朝鲜对话」亚洲新闻台;此前他在周五谈及此事时的说法是「人们再也看不到钱了……但他们说基本控制住了」纽约时报。规模上,Elliptic 首席科学家汤姆·罗宾逊认为这次盗窃将使朝鲜已知加密货币盗窃总额几乎翻倍纽约时报;Chainalysis 统计,2015 年朝鲜相关攻击仅占全球加密资产被盗损失的 15%,到 2026 年这一比率升至约 89%联合早报。Elliptic 预计剩余资金将逐步兑换成比特币,并可能在数月内通过场外经纪商和交易所套现,其联合创始人罗宾逊点出以华语圈为主的场外交易经纪商CNBC+1。

执法与监管层面,与本次失窃直接相关的动作目前只有 FBI 的归因、资产追踪与地址清单发布,尚未见到对币安本身的立案材料;本库能查到的最新监管线索是此前那桩仍在推进的调查。美国联邦检察官正在调查币安控股是否违反美国对伊朗的制裁,具体是未能阻止其平台上的某些交易,该调查由曼哈顿美国检察官办公室主导,司法部刑事部门也参与其中,审查币安是否故意允许这些交易,调查可能以不提出任何指控而告终彭博。这桩调查与本次失窃是两条线,现有材料没有把两者联系起来,也没有说明事件后是否扩大范围彭博。

市场与行业

市场冲击集中在事发当天,随后部分修复。比特币周四下跌超过 4%,以太币下跌超过 5%,周五两者均收复部分失地CNBC;BBC 引述多方报道称比特币价格下跌约 5% 至约 76400 美元,为近一个月最低BBC。11 月 2 日,比特币在新加坡时间下午 1 点交易价格约 78300 美元,相比周四黑客攻击披露前的高点下跌约 4%,其韧性被普遍归因于币安从一开始就承诺承担所有损失彭博;同日另一时点比特币报 77765.90 美元、以太币报 2286.31 美元亚洲新闻台。11 月 3 日比特币收报 77822 美元,盘中最低 76305 美元华尔街见闻;到 11 月 4 日,比特币较上周四高点下跌约 6%,周五和周一投资者为应对美国大选加大下行保护布局,导致逾 10 亿美元资金流出美国上市的比特币 ETF彭博。币安订单簿深度一度下降 25% 至 30%,但买家在几小时内回归彭博;市场人士把这轮冲击定性为运营冲击而非系统性冲击彭博。

竞品的第一反应是自证安全。彭博还原的事件夜记录显示,币安竞争对手 Kraken、Coinbase 和 Bybit 均宣称未受影响海峡时报;Kraken 对外强调自身有全职团队每天寻找潜在漏洞DealStree…。行业高管普遍判断不会出现更广泛的金融连锁反应,GSR 首席法律与战略官 Josh Riezman 称「我们预计整个行业实际上不会遭受实质性损失,尽管 Binance 显然必须直接应对这次漏洞利用」CNBC。

安全与托管从业者的表态集中在「假设已被攻陷」这条原则上。香港金融科技周期间,数字资产基础设施公司 Fireblocks 全球银行业务主管 Tim Way 称,必须把每一个端点和每一台服务器都视为可能被攻陷的地方,并按「可能已被攻陷」来开展工作;他把未经授权的签名视为一种潜在的安全故障,强调及时发现极为关键,因为「一旦上链,就很难撤销」南华早报。CNBC 的判断是,这起 63 亿美元的事件会推动投资者重新给加密公司估值,把溢价转向托管服务商与安全持有数字资产所需的基础设施,网络安全、托管、合规与资产负债表韧性因此更受重视;报道同时强调这不是像 2022 年末 FTX 那样的领导层欺诈案,而是对加密基础设施的一次压力测试CNBC。

用户保护是这起事件暴露的另一处缺口。在美、英、澳等国,加密货币用户不受正式存款保护制度覆盖,交易所遭黑客攻击或破产时政府不会赔偿卫报;币安前首席执行官赵长鹏警告诈骗者已进入「全速运转」状态,传播篡改截图谎称因提币暂停发放 150 美元补偿,币安确认该信息为虚假卫报。监管层面,马来西亚国会议员林冠英 9 月致信证券委员会要求调查币安的 P2P 平台,并在信中点明「鉴于近期发生的币安安全事件」,币安称已主动关闭一个非官方与林吉特挂钩的交易市场彭博;美国方面,参议员沃伦和默克利 2025 年曾要求提供币安与阿联酋支持投资公司 20 亿美元交易的记录,理由是担心其中的财务关系半岛。

币安此前也发生过此类事件,这次是同类问题在新规模上的重现。2019 年 5 月 7 日,币安披露一起大规模安全事件,黑客通过钓鱼、病毒等手段获取大量用户 API 密钥与 2FA 码,单笔提走 7000 枚 BTCBinance;2019 年是从用户凭证入手,2026 年这次是攻击内部签名与提现系统,币安在两次事件中都强调没有私钥泄露Binance+1。2023 年币安承认违反反洗钱规定,向美国监管机构支付 43 亿美元罚款,赵长鹏被判处四个月监禁纽约时报+1。长期批评者关心的问题在这次事件中再次出现:一个以去中心化为理念的行业,为何仍有如此多资产集中在少数几大平台手中商业内幕。币安对用户的说明包括何一与邓伟政要求员工「严守纪律、不要妄加猜测」的内部信息,以及何一在 X 视频中用普通话承认「我们也有很多做得不对的地方,我们应该更早地、更多地去做安全投入,建立更严谨的标准」纽约时报+1。安全加固方面,币安公告称已隔离被入侵的基础设施、撤销受影响的授权并实施额外控制措施Binance,并重建了受影响的钱包系统、更换设备及访问凭证财新。

材料边界

受影响金额存在四个口径:币安首份公告 63 亿美元、官网调查报告 63.4 亿美元、TRM 63.6 亿美元、Elliptic 64.3 亿美元,FBI 只说「逾 60 亿美元」binance+4;币安始终未公布最终净损失。冻结金额同样不统一:币安首份公告称约 30 亿美元,11 月 3 日报告改为约 28.5 亿美元「已冻结或拦截」,TRM 早期估算约 27 亿美元,而彭博与 CNBC 给出的 Tether 15.6 亿、Circle 8 亿、世界自由金融 2700 万美元分项合计约 23.87 亿美元binance+5。华尔街日报称约 33 亿美元仍掌握在黑客手中华尔街日报,Elliptic 则称约 32.4 亿美元仍在盗窃相关地址CNBC;两套分项与币安总额之间的约 6 亿美元差额,现有材料没有冻结地址清单或逐笔说明,无法补齐。合计口径 23.87 亿美元由本报告按分项相加得出,原始材料只给出各分项金额CNBC+1。

回补比例有三个时点:80%(10 月 30 日)、90%(10 月 31 日)、95%(11 月 1 日恢复更新与 11 月 3 日 CEO 表述),官网调查报告另称截至 10 月 31 日已达 98%,时间点与百分比并不自洽,本报告全部保留Binance+5。提币后的流出规模有 36 亿、36.4 亿、47 亿、47.2 亿与 58.1 亿美元五个版本,币安只承认其中较低的两个,并对 DefiLlama 的 58.1 亿提出口径质疑卫报+3;总资产口径也有 1710 亿美元与 1280 亿美元两个版本,因此「占资产 2.1%」与「不足 4%」不能直接换算比较卫报+1。

攻击入口方面,币安已发布初步调查报告,披露 6 月供应链、9 月虚假招聘面试、10 月 20 日内部 AI 工具跳板与 10 月 29 日发动攻击的链条,并称将聘请独立第三方审查、另行发布完整「事后调查」,目前尚无第三方复核结论Binance+2。报告没有给出 6 月与 9 月两个节点的具体日期,现有材料只有月份Binance+1。链上彩排的时间存在两种说法:TRM 称 10 月 28 日上午收到 Tornado Cash 三笔小额提款theregist…,连线引述 TRM 则称操作者 10 月 29 日早些时候部署第一段代码并在钱包上测试连线。朝鲜归因来自 FBI 与三家链上分析公司,朝鲜已通过朝中社公开否认,特朗普公开表示不确定;本库没有朝鲜驻日内瓦代表团与驻中国大使馆的回应fbi+2。监管层面,本报告只找到马来西亚议员要求调查币安 P2P 的信件、美国司法部针对伊朗制裁合规的调查,以及参议员对币安与阿联酋投资交易的质询,没有找到美国或阿联酋监管机构就本次失窃事件对币安启动正式调查、处罚或听证的材料,也没有找到美国国会就本次事件安排听证的材料彭博+2;币安 SAFU 受阿布扎比全球市场金融服务监管局监管这一条来自币安官网自述Binance。2022 年币安 BNB 跨链桥被盗一事,现有材料没有提到,本报告无法给出该案与本次事件的关系比较。AI 与本次攻击的关系已有官方说法:币安称攻击者在 10 月 20 日利用内部 AI 工具作为跳板,并表示将增加 AI 驱动检测投入Binance+1;黑客是否借助 AI 实施社工与洗钱,现有材料只有分析人士的判断,没有独立技术证据联合早报+1。

核查结果

以下 4 句经逐句对照材料,证据不足或与材料不符,请谨慎采信:

  • 〔支持度 0.0〕Solana 上开放 USD1、PUMP、RAY、TRUMP、JUP、PYTH、BNSOL、ORCA、WIF、JTO、BOME 等,另含 SUI、Arbitrum、Optimism、TRX、Base 多条链上的资产binance。(材料binance节选仅列BSC网络部分资产,未出现Solana上USD1、PUMP、RAY、TRUMP等及SUI、Arbitrum、Optimism、TRX、Base链内容)
  • 〔支持度 0.2〕按 crypto.news 的统计,以太坊新增 31 项资产、Solana 新增 20 项,此前以太坊已先恢复 5 种稳定币的提币crypto。(材料仅称以太坊新增31项、Solana新增20项资产恢复提币,未提及此前已先恢复5种稳定币)
  • 〔支持度 0.0〕表格行 | 币安已冻结或拦截 | 现有材料没有提到 | 11 月 3 日报告口径 |Binance |(材料85未提及冻结或拦截金额,无法支持该表格行)
  • 〔支持度 0.0〕表格行 | 币安首份公告链上冻结 | 现有材料没有提到 | 10 月 29 日公告口径 |binance+1 |(材料45与86均未提及链上冻结金额,无法支持该表格行)

官网核对:对 2 句含具体数字 / 日期、只有转述来源的陈述,到发布主体官网核对原文:2 句官网节选没有完整写到这句话的内容(不算不符,仍以原材料为据);1 个发布主体未能确认官网(TRM Labs(Wikidata 没有这个名字的条目))。

参考来源

  1. [1]
  2. [2]
  3. [3]
  4. [4]
  5. [5]
  6. [7]
    中央通讯社 · 2026-11-02 09:24 · 库内报道 · 高可信(通讯社)
  7. [8]
    纽约时报 · 2026-11-02 12:07 · 库内报道 · 中等可信(媒体报道)
  8. [10]
  9. [11]
    华尔街见闻 · 2026-10-30 12:28 · 库内报道 · 中等可信(媒体报道)
  10. [12]
  11. [13]
  12. [14]
  13. [16]
  14. [17]
  15. [19]
  16. [20]
  17. [21]
  18. [23]
    星洲日报 · 2026-11-01 11:52 · 库内报道 · 中等可信(媒体报道)
  19. [24]
  20. [30]
    司法部就币安可能违反伊朗制裁展开调查
    彭博社 · 2026-09-22 08:38 · 库内报道 · 高可信(通讯社)
  21. [35]
  22. [36]
  23. [37]
  24. [38]
  25. [39]
  26. [41]
  27. [43]
    联合早报 · 2026-11-02 20:59 · 库内报道 · 中等可信(媒体报道)
  28. [44]
  29. [45]
  30. [46]
  31. [49]
  32. [50]
  33. [55]
  34. [56]
    Binance · 2019-05-07 · 网页 · 高可信(官网(Wikidata 核对))
  35. [63]
    计算:稳定币发行商与相关机构冻结金额合计
    本轮计算 · 库内报道 · 未评级(本轮计算:可信度看输入材料的出处)
  36. [65]
    计算:已冻结资金占受影响金额比例
    本轮计算 · 库内报道 · 未评级(本轮计算:可信度看输入材料的出处)
  37. [66]
    计算:未被冻结的缺口金额
    本轮计算 · 库内报道 · 未评级(本轮计算:可信度看输入材料的出处)
  38. [67]
  39. [68]
  40. [73]
  41. [74]
  42. [75]
  43. [76]
  44. [77]
  45. [78]
    共同社 · 2026-11-02 21:06 · 库内报道 · 高可信(通讯社)
  46. [81]
    凤凰网科技 · 2026-11-03 16:16 · 库内报道 · 中等可信(媒体报道)
  47. [82]
  48. [83]
  49. [85]
    Binance · 2026-11-02 · 网页 · 高可信(官网(名录 核对))
  50. [86]
  51. [93]
  52. [94]
  53. [97]
  54. [98]
  55. [101]
  56. [102]
  57. [104]
  58. [107]
  59. [110]
  60. [112]
  61. [116]
  62. [117]
  63. [118]
  64. [119]

另有 60 条查阅过但报告没有引用的材料,未列出。

出处标记带「!」的句子,在逐句核查中判为证据不足。

本报告由 1CCF 情报研究台的研究模型依据文末来源写成,经编辑发布;事实以来源原文为准。