币安黑客事件：发生了什么，63亿美元去向何方

币安已承诺，在估计影响达63亿美元的安全漏洞事件后，将承担所有客户损失。其恢复工作目前涉及多个不同流程，从冻结稳定币到追踪任何代币发行方都无法阻止的资产。

币安估计，其10月29日的安全漏洞事件影响了63亿美元的加密货币，并承诺承担所有损失，同时合作伙伴已冻结约30亿美元。

币安的安全更新称，其初步调查指向一名DevOps工程师的笔记本电脑遭到入侵，这可能使其得以访问一个内部服务容器并提交未经授权的提款请求。

该交易所表示，尚未发现钱包私钥泄露的证据。它已撤销受影响地址的授权，已让执法部门介入，并承诺在调查人员完成事实认定后发布技术报告。

区块链调查人员已分别发布了关于这些转账的不同说法。他们的数字描述了事件的不同阶段，并采用了不同的统计范围，其中一些计算的是资产离开币安时的价值，另一些描述的则是随后被冻结的资产。

因此，30亿美元的冻结数字与63亿美元的估计并存。币安并未将30亿美元描述为已返还给客户的资金，也未公布其在追回后自身财务损失的最终账目。

币安黑客事件在数分钟内波及多个网络

据TRM Labs称，主要转账潮始于UTC时间10月29日约20:05，并在约20分钟内转移了大部分被盗资金。其调查覆盖10个网络，当晚稍晚又有一波资金流向Avalanche和Polygon。

TRM的估计按每笔转账发生时的价值计算资产。币安的63亿美元数字是该公司对事件影响的估计，因此这两个总额之间的差异本身并不能证明调查人员发现了另一起盗窃。

该公司利用链上和链下情报，将此次攻击归因于朝鲜的TraderTraitor组织。币安尚未确认攻击者的身份，该归因仍属调查人员的评估。

正如crypto.news此前报道的那样，最初的归因和追踪将该事件与FBI在2025年2月Bybit盗窃案中此前识别出的一个黑客单位联系起来。技术归因和刑事认定是不同阶段，即使调查人员表达了高度信心也是如此。

这些转账涉及的资产具有非常不同的追回选项。美元代币可能设有发行方控制机制，而原生比特币和以太坊并不赋予稳定币公司 comparable 的权力来将持有者的余额列入黑名单。

因此，一个出现在追踪记录中的地址可能是有用的线索，但并不等同于可追回的余额。调查人员可以在攻击者更换钱包后追踪公开转账，但观察到资金流动的能力并不自动赋予任何人逆转它的权力。

一次以太坊授权改变了热钱包能做什么

Blockaid 的技术调查描述了对 Binance 14 的攻击，这是一个繁忙的以太坊热钱包。一笔交易包含 50 个 EIP-7702 授权，其中一个与该账户的交易计数器匹配，并激活了对恶意代码的委托。

研究人员表示，攻击者随后利用被委托的钱包转移了一大篮子资产，并触及了由该钱包控制的另一个智能账户。恶意委托在被移除之前，可能对后续存款仍然有用。

该出版物的技术报道已经审视了钱包授权机制。它在此次事件中的作用是，在所需授权被接受后，让代码在现有钱包的上下文中运行。

以太坊的EIP-7702 规范描述的是持久委托，而非必然在单笔交易后消失的权限。它警告称，被委托的代码对该账户拥有不受限制的访问权限，钱包提供商必须对其进行严格审计。

这一区别解释了为什么移除受影响的授权应与停止提款一起纳入应对措施。交易所客户界面的暂停与链上委托的移除，针对的是同一事件的不同部分。

Blockaid 将其他转账描述为来自多个网络上钱包的普通签名交易。其调查结果并未证实每一美元都是通过以太坊委托流出的，而且单凭一个以太坊功能本身无法解释比特币或波场转账。

Binance 的初步声明与调查人员的技术说明针对的是不同的问题。交易所描述的是进入其系统的一条可能路径，而研究人员描述的是已授权交易在链上做了什么。

完整调查仍需将这些阶段联系起来。交易所称未发现私钥泄露，这并不意味着其签名基础设施批准的每一笔交易都是公司有意为之。

冻结资金与返还资金应计入不同总额

Binance 表示，通过与行业伙伴合作，已冻结约 30 亿美元。冻结限制了受影响资产的流动，而追回则需要进一步步骤，将价值返还给合法所有者或约定的追回地址。

使用交易所的约整数字，30 亿美元除以 63 亿美元约等于 47.6%。剩余差额为 33 亿美元，占初始估计的 52.4%。

这些计算描述的是 Binance 公布的两个数字之间的关系。它们并未证实 33 亿美元已消失且无法追回，也未证实全部冻结余额可立即用于补偿客户。

随着调查人员识别转账、消除重复计算或更新价格，分母可能发生变化。随着发行方找到更多代币或当局授权追回交易，分子也可能发生变化。

TRM 的早期说明将冻结或保全资产定为约 27 亿美元，低于 Binance 随后的估计。其数字是某一时点的追踪快照，该公司后来的总额不应与其相加，仿佛它们描述的是不同的资金池。

同样的谨慎也适用于发行方公告。Tether 的冻结和 Circle 的冻结可能是 Binance 总额的组成部分，因此将两者都加到交易所总额中会导致部分资产被重复计算。

在发行方采取行动之前已被兑换的稳定币带来了另一个复杂问题。美元代币的发行方或许能够冻结该代币，但其控制措施不会自动跟随持有者进入另一种原生资产。

因此，恢复核算既需要代币余额，也需要其状态。已识别资产、已冻结资产、已转入恢复托管账户的资产以及用于恢复客户余额的资产，是四种不同的描述。

币安已将公司资金与 SAFU 并列列出

币安的承诺是使用其用户安全资产基金（SAFU）和公司资源来弥补损失。它并未表示仅靠 SAFU 就能吸收整个事件的全部损失。

该基金早前的比特币储备转换已于2月完成，当时币安报告持有15,000枚BTC，按当时价值约10.05亿美元。该转换公告描述的是历史余额和估值，而非10月发布的关于可用保险资源的最新声明。

即便是假设中的10亿美元基金，也仅能覆盖63亿美元总事件损失的15.9%。从63亿美元中减去10亿美元得出53亿美元，但这一算术并非对币安实际资金缺口的估算，因为追回资产和当前基金余额仍是各自独立的输入项。

因此，该交易所选择将公司资金纳入其中，本身就是承诺的一部分。客户被告知币安将承担损失，而不是被告知要等到调查人员追回每一枚被盗代币。

该承诺并未明确将使用的现金、加密货币或其他公司资源的具体构成。它也未确定任何由发行方控制的追回资产的时间安排，或冻结余额的会计处理方式。

客户赔付和公司的最终净损失可能按不同的时间表推进。币安可以在原始资产被追回之前，用自有资源替换缺失的客户资产，之后由公司继续追索追回。

如果发行方后来归还了已被替换的资产，该追回将影响币安自身的财务风险敞口。它不应被计为对同一客户损失的第二次赔付。

储备更新将提供有日期的支撑视图

币安已承诺在补救后提供更新的储备证明。其8月储备快照报告称，比特币和以太坊的储备率为100.25%，USDT的储备率更高。

8月的比率无法确立该交易所在10月事件后的支撑状况。客户余额、储备持有量和受影响资产需要在新快照日期进行计量。

该出版物对交易所储备报告实践的审查解释说，这些系统将覆盖资产与覆盖客户余额进行比较。它们不会自动包含每一项公司负债，也无法确立控制措施在快照之间持续运作。

高于100%的比率意味着该计算中包含的资产超过其中包含的相应客户余额。它并不衡量提款系统的质量，也不显示攻击者如何获得有效授权。

因此，币安承诺的储备更新和技术事后分析服务于不同的目的。前者可以记录特定时间的支撑状况，而后者旨在解释入侵事件以及为关闭攻击者所用路径而采取的措施。

同一资产不应在未解释其状态的情况下，同时被呈现为可自由使用的提款流动性和被冻结的恢复财产。被冻结的代币可能保留报价美元价值，同时仍无法用于普通客户提款。

赔偿承诺未给出恢复时间表

币安最明确的回应是其承诺承担所有损失，并由SAFU和公司资金共同支持。据报道的冻结为恢复工作提供了一个已识别的资产池，攻击者在适用管控下无法自由转移这些资产。

两项承诺均未提供最终损失数字。币安尚未公布被盗资产、冻结余额、返还资产与用于替换客户资金的公司资源之间的完整对账。

公开记录中的运营状态也在变化。最初的安全通知称存提款暂停，而后续报道称存款已恢复运营，提款则需进一步的安全工作。

这些通知属于各自的发布时间。客户能否提款取决于相关网络的当前服务通知，而非另一网络是否已恢复运营。

恢复时间估计在服务实际恢复前只是公司目标。它不是要求每位客户采取行动的截止日期，币安经审查的安全声明也未设定统一的客户提款窗口。

技术报告将说明初步入口点

该交易所提及的受感染笔记本电脑仍属初步信息。其声明指出了从工程师设备到内部容器的可能路径，但未公布攻击者如何在受影响网络上获得各项授权的完整解释。

Blockaid的分析提供了关于以太坊执行层面的证据，而TRM的调查涵盖了更大网络范围内的转账和归属。他们的工作不能替代币安承诺的关于内部访问控制的说明。

币安美国（Binance.US），即该交易所独立的美国关联公司，表示其运营未受该事件影响。

关注要点

返还资产：确认转入恢复托管将确立与发行方冻结不同的状态。

提款通知：针对具体网络的服务更新将确定哪些提款已实际恢复。

储备快照：日期、涵盖资产及冻结余额的处理方式将界定新报告所确立的内容。

技术事后分析：最终说明应将内部访问、签名授权与链上转账联系起来。

损失对账：币安披露的出资和已追回资产将决定其最终的财务风险敞口。

常见问题