概述
币安 在 2026 年 10 月 29 日遭遇热钱包资金被转出的安全事件，官方估算受影响规模约 63 亿美元，为公开记录中规模最大的一次加密资产盗窃。截至 10 月 30 日 07:00 UTC，提现仍处暂停状态，币安称预计在 48 小时内开始恢复，存款按其最新服务更新已回到正常运行。链上已被冻结的相关资产约 30 亿美元，尚无资产被追回并返还交易所的公开记录。币安已表示将以 SAFU 基金与公司资金承担全部损失。
技术路径与多数交易所被盗案不同。 以太坊 上的转出通过一笔 EIP-7702 委托授权完成，攻击者并未取得钱包私钥，而是让热钱包按其部署的合约执行资产清扫。币安在初步调查中表示未发现钱包私钥泄露证据，并把入口指向一台被入侵的 DevOps 工程师笔记本电脑。
核心要点
事件时间轴
链上记录、研究机构判断与官方口径三者在这次事件中推进速度不同，下表按统一时区排列，并标注每一条的性质。所有时间为 UTC，对应新加坡时间加八小时。
两条线索值得单独留意。一是发行方的冻结动作早于交易所的服务暂停，Tether 与 Circle 在首笔大额清扫后约四十分钟内即完成第一轮冻结，而提现暂停发生在 22:15 UTC。二是币安高管的表述口径逐步变化，联席 CEO 何一在 10 月 30 日 00:24 UTC 的发文中首次使用"攻击"一词，而公司主账号在此前的公告中使用的是"潜在安全问题"。
金额口径：转出、冻结、未冻结与追回的区别
公开流传的金额从 33 亿美元到 63.6 亿美元不等，差异来自三处：统计覆盖的链不同、计价时点不同，以及统计对象是转出金额还是攻击者钱包的持仓余额。
冻结的资产分布
TRM Labs 截至 10 月 30 日 00:30 UTC 的统计把冻结金额拆为 Tether 约 17.7 亿 USDT、Circle 约 8.25 亿 USDC、Ripple 4,050 万 RLUSD、World Liberty Financial 2,780 万 USD1，以及 Arbitrum 安全委员会处置的 8,426 枚 ETH 与 7,460 万枚 ARB，合计约 27 亿美元。币安在二十二分钟后通报的核实冻结金额为约 30 亿美元，两者的差额来自统计时点，而非口径冲突。First Digital 在 02:21 UTC 冻结了涉事的 FDUSD，未披露具体金额，该部分未计入上述拆分。
冻结不等于追回
被冻结的资产处于发行方的合约黑名单状态，既不在攻击者手中，也未回到交易所账目。资产要回到币安，需要发行方重新铸造或在司法程序下划转，这一步在 2025 年 2 月 Bybit 事件中耗时数月，且当时 15 亿美元规模的失窃仅有 4,840 万美元完成追回。按币安口径计算，当前冻结金额占受影响规模的约 48%，而剩余部分集中在比特币与以太币这两类没有中心化发行方的资产上，不存在同类冻结途径。
攻击者在冻结生效前的套现动作
TRM Labs 记录到攻击者在发行方冻结生效前，以超过 10% 的折价向做市商出售约 3.25 亿 USDT，换入约 122,300 枚 ETH，并在 Aave 上以 USDT 抵押借出 ETH，同时通过波场链上的借贷协议与 Uniswap 兑换转移资产。这一系列动作把可被冻结的中心化稳定币换成了无法冻结的原生资产，是剩余 24 亿美元集中于 BTC 与 ETH 的直接原因。
攻击路径
以太坊上的 EIP-7702 委托
EIP-7702 随 2025 年 5 月以太坊 Pectra 升级上线，允许一个普通账户授权某个智能合约代表自己执行操作。按 TRM Labs 与 Blockaid 的分析，攻击者提交的委托交易中包含 50 条预签名授权，分别对应连续的 50 个交易序号，以保证其中一条在执行时处于有效状态。授权生效后，币安的热钱包按攻击者部署的合约逻辑完成清扫，整个过程在委托生效后约三分半钟内结束。相关合约在当日早些时候部署，关联地址的初始资金来自混币服务的小额提款。
这一机制解释了为何"未发现私钥泄露"与"钱包被清空"可以同时成立。委托授权本身需要一笔来自钱包的有效签名，但攻击者只需使签名请求被批准，无需接触私钥本身。Blockaid 据此把事件性质判断为签名基础设施的密钥误用。
另外九条链的转出无法由同一机制解释
TRM Labs 统计的转出覆盖十条链，其中以太坊约 37.9 亿美元，包含 200,630 枚 ETH 与约 18.75 亿 USDT；比特币 18,270 枚，约 14.7 亿美元；波场约 6.28 亿美元；XRP Ledger 上 233.46 万枚 XRP，约 2.96 亿美元；Solana 上 970,500 枚 SOL，约 9,600 万美元；Arbitrum、Optimism 与 Base 合计约 3,900 万美元；Avalanche 约 2,800 万美元；Polygon 约 1,000 万美元。除以太坊外，其余各链的转出均为常规签名转账，EIP-7702 在这些链上并不适用。TRM Labs 据此判断，更可能的情形是热钱包签名基础设施整体被控制。
官方初步结论
币安在 10 月 30 日 02:25 UTC 的声明中表示，初步调查显示事件可能涉及一台被入侵的 DevOps 工程师笔记本电脑，攻击者由此进入一个服务容器并提交了未经授权的提币交易，同时称未发现任何钱包私钥泄露的证据。币安表示已撤销涉事地址的授权，并将在修复完成后更新储备证明数据，另行公布完整的技术复盘报告。截至 10 月 30 日 07:00 UTC，该复盘报告尚未发布。
归因
TRM Labs 以高置信度将攻击归因于朝鲜黑客组织 TraderTraitor，依据包括链上与链下情报，以及与 2025 年 2 月 Bybit 事件和 2026 年 4 月 KelpDAO 事件在混币小额注资与预签名手法上的相似性。链上调查者 ZachXBT 与 Blockaid 也指向朝鲜方向。目前没有执法机构的正式认定。
对用户的实际影响
服务状态
币安于 10 月 29 日 22:15 UTC 暂停提现，10 月 30 日 00:07 UTC 暂停存款。联席 CEO 何一在 10 月 30 日 04:17 UTC 的服务更新中表示，提现将在团队完成提现服务及相关地址的安全改造前保持暂停，预计在 48 小时内开始恢复，该窗口对应 11 月 1 日 04:17 UTC 前后；同一条更新称存款不受影响、运行正常。币安在 00:07 UTC 与 02:25 UTC 的公告中均将存款列为暂停，与 04:17 UTC 的表述不同，公司未就两者的差异作出说明。截至 10 月 30 日 07:00 UTC，提现中断已持续约九小时；若按 48 小时窗口完成恢复，自暂停起算的总中断时长约为 54 小时。现货与合约交易在此期间未见暂停公告。
损失承担
币安在公告中表示将以 SAFU 基金与公司资金承担全部损失，并称用户资产安全。创始人赵长鹏在社交平台表示，作为股东他预期用户资金将被完全覆盖，并称损失规模可能略高于最初通报。按 DefiLlama 的数据，事件前币安平台资产约 1,440 亿美元，受影响规模约占其中 4.4%。做市商 Wintermute 首席执行官 Evgeny Gaevoy 表示，按当前规模的三到四倍计算，币安仍可承受。Wintermute 与 GSR 均披露在币安有敞口，GSR 称低于其净权益的 5%，Wintermute 称低于 20%，两家均未公布金额。
市场反应
事件当晚市场下探至六周低点。截至 10 月 30 日 01:19 UTC，比特币报约 76,937 美元，二十四小时内下跌 4.9%；以太币跌 5.7% 至约 2,211 美元；BNB 跌约 8% 至约 693 美元；AAVE 跌 11.3%，UNI 跌 10.7%。比特币盘中最低触及约 76,650 美元。此后市场部分收复跌幅，按 CoinGecko 数据，截至 10 月 30 日 06:35 UTC 比特币报 78,518 美元，二十四小时跌幅收窄至 1.78%；以太币报 2,245.53 美元，跌 2.79%；BNB 报 715.24 美元，跌 4.83%。 CoinGlass 统计事件后二十四小时内全市场杠杆清算约 14 亿美元，这一数字包含与本次事件无关的常规清算。
事件之后可以核对的信息
储备证明能回答什么
储备证明通过默克尔树让用户验证自己的余额是否被计入交易所申报的负债，并把申报负债与链上可见地址的资产对照。它回答的是某一时点的资产负债对应关系，不回答热钱包的签名权限如何管理、运维终端如何隔离，也不回答事件发生后资产在何时被补足。币安已表示将在修复完成后更新其储备证明数据，这一更新的时点与数值是本次事件后最直接的可核对项。用户若要了解这类数据的呈现方式，可参考 MEXC 的 储备证明页面 所采用的披露结构。
授权型攻击与私钥泄露的区别
对持有链上钱包的用户而言，本次事件中值得关注的技术细节是授权与私钥的分离。EIP-7702 类型的委托一旦签署，合约即可在后续按既定逻辑转移资产，而私钥从未离开原处。检查钱包是否存在历史委托授权、并撤销不再需要的授权，是普通用户可以自行完成的动作，与交易所的内部安全措施无关。
资金分布安排
交易所在服务暂停期间无法完成提现，这一点在本次事件中体现为自 10 月 29 日 22:15 UTC 起已持续约九小时的提现中断，按官方给出的恢复窗口计算，总时长可能接近 54 小时。用户按用途区分存放位置，可以降低单一平台服务中断带来的流动性影响。本月的理财与活动安排可在 MEXC 的 活动页面 查看。
James Mitchell 独家观点
这次事件改变的不是交易所热钱包有风险这一常识，而是风险的具体形态。过去十年的交易所被盗案大多可以归结为私钥保管失当，防御重点因此落在密钥分割、冷热隔离与多签门槛上。本次事件中，币安称未发现私钥泄露，而钱包仍被清空，原因是攻击者取得的是签名请求的批准能力，而非密钥本身。这意味着一套密钥管理合规的系统，仍可能因为一台运维终端的失陷而被整体穿透。
我认为更值得行业注意的是资产构成对可挽回程度的决定性作用。按币安与 TRM Labs 的数据，约 30 亿美元被冻结的部分几乎全部是中心化发行的稳定币，而留在攻击者手中的约 24 亿美元集中于比特币与以太币。攻击者在冻结生效前以超过 10% 的折价抛售 USDT 换入 ETH，正是针对这一差异的操作。换句话说，稳定币发行方的冻结能力已成为事件处置中的实质环节，而这种能力对原生资产完全不适用。交易所热钱包中稳定币与原生资产的比例，因此同时是一个流动性问题和一个风险处置问题。
还有一点需要分清：冻结不是追回。Bybit 事件中 15 亿美元规模的失窃最终只有 4,840 万美元回到平台，中间经过数月的发行方与司法程序。本次冻结规模远大于以往，但从黑名单状态回到交易所账目仍需要重新铸造或司法划转。判断这次事件的最终结果，应当以币安修复后更新的储备证明数据和完整技术复盘为依据，而不是以当前的冻结金额为依据。
常见问题
币安提现什么时候恢复？
币安在 10 月 30 日 04:17 UTC 的服务更新中表示，预计在 48 小时内开始恢复提现服务，对应 11 月 1 日 04:17 UTC 前后，并说明提现将在团队完成提现服务及相关地址的安全改造前保持暂停。提现自 10 月 29 日 22:15 UTC 起暂停。截至 10 月 30 日 07:00 UTC，提现尚未恢复，官方也未公布分网络或分币种的分阶段开放安排。
存款现在可以用吗？
币安 10 月 30 日 04:17 UTC 的服务更新称存款不受影响、运行正常。该公司在 00:07 UTC 与 02:25 UTC 的公告中曾将存款列为暂停状态，两者表述不同，币安未作说明。用户在充值前应以币安官方公告页面的最新状态为准。
用户在这次事件中会有资产损失吗？
币安在公告中表示将以 SAFU 基金与公司资金承担全部损失，并称用户资产安全。创始人赵长鹏亦表示预期用户资金被完全覆盖。按 DefiLlama 数据，事件前币安平台资产约 1,440 亿美元，受影响规模约占 4.4%。具体赔付安排与到账时间，币安尚未公布细则。
为什么各家给出的失窃金额不一样？
差异来自三处。统计覆盖的链不同，Blockaid 的 33 亿美元只覆盖以太坊、Arbitrum 与 Avalanche，TRM Labs 的 63.6 亿美元覆盖十条链。计价时点不同，同一批资产按转出时价格计为 63.6 亿美元，按事件后市价重估为 62.3 亿美元。统计对象不同，Arkham Intelligence 的 58.4 亿美元是攻击者钱包某一时刻的持仓余额，而非转出总额。
已冻结的 30 亿美元等于已经追回吗？
不等于。冻结意味着资产被发行方列入合约黑名单，无法转移，但也未回到交易所账目。返还需要发行方重新铸造或在司法程序下划转。Bybit 事件中 15 亿美元规模的失窃最终追回 4,840 万美元，过程耗时数月。
EIP-7702 是什么，普通用户的钱包会受影响吗？
EIP-7702 随 2025 年 5 月以太坊 Pectra 升级上线，允许普通账户授权智能合约代表自己执行操作。它本身是协议级功能，不构成漏洞。风险在于授权一旦签署便持续有效，攻击者可在之后按合约逻辑转移资产。持有链上钱包的用户可以检查并撤销不再需要的委托授权。
攻击者是谁？
TRM Labs 以高置信度指向朝鲜黑客组织 TraderTraitor，依据是链上链下情报，以及与 2025 年 2 月 Bybit 事件、2026 年 4 月 KelpDAO 事件在手法上的相似性。链上调查者 ZachXBT 与 Blockaid 也指向朝鲜方向。截至 10 月 30 日 07:00 UTC，尚无执法机构正式认定。
这次事件对加密市场价格的影响有多大？
比特币在事件当晚最低触及约 76,650 美元，为六周低点。按 CoinGecko 数据，截至 10 月 30 日 06:35 UTC 比特币回到 78,518 美元，二十四小时跌幅 1.78%；以太币报 2,245.53 美元，跌 2.79%；BNB 报 715.24 美元，跌 4.83%。CoinGlass 统计事件后二十四小时内全市场杠杆清算约 14 亿美元，其中包含与事件无关的常规清算。
储备证明能证明交易所没有被盗吗？
不能。储备证明验证的是某一时点交易所申报负债与链上资产的对应关系，用户可据此核对自己的余额是否被计入。它不覆盖热钱包签名权限管理、运维终端隔离等内部控制环节，也不能反映事件发生后资产补足的时点。
免责声明
本文仅供一般信息参考，不构成投资、财务、法律或税务建议。文中数据截至 2026 年 10 月 30 日 07:00 UTC，事件仍在进展中，相关金额、服务状态与调查结论可能随官方后续披露而变化。加密资产及杠杆产品波动剧烈，可能造成超出本金的损失。读者应自行核实原始披露内容并独立判断，必要时咨询具备相应资质的专业人士。