事件仍在发展中 · 本页数据截至 2026 年 10 月 30 日约 16:50（北京时间），币安的技术复盘尚未发布，数字后续可能变动
深度复盘 · 加密货币史上最大盗窃案

一个晚上，63 亿美元从币安被搬走：这事到底是怎么发生的

先给结论：这事是真的，就发生在昨晚——2026 年 10 月 29 日晚（UTC），有人在大约 20 分钟里，把全球最大加密货币交易所币安在 10 条区块链上的热钱包挨个掏了一遍。但先别急着喊「币安亏了 63 亿」：63 亿是被转走的毛额，其中约 30 亿已经在链上被冻结，最终到底损失多少，现在谁也说不准。咱们一件事一件事捋。

事发时间 2026-10-29 20:05 UTC（北京时间 10-30 04:05） 信息来源 币安官方公告 / TRM Labs / Chainalysis / Reuters 等 阅读时长 约 8 分钟
$6.3B
估计总影响 ≈ 63 亿美元
币安官方口径；TRM Labs 链上追踪为 63.6 亿
~20 分钟
主要盗取时长 · 横跨 10 条链
大部分资金在 20:05 UTC 起约 20 分钟内转出（TRM Labs）
~$3B
已被冻结 ≈ 30 亿美元
币安 30 日 00:52 UTC 确认数；冻结主力是 Tether 与 Circle
18,270
被转走的比特币（枚）
约 14.7 亿美元；BTC 没有发行方，冻不了（TRM / CoinDesk）
划重点：「63 亿」是被转走的总量，不是最终损失。约 30 亿已被冻结，币安承诺用户损失由 SAFU 基金 + 公司自有资金全额兜底——但 SAFU 本身只有约 10–11.6 亿美元，所以大头其实压在币安自己的资产负债表上。来源：Binance / Odaily
01

先说清楚三件事

网上现在各种说法满天飞，咱们先把能确定的和还不能确定的分开。

能确定：这是史上最大的一起加密盗窃

此前纪录是 2025 年 2 月 Bybit 被盗约 15 亿美元。这一把是它的 4 倍多，也是 2022 年币安自家跨链桥事件（约 5.7 亿）的 11 倍。币安官方已确认安全事件并给出约 63 亿美元的估计总影响。来源：Binance / TRM Labs / Reuters

初步原因：一台工程师的笔记本

币安的初步说法是：一名 DevOps 工程师的笔记本被攻破，攻击者借此摸进一个用来提交提币的服务容器，发起了未授权提币；币安称暂未发现私钥泄露的证据。但联席 CEO 滕烽（Richard Teng）30 日补充：这不是靠一个工程师权限「一键」完成的，过程更复杂，目前没有把责任归到任何个人头上。来源：Binance / Cointelegraph

用户钱袋子：币安说全额兜底

币安称用户资金安全，全部损失由 SAFU 基金加公司资金承担，并承诺更新储备金证明（Proof of Reserves）。截至最后一次更新：充值已恢复正常，提现仍暂停，预计 48 小时内恢复。来源：Binance（经 Cointelegraph 转述）

02

那一晚，逐分钟发生了什么

把时间拨回 10 月 29 号晚上。注意一个细节：这不是临时起意——链上痕迹显示，攻击者至少提前 36 小时就在做准备了。下面时间均为 UTC，括号里是北京时间。

10-28 起 · 攻击前 ≥36 小时

彩排阶段：小额试水、写好「购物清单」

攻击者的操作钱包先从 Tornado Cash 收到三笔小额提款，又在测试钱包上部署并演练了代码——中文分析师、 Cobo 联合创始人神鱼数出两次彩排，最后一次就在攻击前约 3.5 小时；主以太坊钱包还预先列好了覆盖 64 种代币的清单。来源：TRM Labs / Odaily（神鱼）

10-29 20:05 · 北京 04:05攻击

第一枪：XRP 链上 2.33 亿枚 XRP 被转走

20:05–20:09，币安在 XRP Ledger 上的五个钱包向同一个攻击者地址转出 233.46M XRP（约 2.96 亿美元）。紧接着 20:10 之后，Solana、Optimism 上的钱包也开始失守。来源：TRM Labs

10-29 20:20 · 北京 04:20攻击

三条链同时爆：BTC、Tron，以及那笔「预签授权」

比特币热钱包在 11 笔交易里转出 18,270 BTC（区块 973,732），转完立刻开始「剥洋葱」式拆分；两分钟内 Tron 热钱包转出 6.127 亿 USDT + 4,640 万 TRX。同一分钟，一笔以太坊交易里塞进了 50 份预签好的 EIP-7702 授权，目标是币安最有名的热钱包「Binance 14」——这是全案最关键的一手，下面细讲。来源：TRM Labs / CoinDesk

10-29 20:24 · 北京 04:24攻击

3 分 24 秒，一笔交易搬空 Binance 14

授权生效仅 3 分 24 秒后，操作钱包用一笔交易扫走 167,464 ETH + 63 种代币，其中包括 16.15 亿 USDT。更狠的是授权一直没撤——之后钱包里每进来一笔新钱，就被再扫一次（20:41、20:59、21:04、21:44、22:39、23:56 共六次）。攻击者还借这个钱包的智能账户身份，拉走了 8.23 亿 USDC。来源：TRM Labs

10-29 20:58–21:04 · 北京 04:58–05:04攻击冻结

抢时间：黑客打折甩卖，发行方下场冻结

攻击者赶在冻结前把约 3.25 亿 USDT 以超 10% 的折价换成约 122,300 ETH，又拿 6,000 万 USDT 去 Aave 抵押借出约 19,760 ETH（约 4,460 万美元，Aave 随后冻结了市场）。另一边，Tether 在 21:01 冻结 9.711 亿 USDT，Circle 在 21:04 冻结 8.23 亿 USDC——晚几分钟，钱就换成冻不了的 ETH 了。来源：TRM Labs

10-29 晚间 · 北京凌晨官方

币安承认出事，CZ 发声

币安承认出现潜在安全问题，先后暂停提现、充值，并暂停 Binance Alpha 交易。创始人 CZ 在 X 上发帖称「看起来确实是币安被黑了」，用户损失会被覆盖，并给出早期冻结数：Tether 与 Circle 合计约 17 亿美元。来源：Binance / CZ（经 Reuters 等转述）

10-29 23:05 · 北京 07:05第二波

还没完：Avalanche 与 Polygon 被补刀

第一波三个小时后，币安在 Avalanche 和 Polygon 上的钱包也被掏空。至此受波及的链达到 10 条。来源：TRM Labs

10-29 23:35 → 10-30 00:52 · 北京 07:35 → 08:52冻结

冻结数字一路往上爬：25.4 亿 → 约 30 亿

币安 23:35 先确认已核实的冻结额为 25.4 亿美元（顺带澄清了当时流传的 18 亿说法）；0:08，Arbitrum 安全委员会直接从攻击者的 Arbitrum 钱包里强制转走 8,426 ETH + 7,460 万 ARB（约 3,050 万美元）；到 00:52，币安确认冻结总额来到约 30 亿美元。中文媒体后续统计的「冻结 + 拉黑」口径约 31 亿。来源：Binance / TRM Labs / Odaily

10-30 04:17 · 北京 12:17官方

充值恢复，提现继续暂停

币安更新：充值已正常运行；提现仍暂停，提币服务要改造，预计 48 小时内恢复。注意：币安那篇较早的安全事件公告里写的还是「充提双停」，以这条后发的更新为准。来源：Binance（经 Cointelegraph 转述）

10-30 07:37 · 北京 15:37官方

滕烽泼了盆冷水：没那么简单

联席 CEO Richard Teng 表示，这次攻击不是某个工程师「点一下」就能完成的操作，而是「一套更复杂的攻击过程」，调查目前没有把责任归到任何个人。这等于给最早的「一台笔记本」叙事打了个问号——完整的入侵路径，还得等币安的技术复盘。来源：Richard Teng（经 Cointelegraph 转述）

03

63 亿，具体是哪些钱

TRM Labs 把每一笔转账都追了，按盗取当时的价格算，总额 63.6 亿美元（按稍后价格算约 62.3 亿）。大头非常集中：以太坊一条链就占了近六成，而且里面绝大部分是稳定币——这恰恰是后来能冻住 30 亿的原因。

04

手法拆解：钥匙没被偷，但「签字」被借走了

这是全案技术上最值得看的地方。币安说没发现私钥泄露，TRM 的链上分析则指向热钱包签名基础设施被攻破——两者其实不矛盾：攻击者不需要偷走钥匙，他需要的是让系统替他签字。30 分钟内，10 条不同的链上都出现了有效签名，这不是手工能干出来的。

1

先从一台笔记本进门

币安初步调查：一名 DevOps 工程师的笔记本被攻破，攻击者由此访问到一个用来提交提币的服务容器，然后发起未授权提币。这就是「入口」。但滕烽强调入口不等于全部——从一台笔记本到十条链的签名，中间那段路币安还没交代。来源：Binance

2

EIP-7702：把热钱包变成「自动取款口」

EIP-7702 是以太坊的一个新功能，允许普通钱包把执行权委托给一段代码。攻击者在 20:20 一次性提交了 50 份预签授权，把 Binance 14 委托给自己的清扫程序。之后这个钱包就变成了自动取款口：钱一进来，程序立刻转走，一共扫了 7 次，连币安往里补的钱都没放过。来源：TRM Labs

3

十条链，同一套节奏

XRP、比特币、Tron、Solana……每条链的钱包都在差不多的时间窗里、用各自链上合法的方式转出了钱。TRM 的判断是：这是签名系统的整体沦陷（Blockaid 称之为「密钥滥用」——签名被拿到了，但密钥本身没被导出）。能在这么多条链上同时拿到有效签名，说明被攻破的是基础设施层，不是某一个钱包。来源：TRM Labs / Blockaid

4

得手后第一件事：把「能冻的钱」换成「冻不了的钱」

稳定币有个特点：发行方一个指令就能拉黑冻结。所以攻击者拼命把 USDT 换成 ETH——哪怕打九折也换，还去 Aave 借 ETH。而 BTC 和 ETH 本身没有发行方，谁也冻不了。截至 30 日 04:23，那 18,270 BTC 拆在 19 个钱包里（17 个各 1,000 枚，另两个 832.5 和 437.7 枚）一动没动，只能等它哪天流进交易所或场外柜台时再拦截。来源：TRM Labs / CoinDesk

打个比方 热钱包就像交易所放在前台的收银台现金——为了随时给用户提币，里面必须留钱。这次不是有人撬了保险柜（私钥没丢），而是有人混进了出纳室，让出纳在一堆转账单上挨个盖了章，还顺手在收银台上装了个自动装置：新钱一进抽屉，立刻被抽走。所以真正的悬念是——他是怎么进的出纳室，又是怎么让十个出纳同时盖章的。这部分，币安的复盘还没出。
05

冻结拉锯战：约 30 亿被按住，约 24–33 亿还在外面

这一晚的下半场，是全行业围堵：稳定币发行方挨个拉黑地址，一条公链的安全委员会甚至直接出手搬钱。能冻住多少，直接决定币安最后要自掏多少。

冻结方冻了什么规模状态
TetherUSDT 发行方；21:01 首次拉黑 9.711 亿USDT（以太坊 / Tron / Avalanche / Polygon）~17.7 亿已链上确认
CircleUSDC 发行方；21:04 动手USDC~8.25 亿已链上确认
RippleRLUSD 发行方RLUSD4,050 万口径有争议 ↓
World Liberty FinancialUSD1（另有约 200 万 WLFI，何一口径）2,780 万已确认
Arbitrum 安全委员会30 日 00:08 强制转出8,426 ETH + 7,460 万 ARB~3,000 万已转出
First DigitalFDUSD未披露已确认冻结
比特币 / 以太坊（原生币）无发行方，技术上无法冻结18,270 BTC + 42 万枚以上 ETH~24 亿冻不了
两个数字打架，先说清：① Ripple 到底冻了多少？币安联席 CEO 何一说 Ripple 帮忙止住了约 2 亿美元，路透、华尔街日报都转述了；但 TRM 明确说链上只能确认 4,050 万 RLUSD 被冻，剩下那部分没有任何来源给出明细——暂按未证实处理。② 「还在外面」的钱是多少？TRM 的约 24 亿只算 BTC+ETH；中文媒体用「63 亿 − 30 亿冻结」算出约 33 亿仍可移动。口径不同，不是谁算错了。来源：TRM Labs / Reuters / Odaily

还有一笔赔付账值得算：SAFU 基金约 10–11.57 亿美元（Bloomberg / Odaily 口径），哪怕全砸进去，也盖不住未冻结的缺口。Odaily 按「63 − 30 冻结 − 11.57 SAFU」算出约 21.43 亿美元的缺口——注意这是媒体的算术，不是币安披露的数字。币安的原话是 SAFU 加公司资金一起担。市场当晚的反应也不小：比特币跌约 5% 至 77,000 美元下方（亚洲盘中低点约 76,368），ETH 跌约 5.7% 至约 2,211 美元，BNB 跌约 8% 至约 693 美元；Binance.US 表示未受影响。来源：Odaily / Bloomberg / Cointelegraph / WSJ

06

谁干的？三家分析机构都指向同一个名字

TraderTraitor —— 朝鲜的精英黑客部队

TRM Labs高置信归因于 TraderTraitor，依据是链上与链下的综合情报；这也是 FBI 认定的 2025 年 Bybit 15 亿美元大案的作案组织。
Chainalysis判断为「很可能」是 TraderTraitor，并称这起案子与此前一起黑客事件有关联。
ZachXBT独立调查者。他发现币安这批赃款与 2026 年 9 月 24 日 Bitget 被盗案（约 3.52–3.88 亿美元，同样被归因于 TraderTraitor）的赃款在 10 月 30 日经 THORChain 汇进了同一个地址——两批钱混在一起，基本就是同一伙人的铁证之一。TRM 还提到今年 4 月的 Kelp DAO 跨链桥事件也是同一套路数。
07

别搞混：币安历史上另外几笔「大钱」

每次币安出事，旧账就会被翻出来混着说。尤其是 2023 年那 43 亿——那是罚款，不是被盗，性质完全不同。挨个点开看：

真被盗 · 此前币安相关最大一起

2022 年 BNB 链跨链桥事件：凭空「印」出 2 亿……不，2 百万枚 BNB

2022-10-06 ~ 07 · UTC
2,000,000 BNB
被伪造证明提取的新铸 BNB，按当时价格约 5.66–5.86 亿美元
~$100M
最终未追回部分（币安发言人口径）；SlowMist 统计转出链外超 1.1 亿，Nansen 统计约 1.37 亿
26 位验证者
停链靠逐个联系社区验证者（活跃 26 位、共 44 位，跨时区），这也是停链慢的原因

手法：BSC Token Hub 是连接 BNB 信标链与智能链的原生桥，靠 IAVL（默克尔）证明来验跨链消息。Paradigm 研究员 Sam Sun（samczsun）事发几小时内就发现了猫腻：攻击者的证明异常地短，且总引用同一个老区块高度 110217401——验证程序没有把算出的根哈希绑死，攻击者可以伪造任意一条跨链消息。他只伪造了两条，各提 100 万 BNB，而且理论上还能继续伪造。

经过：10 月 5 日攻击者先从 ChangeNOW 拿到 100 BNB，注册成桥的中继者；6 日 18:26 第一笔 100 万 BNB 到手，马上拿 90 万 BNB 去 Venus 协议抵押，借出约 1.475 亿美元稳定币再分批转出；20:43 第二笔 100 万 BNB 到手。当晚币安逐个摇人联系验证者停链——约 4.3 亿美元的新铸 BNB 就这样被困在 BSC 上没出去，Tether 还拉黑了约 650 万 USDT。7 日约 06:30 BSC 恢复，先上热补丁封杀黑客账户并切断原生跨链；10 月 12 日 08:00 Moran 硬分叉正式修掉 IAVL 哈希校验漏洞。BNB 链官方当时还把四个问题交给链上治理投票：冻不冻赃款、用不用 BNB 自动销毁来覆盖、设 100 万美元白帽计划、给追赃者最高 10% 赏金。

为什么标题差这么多：「5.7 亿被盗」数的是 2 百万枚 BNB 的总市值；「1 亿」数的是停链前真正跑掉的部分。而且这钱是凭空新铸的，没动任何用户的钱包，SAFU 也没动用。后来整套桥架构随着信标链在 2024 年底关停（BNB Chain Fusion）被彻底退役。至于那批困在链上的 BNB 最终是销毁还是永久冻结——研究里没找到一份官方文件把最终处置说死，这算个小小的开放问题。

来源：BNB Chain 官方博客 / Nansen / CoinDesk / Cointelegraph

08

为什么每家报的数字都不一样

63 亿、63.6 亿、59 亿、56 亿……不是谁在编，而是数法不同。点开看每一项最靠谱的读法：

总额：56 亿到 64 亿都有人报最佳读法 ≈63 亿（币安 / TRM）

币安 63 亿（「估计总影响」）；TRM 63.6 亿（盗取时点）/ 62.3 亿（事后价格）；Chainalysis 59.12 亿（盗取时点），其 CEO 后来又说 64 亿；Arkham 标记的黑客钱包里是 58.4 亿——注意那是钱包余额快照，不是被盗总额；DefiLlama 57.8 亿；Odaily 按标记钱包流出算 56.43 亿；ChainCatcher 62.8 亿（只数了 8 条链）；神鱼估算约 58 亿。

差异来自四件事：估值时点、哪些钱包算攻击者的、找零输出和后续兑换有没有重复计算、10 条链是不是都数全。币安至今没有发布最终数字，所以标题用约 63 亿、心里知道区间是 56–64 亿，就够了。

冻结额：17 亿、25.4 亿、27 亿、30 亿、31 亿这是一条上升的时间线

这些数字不矛盾，是不同时刻的快照：早期 Tether + Circle 约 17–18 亿 → 币安 23:35 确认 25.4 亿 → TRM 00:30 统计 27 亿（口径只含发行方 + Arbitrum）→ 币安 00:52 确认约 30 亿 → 中文媒体「冻结 + 拉黑」合计约 31 亿。以币安最后确认的约 30 亿为准。

Tether 一家到底冻了多少以 TRM 的逐项链上统计为准

先是首次拉黑 9.71 亿 USDT；Tether CEO Ardoino 后来称超过 15.67 亿；TRM 跨链总计约 17.7 亿；神鱼的统计是 13.8 亿。差别在统计时点和覆盖的链，TRM 的逐项链上清点最细。

以太坊到底被拿走多少 ETH两个数字是不同时点的快照

TRM 数以太坊链上初始转出是 200,630 ETH（外加 185 种代币）；但攻击者把 USDT 换成 ETH、又从 Aave 借出 ETH 之后，手里的 ETH 总量涨到 42 万枚以上；Odaily 的统计是约 46.7 万枚。初始盗取 vs 事后持仓，别混着比。

顺带纠一个流传的错版：有早期说法称「CZ 表示冻结后损失只剩约 10 亿」——那是 InvestingLive 对 CZ 一条早期帖子的演绎，已被币安自己的 63 亿 / 30 亿口径取代，不要再当币安立场引用。

09

还没答案的问题

事件过去还不到 24 小时，下面这些现在没有确定答案，任何斩钉截铁的说法都值得怀疑：

  1. 最终净损失是多少冻结、追回、谈判返还全部落定之后，币安到底亏多少——以及那约 30 亿冻结资金，法律上能不能回到币安手里，还是永远拉黑在黑客地址里。
  2. 入侵路径的完整版笔记本是怎么被攻破的、怎么一路摸到签名系统、为什么十条链能同时签出有效签名——全等币安承诺的技术复盘。滕烽的表态已经先给「一台笔记本」的说法打了问号。
  3. 官方归因何时来FBI 等机构会不会正式点名 TraderTraitor / 朝鲜，以及后续的制裁与执法动作。
  4. 提现到底何时恢复币安说 48 小时内（自 30 日 04:17 更新起算），截稿时无法核实是否兑现。
  5. 储备金证明与 SAFU 余额币安承诺更新 Proof of Reserves；SAFU 实际动用多少、余额几何，尚无披露。
  6. 剩下的钱往哪走约 24–33 亿美元未冻结资产——尤其是 19 个 BTC 钱包和 42 万枚以上 ETH 的归集钱包——的后续动向，以及与 Bitget、Kelp DAO 赃款的混合情况。
10

来源清单

以下链接均为 2026-10-30 调研时读取。两个小提醒：币安在 X 上的原帖未能一手读取，经 Binance Square 转载与路透、彭博引文交叉核对；Binance Square 页面在调研浏览器中渲染为空白，内容取自网页索引抓取，已按此口径标注。

2026 年事件 · 官方与链上分析

  • Binance《Security Incident Update》, Binance Square, 2026-10-30 — binance.com/en/square/post/382713227024938
  • TRM Labs《North Korea Steals USD 6.36 Billion From Binance in the Largest Hack in History》, 2026-10-30 — trmlabs.com
  • Cointelegraph 实时更新，2026-10-29/30 — cointelegraph.com
  • CoinDesk（中文版）币安 BTC 剥洋葱链分析，2026-10-30 — coindesk.com
  • Cointelegraph《North Korea's TraderTraitor Linked to $6.3B Binance Hack》（Bitget 赃款混合）, 2026-10-30 — cointelegraph.com

2026 年事件 · 通讯社与主流媒体

  • Reuters《Where Binance's $6.3 billion breach ranks in crypto's biggest hacks and heists》, 2026-10-30 — reuters.com
  • Bloomberg（经 BusinessWorld 转载）《Binance estimates $6.3 billion hacked in crypto's biggest heist》, 2026-10-30 — bworldonline.com
  • WSJ《Binance Suspends Transactions After It Is Targeted in Biggest-Ever Cyber Heist》, 2026-10-30 — wsj.com
  • Al Jazeera《Binance says $6.3bn stolen in biggest crypto heist in history》, 2026-10-30 — aljazeera.com
  • SCMP《Binance pledges to cover losses after US$6 billion crypto hack》, 2026-10-30 — scmp.com

2026 年事件 · 中文报道

  • PANews 币安被盗事件持续追踪 — panewslab.com
  • 新浪财经《天塌了！币安深夜遭黑客血洗63亿美元》, 2026-10-30 — finance.sina.com.cn
  • 华尔街见闻《币安惊魂夜：40分钟内，63亿美元是如何被转走的？》 — wallstreetcn.com
  • 香港电台《幣安遭到黑客盜竊 涉及63億美元》, 2026-10-30 — news.rthk.hk
  • Odaily《全网合围ing，币安被盗事件已冻结了哪些脏款？》 — odaily.news
  • Odaily《被盗63亿美元后，币安还有多少家底够赔？》 — odaily.news
  • Odaily 快讯《神鱼披露币安被盗细节》 — odaily.news
  • ChainCatcher《币安事件链上全复盘：8条链热钱包被盗62.8亿美元》 — chaincatcher.com
  • 风传媒《史上最大加密貨幣竊案？幣安爆63億美元資安事件》 — storm.mg

历史事件

  • BNB Chain《BNB Chain Ecosystem Update》, 2022-10-07 — bnbchain.org
  • Nansen《BNB Chain's Cross-Chain Bridge Exploit Explained》, 2022-10 — nansen.ai
  • The Register《Binance bridge hack siphons about $566 million of BNB tokens》, 2022-10-07 — theregister.com
  • CoinDesk《BNB Chain Halts After 'Potential Exploit' Drained Estimated $100M》, 2022-10 — coindesk.com
  • Decrypt《BNB Chain Resumes Activity After 2 Million Token Exploit》, 2022-10 — decrypt.co
  • Cointelegraph《BNB Smart Chain to hard-fork following $100M exploit》, 2022-10-11 — cointelegraph.com
  • CoinDesk《Hackers Steal $40.7 Million in Bitcoin From Crypto Exchange Binance》, 2019-05-07 — coindesk.com
  • The Hacker News《Binance Hacked — Hackers Stole Over $40 Million Worth Of Bitcoin》, 2019-05 — thehackernews.com
  • 美国司法部《Binance and CEO Plead Guilty to Federal Charges in $4B Resolution》, 2023-11-21 — justice.gov
  • CoinDesk《Binance to Pay $4.3B to Settle U.S. Criminal Case; CZ Resigns and Pleads Guilty》, 2023-11-21 — coindesk.com
  • Galaxy《Crypto's Largest Flash Crash Yet: $19B Liquidated…》, 2025-10-15 — galaxy.com
  • CoinGecko《What Is October 10th? Crypto's 10/10 Mass Market Liquidation Event》 — coingecko.com