币安称，攻击者于2026年10月29日在10条区块链上从该交易所窃取约63.4亿美元，这是该交易所所称加密货币行业历史上规模最大的黑客攻击。此次盗窃超过了2025年2月针对Bybit的攻击，涉及遭入侵的员工设备、币安的交易签名服务，以及以太坊上的EIP-7702委托机制。

币安表示，合作伙伴已冻结30亿美元被盗资产，该公司已预留超过63.4亿美元，以覆盖已确认的用户损失。

攻击者经过数月准备后渗透币安内部系统，并从多个交易所钱包提取资产。币安随后恢复了部分提现；美国当局将此次攻击归因于朝鲜TraderTraitor组织，但平壤否认了这一指控。

数月准备

根据币安11月3日发布的初步报告，准备工作至少在盗窃发生前数月就已开始。10月30日发布的初步调查称，一名DevOps工程师的笔记本电脑可能已遭入侵，但币安表示，“进一步审查发现了其他入口点。”

币安称，一名钱包DevOps员工6月在尝试安装一款人工智能编程工具时，下载了伪造的Homebrew安装程序。公司更换了该设备并更新了凭证，但表示攻击者当时已获取有关该员工及其同事的信息。

9月，攻击者冒充一家虚构公司的员工，在一次虚假招聘面试期间诱骗另一名开发人员下载了受恶意软件感染的代码库。币安称，该恶意软件替换了一个pyenv组件，并规避了其安全工具。

根据币安的初步调查结果，10月20日，攻击者利用该电脑及一款内部币安AI工具访问另外两名员工的系统。他们发现了一个带有容器部署权限的令牌，并于10月29日利用该令牌部署恶意容器。该公司称，这使攻击者得以未经授权访问内部交易签名服务。

盗窃过程

Blockaid称，链上准备活动始于10月28日，当时运营者的钱包通过Tornado Cash收到三笔小额转账。攻击者随后测试了钱包委托，并部署了一份具有归集功能的智能合约。

TRM Labs称，10月29日的首批提款经由XRP Ledger进行，随后扩展至其他区块链。在以太坊上，攻击者为Binance 14热钱包提交了50项EIP-7702授权，涵盖从18,914,775至18,914,824的nonce值。其中一项与该钱包的当前值相符。

攻击者随后利用归集功能，在一笔交易中从Binance 14转走约25亿美元，其中包括167,464枚ETH和价值16.15亿美元的USDT。24秒后，28,005枚ETH从Binance 16转出。此后，提款扩展至Optimism、Arbitrum和Avalanche网络。

由于EIP-7702委托仍然有效，攻击者在随后数小时内继续从Binance 14转走超过10亿美元流入的USDC和USDT。币安称，暂停提现并不会撤销已记录在链上的权限。其多方计算钱包架构也没有一个可立即取消该委托的单一私钥。

最后一笔未经授权的转账涉及2,961.9枚ETH，于10月29日23时56分UTC确认。10月30日00时10分UTC，币安为Binance 14授权零地址，从而清除了该委托。来自比特币、XRP Ledger、Tron、Solana及其他网络的提款使用常规签名交易，而非EIP-7702；TRM Labs称，这一模式表明交易签名基础设施可能已遭入侵。

资产流动与应对

TRM Labs称，攻击者通过UniswapX及其他服务兑换了约3.25亿美元USDT，换得约122,300枚ETH。另有6,000万美元USDT被存入Aave作为抵押品，换取约19,760枚ETH，当时价值4,460万美元。Aave暂时冻结了多条区块链上数百个V3和V4借贷储备池。

币安暂停充值和提现，并联系执法机构、稳定币发行方和区块链分析公司。链上分析师ZachXBT估计，行业参与者冻结了约28亿美元；Blockaid称，Tether和Circle在主要归集地址冻结了约18亿美元。币安后来将冻结总额定为30亿美元。

币安表示，将动用自身资源和SAFU保险基金覆盖已确认的用户损失。该公司预留超过63.4亿美元，其中包括已持有的约50亿美元受影响代币，并通过市场和场外渠道购入剩余资产。

归因与追偿

币安于11月1日重新开放部分以太坊和BNB Smart Chain资产的提现，并表示其他网络将在安全检查后陆续恢复。该公司确认，截至10月31日，其储备证明系统显示用户资金状况正常。

美国联邦调查局将此次攻击归因于朝鲜TraderTraitor组织，并公布了与被盗资产相关的以太坊地址。朝鲜最高领导人金正恩的妹妹金与正称，这一认定是政治挑衅。

截至11月3日，币安表示已迁移受影响的钱包系统，重建内部AI和访问管理系统，更换受入侵设备，并撤销相关凭证。该公司还表示，其安全团队在2026年侦测并阻止了57起疑似与朝鲜有关联的网络威胁。币安计划进行独立审查，但表示为避免协助潜在攻击者，部分技术细节将不予披露。

来源：HODL Press