币安约 63.6 亿美元资产被盗后，调查焦点从“资金如何离开”转向“谁策划了行动”。TRM Labs 以高度置信度将事件归因于与朝鲜有关的 TraderTraitor。不过，这仍是情报分析结论，并非币安或政府机构已经完成的正式归因。
核心结论
- TRM 认为链上与链下证据均指向 TraderTraitor。
- 约 63.6 亿美元资产从十条网络上的币安钱包流出，大部分发生在约二十分钟内。
- 攻击前的资金准备、代码演练、预签授权及与过往行动的相似之处，构成归因依据。
- 币安称调查发现了最初员工电脑之外的其他突破点，目前没有发现钱包私钥泄露证据。
- 攻击者身份仍未得到官方最终确认。
从“员工电脑”到多个突破点
币安最初表示，一名 DevOps 工程师的笔记本电脑可能遭到入侵，攻击者由此进入服务容器并提交未授权提币。随后发布的第二份事件更新称，调查发现了其他突破点。因此，把整个事件归结为单台电脑并不准确。
ABC News 与 Reuters进一步讨论了攻击者身份：TRM Labs 与 Chainalysis 的判断均指向朝鲜网络行动。币安尚未公开点名相关组织，调查仍在进行。
TraderTraitor 是谁
TraderTraitor 是安全行业对一组朝鲜相关加密资产攻击活动的称呼。政府与安全机构的报告也常使用 Lazarus Group、APT38、BlueNoroff 和 Stardust Chollima 等名称，但这些标签的组织边界并不完全一致。
FBI、CISA 与美国财政部发布的联合通报指出，这类攻击者会利用招聘接触、社交工程和植入木马的应用程序，瞄准交易所、DeFi、区块链游戏、投资机构和大型个人持币者。2025 年 Bybit 事件已被 FBI 正式归因于朝鲜相关攻击者。
TRM 为什么作出这一判断
TRM Labs表示，结论来自链上与链下情报。公开线索包括：
- 行动钱包在攻击前约 36 小时收到来自 Tornado Cash 的小额资金；
- 攻击者先后部署并测试代码，最终版本才被安装到币安热钱包；
- 多份 EIP-7702 授权在正式行动前已经签署；
- 准备方式与 Bybit、KelpDAO 等先前被归因于朝鲜相关组织的行动存在相似之处。
高度置信不等于司法定案。 这是 TRM 对情报强度的描述，不代表币安、FBI 或其他政府机构已经完成正式归因。
十条网络、约二十分钟
TRM 追踪到资产从 Ethereum、Bitcoin、Tron、XRP Ledger、Solana、Arbitrum、Avalanche、Optimism、Base 与 Polygon 上的币安关联钱包流出。按转出时价格计算，总额约 63.6 亿美元，大部分交易集中在 2026 年 10 月 29 日 20:05 UTC 开始的约二十分钟内。
以太坊：EIP-7702 授权与 Sweeper 合约
攻击者利用预签的 EIP-7702 授权，让币安热钱包执行由攻击者控制的 Sweeper 代码。该合约不仅转走已有资产，还能继续处理之后进入钱包的代币。
其他网络：看似正常签名的转账
其他链上的资金通过普通签名交易流出。TRM 因此认为，问题更可能集中在币安热钱包的签名基础设施，而不是十条底层区块链同时出现漏洞。
币安称没有发现私钥泄露证据。签名系统被滥用并不必然意味着私钥文件被导出；攻击者也可能通过权限、内部服务或签名流程完成未授权交易。
哪些资产被冻结，哪些仍在移动
不同报告的统计时间不同。币安称约 30 亿美元资产已在链上被冻结。TRM 则列出 Tether、Circle、Ripple 与 World Liberty Financial 冻结约 26.7 亿美元稳定币，Arbitrum 另冻结约 3,000 万美元 ETH 与 ARB，合计约 27 亿美元。
USDT、USDC 与 RLUSD 等中心化稳定币的发行方可以通过合约权限限制地址。原生 BTC 与 ETH 没有能够单方面冻结地址的发行方。TRM 当时估计，攻击者仍控制超过 42 万枚 ETH 与 18,270 枚 BTC，价值约 24 亿美元，另有其他规模较小的资产。
“冻结”并不等于已经返还。它只表示相关代币暂时无法继续转移，后续仍需法律与技术流程处理。
已确认与仍待确认
| 问题 | 当前状态 |
|---|---|
| 约 63–63.6 亿美元流出币安钱包 | 币安与链上机构均有报告，最终数字仍可能调整 |
| 十条网络受到影响 | 公开链上数据支持这一判断 |
| 单台员工电脑造成全部损失 | 尚未成立；币安已发现其他突破点 |
| 钱包私钥泄露 | 币安称没有发现证据 |
| TraderTraitor 负责 | TRM 高度置信，但尚无币安或政府正式归因 |
| 用户承担损失 | 币安称将由 SAFU 与公司资金覆盖 |
用户现在可以做什么
- 只通过币安官方渠道查看进展，警惕私信中的赔偿、申领与恢复链接。
- 检查登录记录、已授权设备、API Key 和提币历史。
- 发现异常时撤销会话与凭据，并在支持的服务上启用 Passkey 或硬件安全密钥。
- 任何客服或追款人员都不应索取助记词、私钥、OTP 或恢复码。
- 把交易资金与长期持仓分开，理解平台托管与自托管各自的风险。
常见问题
朝鲜已经被正式认定为幕后主使吗？
截至 10 月 31 日，币安与政府机构尚未作出正式归因。TRM 以高度置信度指向 TraderTraitor，ABC 报道 Chainalysis 的判断也与之相符。
Bitcoin 和 Ethereum 本身被攻破了吗？
现有证据指向币安热钱包与签名基础设施，而不是底层网络协议被同时攻破。
为什么稳定币能被冻结？
中心化稳定币发行方保留合约层面的地址限制权限。Bitcoin 没有同类发行方，不过交易所仍可拒绝接收被标记地址的存款。
63.6 亿美元是最终净损失吗？
不是。这是按转出时资产价值计算的总额。冻结、追回与市场价格变化都会影响最终数字。
参考资料
资料更新至 2026 年 10 月 31 日。调查与资金追踪仍在继续，金额与归因可能随新证据调整。本文仅供安全教育参考，不构成投资或法律建议。
แชร์:
从 Binance 到 Mt. Gox：七起重大加密盗窃案，究竟哪里失守？