币安 $63 亿被盗 EIP-7702 委托 2026-10-30
2026 年 10 月 29 日 UTC 20:20–23:36，币安全球热钱包被系统性清空，8 条链总估值约 $62.8–63 亿的资产被转走——加密交易所史上最大单次被盗。更触目惊心的是攻击手法：攻击者通过 EIP-7702 委托授权机制让币安最大以太坊热钱包 Binance 14 签署 50 …
导语：$63 亿，加密交易所史上最大被盗，而且用了一个前所未见的攻击向量
2026 年 10 月 29 日 UTC 20:20 至 23:36，币安全球热钱包被系统性清空，8 条链、总估值约 $62.8–63 亿美元的资产被转走——这是加密交易所史上最大单次被盗（此前纪录是 2019 年币安自己的 7,000 BTC ≈ $4,100 万，增长 153 倍）。更触目惊心的是攻击手法：攻击者没有破解任何私钥数学，而是利用一名 DevOps 工程师被攻破的笔记本获取了签名服务权限，再通过 EIP-7702 委托授权机制让币安最大以太坊热钱包 Binance 14 签署了 50 条 type-4 交易，将钱包的代码执行权永久委托给攻击者部署的 sweep 合约。整个攻击从签名委托到 $2.5 亿 ETH+USDT 被一笔 sweep 转出，耗时 3 分 24 秒。Blockaid AI 检测系统在 sweep 发生后 2 分钟内告警，11 分钟内确认签名权限被劫持和 EIP-7702 委托机制，1 小时内标记所有攻击者地址。币安官方声明称总影响约 $63 亿，已与链上合作伙伴冻结约 $30 亿（Tether $15.67B + Circle $822M + Ripple RLUSD + Paxos + World Liberty 等），但仍有约 $32.7 亿的 BTC/ETH/XRP/SOL 等非稳定币可自由转移。币安全面暂停充值和提现，称将从 SAFU 基金和公司资金承担所有损失，"用户资金是安全的"。
攻击时间线：3 分 24 秒，从 EIP-7702 委托到 $2.5 亿被一笔 sweep 转出
攻击者的技术路径（多源交叉验证：Blockaid 技术拆解 2026-10-30 UTC 02:30、ChainCatcher Dickson Wu 2026-10-30 UTC 08:00、币安进展声明 UTC 10-30 10:00）：
- UTC 10-28 深夜 — 预热：攻击者主钱包从 Tornado Cash 分 3 次提取 0.1 ETH（仅够 gas 费）；
- UTC 10-29 13:51–16:47 — 演练：攻击者在自己控制的 3 个测试钱包上完整走通 delegate-and-sweep 序列，每次移动 $2–$6，测试 EIP-7702 委托和 sweep 函数；
- UTC 10-29 15:59 — 部署 sweeper 合约：合约地址
0x63e8…6fAe，未验证源码，operator 地址为攻击者地址，carry sweep() 函数（列出所有 token + ETH 一键转出 + forwarding 函数让被委托账户调用其他合约）； - UTC 10-29 20:20:59 — 关键交易：攻击者向 Binance 14 发送 type-4 交易，Binance 14 签署 50 条 EIP-7702 授权（nonce 18914775–18914824 连续 50 个），全部委托给 sweeper 合约。49 条因 nonce 过期失效，1 条命中当前 nonce，委托生效——此时 Binance 14 仍在正常处理提现，签名系统不知道自己刚把代码执行权给了攻击者；
- UTC 10-29 20:24:23 — $2.5 亿单笔转出：operator 调用 sweep()，Binance 14 转出 167,464 ETH + 1.615 亿 USDT + 61 种代币 = 单交易 $2.5 亿。Binance 14 仅剩 1 ETH；
- UTC 10-29 20:24:47 – 21:00 — 多链并行清空：24 秒后 Binance 16 签名转出 9 笔 = $1.74 亿（28,006 ETH + 5,570 万 USDT + RLUSD 等）；Arbitrum 4 个热钱包转出 7,460 万 ARB + 8,426 ETH；Avalanche 转出 181 万 AVAX + 84.1 万 USDT；Optimism Binance 55 转出 4,420 万 OP；BTC 链 11 笔交易在同一区块内将 18,270 BTC 拆分至 19 个新地址（每地址 1,000 BTC）；TRON 转出 6.127 亿 USDT + 4,640 万 TRX；XRP Ledger 转出 2.335 亿 XRP；Solana 转出 970,522 SOL；
- UTC 10-29 21:01:35 – 23:36 — 稳定币冻结战 + 最后一次 sweep 失败：Tether 21:01 第一次黑名单位
0x5227（含 9.71 亿 USDT）；Circle 21:04 冻结 USDC $8.226 亿；Tron 链 Tether 21:09 冻结 3.787 亿 USDT；攻击者在 Tether 冻结前 3 分钟拆分转卖 4.35 亿 USDT 为 ETH；Ripple 22:00 冻结 RLUSD $4,050 万；23:36 最后一次 sweep() 失败——币安已撤销 EIP-7702 授权。
Blockaid 检测时间线：sweep 发生后 2 分钟内告警（before any public report），11 分钟内确认"签名权限被劫持 + EIP-7702 委托机制"，1 小时内标记所有攻击者地址为恶意并推送到所有客户的 Ecosystem Incidents Feed。
被盗资产明细（Dickson Wu 8 链完整审查，UTC 10-30 08:00）
CertiK 工程师 Dickson Wu 的链上审查被 ChainCatcher 全文刊登——是当前最精确的被盗数字来源：
| 资产 | 数量 | 美元估值 | 链 |
|---|---|---|---|
| BTC | 18,270.2 BTC | $14.7 亿 | Bitcoin |
| ETH | 197,668 ETH | $45.7 亿 | Ethereum |
| USDT | — | $18.7 亿 | Ethereum + Tron + Avalanche |
| USDC | — | $8.23 亿 | Ethereum |
| RLUSD (Ripple) | — | $8,850 万 | XRP Ledger |
| wBETH (币安) | 29,934 wBETH | $7,680 万 | Ethereum |
| XAUt (Tether 黄金) | 12,574 XAUt | $5,050 万 | Ethereum |
| UNI | — | $4,960 万 | Ethereum |
| ENA (Ethena) | — | $4,470 万 | Ethereum |
| PEPE | — | $4,010 万 | Ethereum |
| LINK | — | $2,960 万 | Ethereum |
| USD1 (World Liberty) | — | $2,780 万 | Ethereum |
| ARB | 7,460 万 ARB + 8,426 ETH | $3,180 万 | Arbitrum |
| AVAX + USDt | 181 万 AVAX + 84.1 万 USDt | $2,430 万 | Avalanche |
| TRX + TRON USDT | 4,640 万 TRX + 6.127 亿 USDT | $6.28 亿 | Tron |
| XRP | 2.335 亿 XRP | $2.97 亿 | XRP Ledger |
| SOL | 970,522 SOL | $9,610 万 | Solana |
| OP | 4,420 万 OP | $480 万 | Optimism |
| 其他 50+ 代币 | UNI/ENA/PEPE/LINK 等 | 约 $5.8 亿 | 多链 |
| 合计 | — | $62.8 亿 | — |
冻结资产对抗战：已冻 $28 亿，仍有 $32.7 亿可自由转移
稳定币发行方和币安紧急冻结了能冻的一切，但非稳定币完全无能为力：
| 冻结方 | 资产 | 冻结金额 | 来源 |
|---|---|---|---|
| Tether (Paolo Ardoino) | USDT (Ethereum + Tron + Avalanche) | > $15.67 亿 | CEO X 帖文 21:16 |
| Circle (Jeremy Allaire) | USDC | > $8.23 亿 | CEO X 帖文 21:04 |
| Ripple (何一) | RLUSD | $4,050 万 | 何一 X 帖文 22:00 |
| Paxos | PAXG | 1,907 PAXG | 链上交易 |
| World Liberty | WLFI + USD1 | $4,850 万 + $2,780 万 | 链上交易 |
| 币安自身 | wBETH | 29,934 wBETH ≈ $7,500 万 | 链上交易 |
| 合计已冻结 | — | ≈ $28 亿 | — |
| 仍可自由转移 | BTC + ETH + XRP + SOL + OP + ARB + AVAX | ≈ $32.7 亿 | 主要是非稳定币 |
Tether 的反冻结战：攻击者在 Tether 第一次黑名单（21:01 针对 0x5227 含 9.71 亿 USDT）前，已于 20:33 将 2 亿 USDT 拆分至 0x0ddf…697e，其中约 1,000 万在 DEX 出售，1.9 亿转入 0x8d53…639a 后存入 Aave 借 ETH。Circle 在 21:04:59 冻结了 USDC $8.226 亿，但攻击者在 Ripple 冻结 RLUSD 前（22:00）已将 4,050 万 RLUSD 转移至 0xe702…958d 并出售 4,800 万换 ETH，最后一笔卖单与 Ripple 冻结在同一区块内发生。
市场反应：BNB 单日 -10%，币安平台贡献 $3.45 亿爆仓
| 指标 | 数据 |
|---|---|
| BTC 盘中跌幅 | 最大 -5%，跌破 $77,000（随后回升至 $79,000+） |
| ETH 跌幅 | -6% |
| BNB 跌幅 | -10%（从 ~$780 跌至 ~$700） |
| SOL 跌幅 | -3% |
| USDT/USDC 稳定币 | 维持锚定，无脱锚 |
| 1 小时爆仓规模 | $6.277 亿（其中多头清算 $6.066 亿） |
| 币安平台单独贡献 | $3.448 亿爆仓 |
| 其他交易所影响 | Bybit/OKX/MEXC 均未暂停提现，正常运行 |
用户资金安全吗？币安说 SAFU + 公司资金全覆盖，净损失约占托管资产 0.69%
这次被盗的是币安热钱包（hot wallets）——连接互联网、用于快速处理用户提现的钱包，而非冷钱包或用户个人账户。关键保证链：
- 币安官方声明："We have not found any evidence of wallet private key leakage"（私钥数学层面未被攻破，攻击发生在签名服务的权限层面）；
- CZ 声明（UTC 21:15，先于官方）："as a shareholder, I expect all user funds will be fully covered"（作为股东，我预计所有用户资金将全额覆盖）；
- 何一声明（联合创始人）：确认 Ripple 已冻结 RLUSD 4,050 万，币安全力追查；
- SAFU 基金现状：2018 年 7 月设立，2026 年 2 月完成最后一次购币，全部转为 15,000 BTC（约 $12 亿，2026-10-30 价格）；
- 净损失估算（DefiLlama 创始人 0xngmi）：$62.8 亿总损失 - $28 亿已冻结 = ≈ $34.8 亿 未冻结；但考虑攻击者后续资产可能被追回，币安全面净损失约 $10 亿（占其托管资产 $1,440–1,650 亿的 0.69%），"币安资产负债表可以轻松覆盖"；
- 提现暂停：币安全面暂停充值和提现（UTC 10-30 00:30 起），称 "will resume as soon as the security issue is fully resolved"，无具体时间表。
风险提示：暂停提现本身可能加剧恐慌（Bybit 2025 年 $15 亿被盗时保持了提现开放，两种选择优劣存争议）。大规模用户账户被冻结或资金丢失的个人报告暂未发现，但币安全面调查仍在进行中。
历史对比：币安三次被盗金额增长 153 倍，攻击手法从钓鱼到供应链
| 事件 | 时间 | 损失金额 | 攻击向量 |
|---|---|---|---|
| Mt. Gox | 2014 | ~$4.5 亿 | 热钱包 BTC 被盗，公司破产 |
| 币安 2019 | 2019-05-07 | 7,000 BTC ≈ $4,100 万 | 钓鱼 + 病毒 + 用户 API Key / 2FA 被盗（直接转账） |
| Bybit | 2025-02 | ≈ $15 亿 | 朝鲜 Lazarus Group，篡改多签 UI 诱导签名 |
| BNB Chain | 2023-10-07 | 200 万 BNB ≈ $5.66 亿 | 跨链桥验证逻辑漏洞 |
| Bitget | 2026-09-24 | ≈ $3.875 亿 | 第三方安全产品零日，获取内部凭证 |
| Polymarket | 2026-10-30 | ≈ $270 万 | DebugBear 供应链被攻破 |
| 币安 2026 | 2026-10-29 | $62.8–63 亿 | DevOps 笔记本被攻破 → 签名服务 → EIP-7702 委托授权（技术创新，行业首例大规模利用） |
增长趋势：币安自己三次被盗金额：2019 $4,100 万 → 2023 BNB Chain $5.66 亿 → 2026 $63 亿（153 倍增长）。攻击手法演进：钓鱼盗用户凭证 → 篡改多签 UI → 供应链/内部凭证 → EIP-7702 委托让签名密钥代码执行权被劫持。Blockaid 报告指出这是"告诉密钥做什么的人/系统"层面的攻击，而非密钥数学本身——后者至今仍是安全的。
监管反应：全沉默，仅 Circle CEO 暗示执法机构已介入
币安全面被盗后，全球主要监管机构反应出奇地安静：
| 监管方 | 公开声明 |
|---|---|
| 美国 SEC | 🔴 无 |
| 美国 CFTC | 🔴 无 |
| 美国 DOJ / FBI | 🔴 法新社/纽约时报采访请求"未立即回应" |
| 新加坡 MAS | 🔴 无 |
| 中国 PBOC | 🔴 无 |
| 欧盟 MiCA | 🔴 无 |
| Circle CEO Jeremy Allaire | 🟡 "in coordination with law enforcement"（暗示执法机构已介入但尚未公开表态） |
关键数据来源与已标记 UNCONFIRMED 的事项
数据来源：
- Blockaid 技术拆解（EIP-7702 委托机制、时间线、检测时间线）；
- ChainCatcher Dickson Wu 8 链完整审查（最精确被盗明细数字）；
- France24/AFP 实时新闻（币安全面暂停提现、Tether/Circle CEO 冻结声明）；
- 币安 X 账户（21:16 初稿 → 21:24 删除措辞 → 21:29 终稿 "User funds are completely safe" → 22:15 → 23:06 → ~00:30 UTC 公告）；
- CZ X 账户（UTC 21:15 第一条声明，先于官方）；
- Tether CEO X（$15.67 亿冻结声明）；
- Circle CEO X（$8.23 亿 USDC 冻结声明 + "in coordination with law enforcement"）；
- 808bits EIP-7702 技术拆解。
已标记 UNCONFIRMED 的事项（不做任何猜测）：
- 攻击者身份：ZachXBT 推测可能为 Lazarus Group（与 Bybit 2025 手法相似），但 FBI/Interpol 等执法机构尚未正式归因，不做任何国家或组织归属判断；
- DevOps 工程师笔记本被攻破的具体方式：币安仅称"DevOps 工程师笔记本电脑被攻破"，未说明是钓鱼邮件、木马、USB 植入还是其他手段；
- 最终被盗金额：币安官方预估 $63 亿，链上分析师估算 $57.8–62.8 亿，数字仍在变化中；
- 用户影响范围：大规模用户账户被冻结或资金丢失的案例目前未发现，但提现暂停状态持续；
- 监管后续行动：SEC/CFTC/DOJ 等尚未公开表态，后续是否展开调查不明；
- "AI 参与攻击"的真实性：币安事件同期被媒体（NBC）称"AI 可能参与"，但未发现技术证据，Forkast 明确标记 AI 角度"无来源佐证"；
- Polymarket / Bitget / 币安 2026 的攻击是否为同一攻击者：手法相似但无实证；
- 币安提现恢复时间：仅称 "as soon as the security issue is fully resolved"，无具体时间表。
数据截至时间：2026 年 10 月 30 日约 10:30 UTC（北京时间 18:30）。币安全面调查仍在进行中，预计后续将发布技术事后分析报告（post-mortem）。
风险提示与推广披露：币安全面暂停充值和提现状态持续中，具体恢复时间无公告。暂停提现期间可能存在流动性风险和用户信心冲击。本文信息截至 2026 年 10 月 30 日，部分数据（冻结金额、被盗明细、净损失）仍在更新中。已明确标记 UNCONFIRMED 的事项不做任何猜测或推测。本文包含推广链接，通过链接注册我们可能获得佣金，不会增加你支付的费用，也不影响本文的判断。
