据原文披露，2026年10月29日晚、北京时间10月30日凌晨，全球加密货币交易平台币安的热钱包突然发生异常。令人震惊的是，约63亿美元的资金在短短20分钟内被转走。几个不同机构给出的估算虽然略有差异，但都指向同一个结论：按原文口径，这是有记录以来规模最大的加密货币盗窃案之一。 从金额看，币安官方披露的影响金额约为63亿美元，区块链安全机构TRM Labs估算约为63.6亿美元，Elliptic按事发时价格统计约为64.3亿美元，涉及11条区块链网络。作为对比，原文将其与2025年Bybit约15亿美元的被盗案放在一起比较，指出此次规模超过后者四倍。数字背后暴露的，不只是资金损失，更是交易所内部权限和用户授权机制可能成为攻击入口的现实风险。 更值得注意的是，币安后来披露没有发现钱包私钥泄露。也就是说，攻击者并非通过直接窃取私钥的方式“撬开金库”，而是利用已经获得的内部权限和被劫持的账户授权完成转移。据原文对币安及多家链上分析机构还原的描述，攻击者大概率先入侵了一名负责开发运维的工程师笔记本电脑，取得内部系统的部分权限，随后利用以太坊EIP-7702机制实施攻击。 EIP-7702机制的核心，可以简单理解为账户将执行权限委托给智能合约代码。攻击者事先准备扫款合约，再提交一连串授权请求。由于币安热钱包高频运转，交易序号，也就是nonce，一直在动态变化，攻击者一次性铺出50个连续序号进行尝试，原文称最终总有一个能够命中。 授权一旦被错误委托，其影响可能持续存在。按照原文披露的情况，新进入相关钱包的资金仍可能继续被转走，币安的自动化系统甚至还在向被劫持的钱包补充资产。这一机制最值得警惕之处在于，用户或平台可能并未丢失私钥，却在不知情的情况下交出了执行权限。表面上看，密钥仍然安全，实际操作权却已经被利用。 事件发酵两天后，FBI于10月31日联合美国特勤局USSS、国税局刑事调查部IRS-CI发布通告。据原文披露，FBI将事件归因于朝鲜，并将相关行动命名为“TraderTraitor”。通告还称，同一个团伙也是2025年Bybit约15亿美元被盗案的幕后黑手；这一分支被广泛认为与朝鲜“拉撒路集团”有关。 FBI同时公布了批涉案地址，包括600多个以太坊地址、不到20个比特币地址以及1个Solana地址，并呼吁全球THORChain节点、RPC节点、即时兑换平台、去中心化金融服务和区块链分析公司主动拦截与这些地址有关的交易。这意味着追踪工作不再只是逐笔查看转账记录，而是发行方、交易所、节点服务商和链上分析机构共同协作，在资产继续转移前尽可能冻结或拦截。 特朗普对此也作出回应。据原文披露，10月31日白宫答问时，他先表示“不知道是不是朝鲜，正在了解”；FBI通告发布后，他又表示，如果确实是朝鲜所为，美方将与朝方沟通。从等待调查结论，到公开讨论执法归因及后续沟通，这起事件已经超出单一平台的技术事范畴，演变为国际执法与地缘政治交织的安全事件。 黑客拿到资金后并不会立即停止行动。按照原文梳理的链上路径，攻击者首先通过Uniswap等渠道，把不同的小币种和稳定币快速兑换成以太坊。以太坊流动性较高，便于拆分、转移和跨链流转。随后，Chainalysis观察到，攻击者已经使用数千个地址进行中转，未来几周可能涉及数万个地址，资产被自动化拆包、转移并反复回环。 跨链和去中心化兑换工具也被用于转移资产，其中包括THORChain等跨链兑换协议及即时兑换服务。原文提到，THORChain一度因以太坊故障而停摆，这种非计划中的中断反而拖慢了洗钱速度。稳定币同样并非绝对安全。Tether、Circle等发行方可以将被识别地址列入黑名单，据原文披露，约20亿美元量级的USDT和USDC一度被卡在黑客主钱包中，无法正常动用。 与此同时，币安联合链上机构冻结了约30亿美元受影响资产。综合发行方黑名单、机构协同和地址追踪，攻击者虽然能够快速拆分和跨链转移，却无法完全抹去链上痕迹。链上交易不是彻底匿名，而是在资金进入不同地址和协议后，依然留下可追踪的公开轨迹。 用户损失如何弥补，是这起事件最受关注的问题之一。据原文披露，币安表示将使用公司资金、用户安全资产基金SAFU以及期货保险基金进行兜底，并已划拨超过63.4亿美元等值资产回填。截至11月1日，补偿覆盖比例从80%提高到90%，随后达到约95%；剩余约5%主要是流动性较差的冷门代币，需要逐步处理。 原文还称，BTC、ETH、USDT、BNB、SOL、USDC、XRP等主流资产获得100%背书，用户不承担被盗损失，提现服务也从11月1日起按照网络分批恢复。这一措施能够降低用户在账面资产和正常提现方面受到的直接冲击，但“平台回填”不能简单等同于“被盗资金已经全部追回”。回填本质上是平台动用自身信用和资金承担损失，链上追踪与追赃仍可能持续数月甚至数年。 提现恢复也不意味着风险已经完全出清。案件暴露的是授权机制与内部权限管理上的薄弱环节，而不是简单修补一个功能后便万事大吉。攻击者究竟掌握了多少权限、是否还有未发现的持续授权、受损账户是否全部完成排查，以及未来是否会出现新的关联地址，都需要继续验证。因此，平台恢复服务与整个安全风险消失，是两个不同概念。 这起案件戳破了三个常见误区。第一个误区是“大交易所等于绝对安全”。币安是全球规模最大的加密资产交易平台之一，仍然发生了约63亿美元规模的盗币事件。中心化平台的优势在于交易便利和流动性，而不是可以彻底消除内部入侵、权限滥用或授权劫持风险。把全部大额资产长期放在交易所热钱包中，本质上仍是将资产控制权交给平台保管。 第二个误区是“没有私钥泄露，钱就是安全的”。本次事件说明，私钥安全只是安全链条的一部分。如果账户执行权被恶意委托，即使私钥没有泄露，攻击者依然可能借助合法签名权限转移资产。很多人看到交易确认页面时，只关注登录、验证或授权按钮，却忽略了自己究竟在允许合约执行什么操作。 第三个误区是“链上匿名，被盗资金一定追不回来”。此次案件恰好形成反面教材。600多个以太坊地址被公开标记，交易所、稳定币发行方、THORChain节点、去中心化金融服务和链上分析机构共同参与拦截。链上资产可以隐藏真实姓名，却很难隐藏每一步公开转账和授权记录。洗得越复杂，路径上的标记反而可能越多。 对普通用户而言，最直接的提醒是不要把大额资产长期放在交易所热钱包中，在了解相关风险的前提下使用冷钱包或硬件钱包。交易所更像提供便利的“活期账户”，不应被当作绝对安全的长期保险柜。资产量越大，越要考虑保管地点分散和权限隔离，避免因为单一系统被突破而遭受连锁损失。 另一个重点是拒绝乱点链接、乱签授权。原文用“Sign”提示Web3用户：最昂贵的动作往往不是转账，而是在没有充分理解内容时签署授权。看到陌生网站、临时交易页面或来源不明的合约请求时，应先核对域名、合约功能和授权范围。看不懂的授权，一律按高风险操作处理，不能因为页面要求“验证”“登录”或“领取额度”就轻率确认。 对于包装成“高收益搬砖、量化交易、AI托管盘”的项目，同样需要保持高度警惕。原文指出，这类资金盘可能以后来投入者的资金填补前人的收益，平台展示的收益和账户数字不能替代真实交易能力。真正安全的高收益极为罕见，凡是承诺保本、固定回报并催促用户尽快入局的安排，都应首先按资金盘风险审视，而不是被收益率吸引。 “内部消息”“保证回本”“带单老师”等话术也不值得相信。原文提醒，真正具备链上追踪能力的人，不会依靠在群里收取高额学费来证明能力。稳定币同样不是“离线黄金”，它们可以被发行方冻结、标记和限制流转。把所有资产换成稳定币，并不等于进入了一个完全中立、无法被干预的保险箱。 评价一个交易平台是否可靠，也不能只看交易量、上币速度和手续费，还应关注多签机制、权限隔离、授权委托能否及时撤回，以及发生事故后是否具备真实资金兜底能力。按照原文的判断，交易所安全正在从防范外部窃贼，转向同时防范内部风险和授权劫持。对普通用户来说，平台规模可以降低一部分流动性风险，却不能替代个人对授权操作的安全审查。 从宏观角度看，约63亿美元级别的案件反映出三件事正在同时升级：国家级网络攻击已经进入加密资产主战场；链上反洗钱正从被动追踪转向全球协同拦截；中心化交易所必须同时管理外部攻击、内部权限和智能合约授权。此次FBI以“TraderTraitor”命名相关行动，也说明跨国执法协作正在直接影响被盗资产的追踪速度。 这起事件留下的警示并不复杂：资产放在链上，权限却掌握在人手中。任何看起来方便的操作，都可能隐藏额外的授权边界。资金规模越大，越不能在签名、转账和托管环节抱着试一试的心态。本文仅用于反诈风险警示和信息资讯分享，不对任何经营、投资及交易行为进行推广或背书；处理虚拟资产时，应遵守所在地区法律法规，不参与非法金融活动。 据原文披露，2026年10月29日晚、北京时间10月30日凌晨，全球加密货币交易平台币安的热钱包突然发生异常。令人震惊的是，约63亿美元的资金在短短20分钟内被转走。几个不同机构给出的估算虽然略有差异，但都指向同一个结论：按原文口径，这是有记录以来规模最大的加密货币盗窃案之一。 从金额看，币安官方披露的影响金额约为63亿美元，区块链安全机构TRM Labs估算约为63.6亿美元，Elliptic按事发时价格统计约为64.3亿美元，涉及11条区块链网络。作为对比，原文将其与2025年Bybit约15亿美元的被盗案放在一起比较，指出此次规模超过后者四倍。数字背后暴露的，不只是资金损失，更是交易所内部权限和用户授权机制可能成为攻击入口的现实风险。 更值得注意的是，币后来披露没有发现钱包私钥泄露。也就是说，攻击者并非通过直接窃取私钥的方式“撬开金库”，而是利用已经获得的内部权限和被劫持的账户授权完成转移。据原文对币安及多家链上分析机构还原的描述，攻击者大概率先入侵了一名负责开发运维的工程师笔记本电脑，取得内部系统的部分权限，随后利用以太坊EIP-7702机制实施攻击。 EIP-7702机制的核心，可以简单理解为账户将执行权限委托给智能合约代码。攻击者事先准备扫款合约，再提交一连串授权请求。由于币安热钱包高频运转，交易序号，也就是nonce，一直在动态变化，攻击者一次性铺出50个连续序号进行尝试，原文称最终总有一个能够命中。 授权一旦被错误委托，其影响可能持续存在。按照原文披露的情况，新进入相关钱包的资金仍可能继续被转走，币安的自动化系统甚至还在向被劫持的钱包补充资产。这一机制最值得警惕之处在于，用户或平台可能并未丢失私钥，却在不知情的情况下交出了执行权限。表面上看，密钥仍然安全，实际操作权却已经被利用。 事件发酵两天后，FBI于10月31日联合美国特勤局USSS、国税局刑事调查部IRS-CI发布通告。据原文披露，FBI将事件归因于朝鲜，并将相关行动命名为“TraderTraitor”。通告还称，同一个团伙也是2025年Bybit约15亿美元被盗案的幕后黑手；这一分支被广泛认为与朝鲜“拉撒路集团”有关。 FBI同时公布了批涉案地址，包括600多个以太坊地址、不到20个比特币地址以及1个Solana地址，并呼吁全球THORChain节点、RPC节点、即时兑换平台、去中心化金融服务和区块链分析公司主动拦截与这些地址有关的交易。这意味着追踪工作不再只是逐笔查看转账记录，而是发行方、交易所、节点服务商和链上分析机构共同协作，在资产继续转移前尽可能冻结或拦截。 特朗普对此也作出回应。据原文披露，10月31日白宫答问时，他先表示“不知道是不是朝鲜，正在了解”；FBI通告发布后他又表示，如果确实是朝鲜所为，美方将与朝方沟通。从等待调查结论，到公开讨论执法归因及后续沟通，这起事件已经超出单一平台的技术事故范畴，演变为国际执法与地缘政治交织的安全事件。 黑客拿到资金后并不会立即停止行动。按照原文梳理的链上路径，攻击者首先通过Uniswap等渠道，把不同的小币种和稳定币快速兑换成以太坊。以太坊流动性较高，便于拆分、转移和跨链流转。随后，Chainalysis观察到，攻击者已经使用数千个地址进行中转，未来几周可能涉及数万个地址，资产被自动化拆包、转移并反复回环。 跨链和去中心化兑换工具也被用于转移资产，其中包括THORChain等跨链兑换协议及即时兑换服务。原文提到，THORChain一度因以太坊故障而停摆，这种非计划中的中断反而拖慢了洗钱速度。稳定币同样并非绝对安全。Tether、Circle等发行方可以将被识别地址列入黑名单，据原文披露，约20亿美元量级的USDT和USDC一度被卡在黑客主钱包中，无法正常动用。 与此同时，币安联合链上机构冻结了约30亿美元受影响资产。综合发行方黑名单、机构协同和地址追踪，攻击者虽然能够快速拆分和跨链转移，却无法完全抹去链上痕迹。链上交易不是彻底匿名，而是在资金进入不同地址和协议后，依然留下可追踪的公开轨迹。 用户损失如何弥补，是这起事件最受关注的问题之一。据原文披露，币安表示将使用公司资金、用户安全资产基金SAFU以及期货保险基金进行兜底，并已划拨超过63.4亿美元等值资产回填。截至11月1日，补偿覆盖比例从80%提高到90%，随后达到约95%；剩余约5%主要是流动性较差的冷门代币，需要逐步处理。 原文还称，BTC、ETH、USDT、BNB、SOL、USDC、XRP等主流资产获得100%背书，用户不承担被盗损失，提现服务也从11月1日起按照网络分批恢复。这一措施能够降低用户在账面资产和正常提现方面受到的直接冲击，但“平台回填”不能简单等同于“被盗资金已经全部追回”。回填本质上是平台动用自身信用和资金承担损失，链上追踪与追赃仍可能持续数月甚至数年。 提现恢复也不意味着风险已经完全出清。案件暴露的是授权机制与内部权限管理上的薄弱环节，而不是简单修补一个功能后便万事大吉。攻击者究竟掌握了多少权限、是否还有未发现的持续授权、受损账户是否全部完成排查，以及未来是否会出现新的关联地址，都需要继续验证。因此，平台恢复服务与整个安全风险消失，是两个不同概念。 这起案件戳破了三个常见误区。第一个误区是“大交易所等于绝对安全”。币安是全球规模最大的加密资产交易平台之一，仍然发生了约63亿美元规模的盗币事件。中心化平台的优势在于交易便利和流动性，而不是可以彻底消除内部入侵、权限滥用或授权劫持风险。把全部大额资产长期放在交易所热钱包中，本质上仍是将资产控制权交给平台保管。 第二个误区是“没有私钥泄露，钱就是安全的”。本次事件说明，私钥安全只是安全链条的一部分。如果账户执行权被恶意委托，即使私钥没有泄露，攻击者依然可能借助合法签名权限转移资产。很多人看到交易确认页面时，只关注登录、验证或授权按钮，却忽略了自己究竟在允许合约执行什么操作。 第三个误区是“链上匿名，被盗资金一定追不回来”。此次案件恰好形成反面教材。600多个以太坊地址被公开标记，交易所、稳定币发行方、THORChain节点、去中心化金融服务和链上分析机构共同参与拦截。链上资产可以隐藏真实姓名，却很难隐藏每一步公开转账和授权记录。洗得越复杂，路径上的标记反而可能越多。 对普通用户而言，最直接的提醒是不要把大额资产长期放在交易所热钱包中，在了解相关风险的前提下使用冷钱包或硬件钱包。交易所更像提供便利的“活期账户”，不应被当作绝对安全的长期保险柜。资产量越大，越需要考虑保管地点分散和权限隔离，避免因为单一系统被突破而遭受连锁损失。 另一个重点是拒绝乱点链接、乱签授权。原文用“Sign”提示Web3用户：最昂贵的动作往往不是转账，而是在没有充分理解内容时签署授权。看到陌生网站、临时交易页面或来源不明的合约请求时，应先核对域名、合约功能和授权范围。看不懂的授权，一律按高风险操作处理，不能因为页面要求“验证”“登录”或“领取额度”就轻率确认。 对于包装成“高收益搬砖、量化交易、AI托管盘”的项目，同样需要保持高度警惕。原文指出，这类资金盘可能以后来投入者的资金填补前人的收益，平台展示的收益和账户数字不能替代真实交易能力。真正安全的高收益极为罕见，凡是承诺保本、固定回报并催促用户尽快入局的安排，都应首先按资金盘风险审视，而不是被收益率吸引。 “内部消息”“保证回本”“带单老师”等话术也不值得相信。原文提醒，真正具备链上追踪能力的人，不会依靠在群里收取高额学费来证明能力。稳定币同样不是“离线黄金”，它们可以被发行方冻结、标记和限制流转。把所有资产换成稳定币，并不等于进入了一个完全中立、无法被干预的保险箱。 评价一个交易平台是否可靠，也不能只看交易量、上币速度和手续费，还应关注多签机制、权限隔离、授权委托能否及时撤回，以及发生事故后是否具备真实资金兜底能力。按照原文的判断，交易所安全正在从防范外部窃贼，转向同时防范内部风险和授权劫持。对普通用户来说，平台规模以降低一部分流动性风险，却不能替代个人对授权操作的安全审查。 从宏观角度看，约63亿美元级别的案件反映出三件事正在同时升级：国家级网络攻击已经进入加密资产主战场；链上反洗钱正从被动追踪转向全球协同拦截；中心化交易所必须同时管理外部攻击、内部权限和智能合约授权。此次FBI以“TraderTraitor”命名相关行动，也说明跨国执法协作正在直接影响被盗资产的追踪速度。 这起事件留下的警示并不复杂：资产放在链上，权限却掌握在人手中。任何看起来方便的操作，都可能隐藏额外的授权边界。资金规模越大，越不能在签名、转账和托管环节抱着试一试的心态。本文仅用于反诈风险警示和信息资讯分享，不对任何经营、投资及交易行为进行推广或背书；处理虚拟资产时，应遵守所在地区法律法规，不参与非法金融活动。