币安被盗与恢复：我们能学到什么？

在发生63亿美元盗窃案后，币安已开始恢复访问，动用自有储备来替换客户资产。其恢复过程提供了关于交易所如何审批交易、在危机期间如何沟通以及如何证明客户能够拿回资金的经验教训。

币安在报告已替换约95%受10月29日63亿美元黑客攻击影响的资产后，扩大了提现范围。

币安在11月3日的公告中安排了从UTC 04:00开始的另一个提现阶段，各资产在通过安全和就绪检查后陆续开放。存款仍然开放，该交易所重申了其承担财务损失的承诺。

因此，客户面临两种不同的恢复流程。币安一直在采购替代加密货币来支撑其余额，而调查人员和行业合作伙伴则一直在努力追回攻击者取走的资产。

恢复提现访问涉及第三项任务：确认发送这些资产的系统能够安全运行。账户余额、储备快照和完成的提现各自回答了关于交易所状况的不同问题。

币安黑客攻击的影响超出一名员工的笔记本电脑

币安最初暗示，一名工程师被入侵的笔记本电脑可能提供了入口点。在其10月30日的事件更新中，该公司表示调查人员已发现更多入侵点，同时报告当时没有证据表明钱包私钥已泄露。

其公布的说明将热钱包被入侵的时间定为10月29日UTC约20:05。该交易所表示，已控制受影响的基础设施、撤销授权并引入进一步控制措施，同时调查人员正在努力确定事件顺序。

窃取密钥与获得使用签名系统的权限之间的区别是调查的核心。即使企业从未打算授权转账，交易也可能带有加密有效的签名。

TRM Labs的链上调查追踪了跨10条区块链的转账，并在资产被取走时将其价值估为约63.6亿美元。其研究人员评估认为，跨链活动表明币安的热钱包签名基础设施遭到入侵。

据TRM称，以太坊活动涉及50项预先授权以及一份可从币安钱包扫走资产的合约。其他链则显示为普通的签名转账，因此仅用以太坊钱包功能来解释，将无法解释部分盗窃行为。

这一教训既关乎签名密钥的存储，也关乎围绕签名密钥的权限。企业必须决定哪些系统可以请求签名、哪些请求需要单独批准，以及如何在异常转账到达区块链之前将其阻止。

NIST的零信任架构将访问视为必须针对所涉资源进行身份验证和授权的事项。身处公司网络内部或使用公司自有设备本身并不能建立信任。

应用于交易所时，这一原则将工程师的日常访问权限与转移客户资产的权限区分开来。员工可能需要维护基础设施，但无需拥有对提款指令、生产凭证或交易审批的无限制访问权限。

币安完整的技术报告需要解释这些边界在攻击期间是如何运作的。迄今为止公布的证据支持对签名流程的质疑，但并未建立该公司内部控制体系的完整图谱。

联邦调查局于10月31日将此次盗窃归因于朝鲜的TraderTraitor活动，并表示被盗资产主要正被转换为以太币。据美联社11月3日报道，朝鲜否认参与其中。

该局要求交易所、DeFi服务、基础设施运营商及其他公司阻止与已识别的洗钱地址相关的交易。其请求针对的是入侵后被盗资产的转移，与币安对初始访问途径的调查是分开的。

币安如何处理危机与恢复

币安的应对措施结合了提款限制、替代资产购买、资产冻结方面的合作以及一系列公开恢复通知。每项措施都针对不同的紧迫问题，而时间线让客户能够将公告与后续行动进行对比。

正如crypto.news此前报道，币安预留了公司资源超过63.4亿美元，并表示截至10月30日已持有约50亿美元的匹配加密货币。其目标是分阶段重启提款，但须经过安全检查。

匹配资产是这一承诺的一部分。持有特定代币的客户应获得该代币，而交易所可用资源的美元价值只是其购买替代品能力的中间衡量指标。

10月31日的补充通知将覆盖率定为90%。币安指定SAFU、其期货保险基金的一部分以及公司金库作为资金来源。

币安表示，已识别的10种主要资产已获得全额支持，而该组之外流动性较低的代币则需要更长时间才能获得。购买正通过市场和场外交易渠道进行。

截至11月1日，币安报告替代率达到95%，并在初始恢复阶段重新开放了比特币提款。首次公布的日程涵盖15个网络上的选定资产，而非交易所上市的所有代币。

根据币安报告的事件开始时间及其最早计划的11月1日重新开放时间，间隔约为57小时55分钟。该计算衡量的是到计划重启开始的时间，而非每位客户受到限制的持续时间。

随后，提款访问权限通过各个网络和资产组合逐步扩大。在某一网络上可用的代币在另一网络上可能仍然不可用，因此相关的运营衡量指标是客户所需的具体提款路径。

11月1日的通知表示，前一周记录的需求影响了重新开放顺序。它警告称流量可能导致延迟，并告知用户检查其所选资产和网络的状态。

其11月3日的扩展遵循了同样的方式。币安表示，所列路径将在检查后逐步重新开放，推出期间仍可能出现临时延迟。

这种层面的沟通对客户而言，比交易所范围内宣布提款已恢复更为有用。客户需要知道其资产能否转出、通过哪个网络转出，以及已提交的请求是否已完成。

NIST 的事件响应指南将检测、响应和恢复置于组织持续的风险管理之中。恢复服务是事件处理的一部分，同时还要降低再次发生事件的可能性并改进响应流程。

币安的公告提供了替换和重新开放的里程碑记录。评估其遏制漏洞的有效性还需要技术时间线，包括何时检测到未经授权的访问、禁用了哪些权限以及如何验证恢复的系统。

替换资产与追回被盗资金是不同的账目

冻结和替换购买都可以保护客户，但如果没有进一步说明，它们不应被归入单一的恢复总额中。一个限制攻击者对资产的访问；另一个提供资产以满足客户负债。

设想一个简化的交易所，在100枚代币被盗后仍欠客户100枚代币。如果交易所购买100枚替换代币，即使调查人员尚未归还任何原始代币，它也能恢复客户背书。

假设被盗代币中有40枚随后被冻结。客户背书仍为100枚代币；不会变成140枚。被冻结的40枚代表最终有权获得它们的任何一方可能实现的追回。

如果这40枚在客户已获全额补偿后合法归还给交易所，它们可以抵消交易所的部分损失。同样的代币不能同时被计为替换资产和额外的客户补偿。

币安表示，截至10月30日，通过与执法部门、发行方和其他合作伙伴的合作，已冻结约30亿美元。其资产替换计划另行推进，使用公司资源购买缺失的加密货币。

这些数字具有不同的日期、估值假设和目的。因此，所报告的冻结总额应被描述为在所述时间点被 immobilised 的金额，而替换进展则描述交易所为恢复背书所做的工作。

将95%应用于四舍五入后的63亿美元事件估计，得出59.85亿美元，按该估值剩余3.15亿美元。这是说明性算术，并非对确切未结采购账单或逐代币短缺的披露。

盗窃后价格会变动，每种代币所欠数量不会自动随其美元价格变化。按某一估值价值3.15亿美元的剩余代币组合，之后购买可能花费不同金额。

流动性引入了另一个差异。一种代币可以有报价市场价格，但附近没有足够的卖单可立即替换大量持仓。

通过场外交易台购买可以从公共订单簿之外的持有者处获取大宗代币。这仍然需要有意愿的卖方，并就数量、结算和价格达成一致；预算的存在并不会将所需代币放入提现钱包。

币安关于最后一部分采购耗时更长的解释，应结合其后续代币覆盖和提现更新来评估。有意义的完成点是受影响资产获得完全匹配的背书和运营访问，而不仅仅是四舍五入的美元承诺。

冻结在确定所有权之前阻止流动

稳定币发行方有时可以通过行政控制冻结其代币。原生比特币或以太币的发行方无法使用同样的机制，因为这些资产没有可比的中央发行方。

Circle 的 USDC 条款 描述了区块名单和赎回条件，包括可能阻止赎回的法律限制。根据这些条款，持有代币、代币被冻结以及确立赎回权是相互独立的步骤。

地址限制阻止特定转账；它本身并不确定补偿的适当接收方。所有权证据、法律程序以及资产返还安排仍可决定后续走向。

Arbitrum 在 Binance 事件中采用了不同的干预方式。其安全委员会的 10月30日通知 称，通过临时合约升级，8,425 ETH 和 74,559,805.2 ARB 被转移至一个持有地址。

该通知明确保留将后续转移交由 ArbitrumDAO 治理投票决定的权利。因此，从与攻击者关联的地址转出的资产并未自动转移给 Binance 或其客户。

每次干预的范围都需要保持清晰。发行方的代币区块名单、交易所拒绝将存款入账以及网络层面的紧急升级，在交易路径的不同节点上发挥作用。

时机可能影响哪些资产仍可触及。如果受限代币已被兑换，冻结原始地址并不能逆转每一笔交易或自动捕获替代资产。

FBI 公布的地址列表为服务提供商提供了洗钱调查的共同参考。它并不赋予每个基础设施运营商相同的法律或技术能力来阻止转账。

对客户而言，实际后果是：宣布冻结可能令人鼓舞，但并不代表已完成赔偿。下一次报道的事件应明确资产是否被返还、返还给谁、通过何种流程以及返还数量。

Binance 动用了用途不同的储备金

SAFU 是一项紧急储备金，旨在特殊情况下保护用户。期货保险基金通常发挥不同的功能：在抵押品不足时，弥补已清算头寸留下的损失。

Binance 动用保险储备金 使得恢复资金的构成与衍生品交易者产生了关联。该公司表示其动用了多余资源，且剩余基金继续满足其风险要求。

保险基金的美元余额并不衡量特定交易者在安全事件后将获得多少赔偿。它是支持交易所清算和损失管理安排的一项资源，受相关期货产品规则的约束。

一个简化的比较可以说明这些独立的问题。交易所可以替换所有被盗的客户代币，同时持有比事件前更少的清算储备金，除非它从另一来源补充该储备金。

现货资产得到恢复的客户，其直接支撑问题将得到解答。期货交易者则仍需了解当破产头寸留下损失时可获得的保护信息。

这两种结果并不矛盾。仅通过会计处理恢复一个资金池，并不会恢复曾为其提供资金的所有其他缓冲。

Binance 在10月31日的披露中确定了三个资金来源，但该通知未提供每个来源的分配额度。因此，其关于正在使用公司资金的声明，需要结合对 SAFU 和期货储备金的分别描述来理解。

公开披露提取金额、剩余金额和补充时间表，将使资金后果更易于评估。此类时间表需要包含日期和相关储备类别，因为单一的汇总余额可能掩盖产品之间的差异。

客户账户验证在这里还有另一条边界。币安表示，用户可以通过其储备证明系统验证自己的资产；该系统并非客户层面对公司期货保险基金的索赔权。

承担被盗损失的承诺将损失归于币安。解释公司如何为该承诺提供资金，有助于客户区分其资产的恢复与交易所其他财务保障的持续状况。

币安的保险基金规则解释了清算缓冲不足时的运营后果。当破产头寸的损失超过相关可用基金时，可根据产品的风险安排启动自动减仓。

其ADL说明描述了一种可以减少对手方交易者所持头寸的机制。它不同于支付安全事件索赔，不应被解释为盈利头寸永远不会受到另一交易者破产影响的保证。

该基金还按适用的合约安排进行划分。跨类别的总额并不能证明每一美元都可用于每一次清算事件。

这就引出了资金被提取用于恢复之后的进一步披露问题：剩余资源是否覆盖交易所所述框架下的相关产品。被盗资产被替换的百分比无法回答这一针对具体产品的问题。

币安表示其剩余储备继续满足所需覆盖要求。已公布的规则另行规定，如果保险基金低于所需最低限额，公司将进行注资。

储备验证回答的问题比审计更窄

币安于11月2日完成了10种主要加密货币的储备验证，使用的是10月31日00:00 UTC拍摄的快照。完成的加密证明使符合条件的用户能够核对其是否被纳入以及该快照所述的支持情况。

所涵盖的资产为BTC、ETH、USDT、BNB、SOL、USDC、XRP、USD1、RLUSD和ZEC。快照时间很重要，因为它早于提现重新开放的后续阶段。

在其11月2日更新中，币安安排了11月4日针对更多代币的进一步快照。生成下一份完整证明预计需要约40至50小时。

因此，发布日期和计量日期需要分开解读。11月2日完成的证明描述的是所述的10月31日状况，而不是在提现处理过程中持续证明每一笔余额。

币安的储备证明说明描述了账户记录和默克尔树如何让用户核对其余额是否被纳入。其零知识机制支持在不公开暴露每个单独余额的情况下进行验证。

当客户希望获得公司保证之外的证据时，这种核对是有用的。但它仍有明确的范围：特定资产、特定的一组账户数据以及特定的计量时间。

PCAOB的投资者警示警告不要将储备证明报告视为财务报表审计。它指出，相关程序可能遗漏负债、所有权权利、借入资产以及评估实体整体财务状况所需的其他信息。

其警告是一般性的，并非认定币安最新的证明是虚假的。适当的比较是在特定证明所确立的内容与读者可能另行假设其确立的内容之间进行。

客户可以询问账户是否被纳入、所选代币是否被涵盖以及快照是何时拍摄的。评估整个公司则需要关于义务、限制、资本以及用于恢复的资源的进一步信息。

该响应超出了币安的提现系统

离开交易所的资金可能在交易所完成初步调查之前就到达其他服务。因此，应急响应涉及那些自身并未被入侵、但可能收到被盗资产或将其作为抵押品接受的平台。

LlamaRisk的Aave事件报告描述了攻击者集群中的一个钱包在10月29日UTC时间20:58至21:01之间存入6000万USDT并借入19,762 WETH。首次市场冻结随后在UTC时间21:42进行。

该风险提供商表示，该头寸仍保持超额抵押，并受常规清算约束。其报告描述了采取预防性冻结，因为被盗资产可能被兑换成借贷协议支持的其他资产。

交易所的提现暂停无法逆转该借贷。一旦资金到达另一项服务，响应就取决于该服务的权限、抵押规则以及对威胁的评估。

因此，需要从具体行动层面来理解这些单独的公告。币安限制提现和Aave冻结新的借贷活动针对的是不同的交易和不同的客户群体。

公司之间的沟通可以确定哪些地方可以进行干预，但这并不能使它们的权力可以互换。代币发行方可以限制其自己的代币，借贷守护者可以行使协议权限，而rollup委员会可以使用其治理已授权的管理工具。

这些限制取决于相关服务的规则。冻结可以阻止新的活动，同时让现有头寸保持开放，其解除被分配给授权机构。

币安自身的恢复通信还有另一个受众：试图区分官方指示与那些提出可加速提现的人士的客户。其公开公司信息流警告称，它不会出售排队位置、收取解锁费或要求用户将资金转入所谓的安全账户。

该警告与分阶段重新开放的方式相关。等待特定代币的客户有直接理由寻找更新，而可用性在不同网络之间可能合理地存在差异。

未经请求的消息可以利用这种不确定性，声称客户需要完成额外步骤。所要求的操作可能是钱包连接、签名或转账，被伪装成恢复程序。

FBI的恢复欺诈咨询描述了这样一种骗局：所谓的恢复公司要求预付款，然后消失或提供不充分的追踪材料，之后再要求更多。它指出，私人恢复公司不能发出扣押令。

区块链追踪报告和扣押资产的法律授权是两回事。识别目的地可以帮助调查，但这本身并不能强制持有人、发行方或平台转移资金。

FTC的退款诈骗指南描述了欺骗的另一部分：欺诈者可能知道先前损失的细节，并利用这些细节使新的接触听起来可信。对某一事件的熟悉并不能证明来电者代表受影响的公司。

在交易所范围的恢复期间，公开公告为任何人提供了大部分此类背景信息。盗窃的规模、重新开放的日期和受影响的资产可以被复制到一条看起来可信的消息中，而无需访问客户的账户。

客户的实际任务仍然很具体：通过交易所自己的界面检查所选的提现路线，并区分待处理的请求与要求新付款的要求。公司公布的重新开放流程应解释所需步骤，而不依赖未知中间人的指示。

因此，清晰的事件沟通不仅仅是提供安慰。它们为客户提供了一个参照，用来核对某项请求，尤其是当某项声明涉及费用、资格或所谓的补偿计划时。

提现公告本身将用户引导至资产和网络状态页面。它们的承诺是逐步恢复运营，没有公布在该队列中购买优先权的规定。

赔偿并不能解释漏洞是如何发生的

Altcoin Pro 联合创始人兼首席研究官 Joni Zhuleku 在 11 月 2 日的一次采访中主张，仅靠赔偿是不够的。他表示，币安需要解释这次失败，并展示更强有力的控制措施，以恢复信心。

他的立场针对的是与客户是否获得替代资产不同的问题。资金充足的赔偿可以解决眼前的短缺，却让未经授权交易的起因悬而未决。

币安已将其财务能力和对客户的承诺作为安抚的依据。据路透社报道，Richard Teng 在 11 月 3 日表示，公司财务状况依然强劲，资金流入和流出基本恢复正常。

因此，复苏的证据应同时包括资产计划的完成情况以及对交易权限所做的更改。它们是各自独立的声明，可能以不同的速度推进。

以太坊的 EIP-7702 规范明确指出，签名授权可以将账户的行为委托给代码。相关的实施指南警告称，委托可能使指定合约获得对资产的控制权。

对于交易所而言，相关的运营问题是其签名策略允许什么，包括不熟悉的交易类型和持久性权限。一个能够识别普通转账的系统，仍然需要解读会改变账户后续可执行操作的授权。

这一比较并不能确定币安哪项控制措施失效。它指出了调查人员在重建以太坊交易以及其他链上活动时必须考虑的权限。

披露应说明哪些保护性更改立即生效，哪些需要进一步的工程工作。更换凭证、更改审批规则和重建服务是不同的行动，即使它们都出现在加强安全的一般承诺之下。

客户可以将最终报告与事件期间发布的带日期通知进行对比。如果公司修改了早期的解释，最终说明应显示是什么新证据改变了其评估。

币安 10 月 30 日的通知承诺发布一份详细的技术报告，涵盖此次攻击、经验教训和保障措施。其下一次宣布的储备快照定于 11 月 4 日，完整的加密证明预计还需 40 至 50 小时。

值得关注的内容

• 按资产完成情况：币安是否报告对已覆盖的10种代币之外的代币进行全额替换。
• 提现可用性：哪些剩余的网络和资产对将恢复运营，以及处理延迟是否持续存在。
• 返还资金：区分已完成追回与仍被冻结或等待决定的资产的披露信息。
• 储备金补充：用于恢复的SAFU和期货保险基金的有日期余额及替换计划。
• 技术调查结果：最终攻击时间线、涉及的签名权限以及违规事件后更改的控制措施。

常见问题