幣安駭客事件：事發經過與63億美元資金去向

幣安已承諾在估計影響達 63 億美元的入侵事件後，賠償每一位客戶的損失。其復原工作現在涉及多個不同流程，從穩定幣凍結到追蹤任何代幣發行方都無法封鎖的資產。

幣安估計，其 10 月 29 日入侵事件影響了 63 億美元的加密貨幣，並承諾彌補所有損失，同時合作夥伴已凍結約 30 億美元。

幣安的安全更新表示，其初步調查指向一名遭入侵的 DevOps 工程師筆記型電腦，該電腦可能讓攻擊者得以存取內部服務容器並提交未經授權的提款。

該交易所表示，未發現錢包私鑰外洩的證據。它已撤銷受影響的地址授權、通報執法機關，並承諾在調查人員完成釐清事發經過後發布技術報告。

區塊鏈調查人員已分別發布對這些轉帳的記述。他們的數字描述事件的不同階段，並採用不同範圍，有些計算資產離開幣安時的價值，另一些則描述隨後被凍結的資產。

因此，30 億美元的凍結數字與 63 億美元的估計並列存在。幣安並未將 30 億美元描述為已返還給客戶的資金，也未公布其在復原後自身財務損失的最終帳目。

幣安駭客事件在數分鐘內觸及多個網絡

根據 TRM Labs，主要的一波轉帳始於 10 月 29 日約 20:05 UTC，並在約 20 分鐘內轉移了大部分竊得資金。其調查涵蓋 10 個網絡，當晚稍後又有一波轉帳觸及 Avalanche 與 Polygon。

TRM 的估計以每筆轉帳當時的價值計算資產。幣安的 63 億美元數字是該公司對事件影響的估計，因此兩個總額之間的差異本身並不能證明調查人員發現了另一起竊案。

該公司運用鏈上與鏈下情報，將攻擊歸因於北韓的 TraderTraitor 組織。幣安尚未確認攻擊者身分，該歸因仍屬調查人員的評估。

正如 crypto.news 先前報導，最初的歸因與追蹤將此事件與 FBI 在 2025 年 2 月 Bybit 竊案中先前識別出的駭客單位連結起來。技術歸因與刑事認定是不同階段，即使調查人員表達高度信心亦然。

這些轉帳涉及的資產具有非常不同的復原選項。美元代幣可能設有發行方控制機制，而原生比特幣與以太坊並未賦予穩定幣公司可比擬的權力，得以將持有者的餘額列入黑名單。

因此，一個出現在追蹤紀錄中的地址可能是有用的線索，卻不一定是可復原的餘額。調查人員可以在攻擊者更換錢包後追蹤公開轉帳，但觀察到一筆移動的能力，並不自動賦予任何人有權將其撤銷。

一次以太坊授權改變了熱錢包能做的事

Blockaid 的技術調查描述了一起針對 Binance 14 的攻擊，這是一個繁忙的以太坊熱錢包。一筆交易包含 50 個 EIP-7702 授權，其中一個與該帳戶的交易計數器相符，並啟動了對惡意程式碼的委託。

研究人員表示，攻擊者隨後利用被委託的錢包轉移了一大籃子資產，並觸及了由該錢包控制的另一個智慧帳戶。該惡意委託在被移除之前，可能對後續的存款仍然有用。

該出版物的技術報導已經審視了錢包授權機制。它在這起事件中的作用，是在所需授權被接受後，讓程式碼能在現有錢包的環境中運作。

以太坊的EIP-7702 規範描述的是持續性委託，而非必然在單筆交易後消失的權限。它警告，被委託的程式碼對該帳戶擁有不受限制的存取權，錢包供應商必須密切審計。

這一區別解釋了為何移除受影響的授權應與停止提款一同列入應對措施。交易所客戶介面的暫停與鏈上委託的移除，針對的是同一事件的不同部分。

Blockaid 將其他轉移描述為來自多個網路上錢包的普通簽名交易。其調查結果並未證實每一美元都是透過以太坊委託流出的，而單一以太坊功能本身也無法解釋比特幣或 Tron 的轉移。

Binance 的初步聲明與調查人員的技術說明針對的是不同的問題。交易所描述的是進入其系統的可能途徑，而研究人員描述的是已授權交易在鏈上做了什麼。

完整調查仍須將這些階段連結起來。交易所聲稱未發現私鑰洩漏，並不意味著由其簽名基礎設施批准的每一筆交易都是公司有意為之的。

凍結資金與返還資金應歸入不同的總額

Binance 表示，透過與業界夥伴合作，已凍結約 30 億美元。凍結限制了受影響資產的流動，而追回則需要進一步的步驟，將價值返還給合法所有者或約定的追回地址。

使用交易所的四捨五入數字，30 億美元除以 63 億美元約等於 47.6%。剩餘差額為 33 億美元，即初始估計的 52.4%。

這些計算描述的是 Binance 公布的兩個數字之間的關係。它們並未證實 33 億美元已消失且無法追回，也未證實全部凍結餘額可立即用於賠償客戶。

隨著調查人員確認轉移、排除重複計算或更新價格，分母可能發生變化。隨著發行方找到更多代幣或當局授權追回交易，分子也可能發生變化。

TRM 的早期說明將凍結或保全的資產定為約 27 億美元，低於 Binance 隨後的估計。其數字是某一時點的追蹤快照，該公司後來的總額不應與之相加，彷彿它們描述的是不同的資金池。

同樣的謹慎也適用於發行方的公告。Tether 的凍結與 Circle 的凍結可能是 Binance 總額的組成部分，因此將兩者都加到交易所的總額上會使部分資產被重複計算。

在發行方採取行動之前已被兌換的穩定幣帶來了另一個複雜因素。美元代幣的發行方或許能夠封鎖該代幣，但其控制措施不會自動跟隨持有者進入不同的原生資產。

因此，復原會計既需要代幣餘額，也需要其狀態。已識別資產、已凍結資產、已轉入復原託管的資產以及用於恢復客戶餘額的資產，是四種不同的描述。

幣安已將公司資金與 SAFU 並列

幣安的承諾是利用其用戶安全資產基金（SAFU）和公司資源來彌補損失。它並未表示僅靠 SAFU 就能吸收整個事件。

該基金早前的比特幣儲備轉換已於二月完成，當時幣安報告了 15,000 枚 BTC，價值約 10.05 億美元。該轉換公告描述的是歷史餘額和估值，而非十月關於可用保險資源的新聲明。

即便是假設的 10 億美元基金，也只能覆蓋 63 億美元總事件金額的 15.9%。從 63 億美元中減去 10 億美元得出 53 億美元，但這一算術並非對幣安實際資金缺口的估計，因為復原金額和當前基金餘額仍是各自獨立的輸入項。

因此，該交易所選擇納入公司資金是承諾本身的一部分。客戶被告知幣安將承擔損失，而不是被告知要等到調查人員追回每一枚被盜代幣。

該承諾並未指明將使用的現金、加密貨幣或其他公司資源的確切組合。它也未確定任何由發行方控制的復原的時間安排，或凍結餘額的會計處理方式。

客戶補償和公司最終淨損失可能按不同時間表推進。幣安可以在原始資產被追回之前，用自身資源替換缺失的客戶資產，之後再由公司進行追償。

如果發行方後來返還了已被替換的資產，該復原將影響幣安自身的財務風險敞口。它不應被計為對同一客戶損失的第二次補償。

儲備更新將提供有日期的支撐視圖

幣安已承諾在補救後提供更新的儲備證明。其八月儲備快照報告比特幣和以太坊的儲備比率為 100.25%，USDT 的比率更高。

八月的比率無法確立該交易所在十月事件後的支撐情況。客戶餘額、儲備持有量和受影響資產需要在新快照日期進行計量。

該出版物對交易所儲備報告實踐的審查解釋道，這些系統將覆蓋資產與覆蓋客戶餘額進行比較。它們不會自動包含每一項公司負債，也無法確立控制措施在快照之間持續運作。

比率高於 100% 意味著該計算中包含的資產超過其中包含的相應客戶餘額。它並不衡量提款系統的質量，也不顯示攻擊者如何獲得有效授權。

因此，幣安承諾的儲備更新和技術事後分析服務於不同目的。前者可以記錄指定時間的支撐情況，而後者旨在解釋入侵事件以及為關閉攻擊者所用路徑而採取的措施。

同一資產不應在未解釋其狀態的情況下，同時被呈現為可自由使用的提款流動性和被凍結的復原財產。被凍結的代幣可能保留報價美元價值，但同時無法用於普通客戶提款。

賠償承諾未提供恢復時間表

幣安最明確的表態是其承諾承擔所有損失，並由 SAFU 和公司資金作為後盾。據報導的凍結為恢復工作提供了一個已識別的資產池，攻擊者在適用控制措施下無法自由轉移這些資產。

兩項承諾均未提供最終損失數字。幣安尚未公布被盜資產、凍結餘額、返還資產與用於替換客戶資金所投入公司資源之間的完整對帳。

公開記錄中的營運狀態也在變化。最初的安全通知描述了暫停存款和提款，而後續報導則稱存款已恢復營運，提款則需進一步的安全工作。

各通知屬於其各自的發布時間。客戶能否提款取決於相關網絡當前的服務通知，而非取決於另一網絡是否已恢復營運。

恢復估計在服務實際恢復之前僅為公司目標。它並非要求每位客戶採取行動的截止期限，且幣安經審查的安全聲明並未施加統一的客戶提款窗口。

技術報告將說明初步入侵點

該交易所提及的遭入侵筆記型電腦仍屬初步說法。其聲明指出了從工程師設備到內部容器的可能路徑，但並未公布關於攻擊者如何在受影響網絡中獲取各項授權的完整解釋。

Blockaid 的分析提供了關於以太坊執行層面的證據，而 TRM 的調查則涵蓋了更大範圍網絡中的轉帳與歸因。他們的工作並不能取代幣安所承諾的內部存取控制說明。

幣安的美國獨立關聯公司 Binance.US 表示，其營運未受此事件影響。

值得關注的事項

返還資產：經確認轉入恢復託管的資產將確立與發行方凍結不同的狀態。

提款通知：各網絡特定的服務更新將確定哪些提款已實際恢復。

儲備快照：日期、涵蓋資產及凍結餘額的處理方式將界定新報告所確立的內容。

技術事後分析：最終說明應將內部存取、簽署授權與鏈上轉帳聯繫起來。

損失對帳：幣安披露的投入與已回收資產將決定其最終的財務風險敞口。

常見問題