链上复盘里的币安热钱包被盗经过与冻结进展（2026 年 10 月 30 日）
据链捕手复盘，一份用热钱包私钥签出的 EIP-7702 授权把 Binance 14 交给了攻击者的合约；目前公开的几笔冻结，大多出自稳定币发行方。
2026 年 10 月 30 日凌晨（北京时间），币安遭到黑客攻击，先停了提现，早上 8 点后又停了充值和 Binance Alpha 交易。币安给出的理由是：「作为预防性安全措施，在团队开展安全检查、冻结相关资金并与执法部门协作期间，所有充值和提现功能暂停。」币安表示会承担全部损失，并称已核实冻结约 30 亿美元。截至北京时间 10 月 30 日上午，官方没有发出恢复充值或提现的消息，现货和合约交易仍在进行。被盗总额、攻击原因、赔付方式和恢复充提的时间，币安都还没公布；下文讲到的攻击手法和金额，来自链上分析机构的统计。
币安热钱包被盗当晚按北京时间发生了什么
据链捕手复盘，链上的准备从 10 月 28 日就开始了；Cointelegraph 直播记录里币安最早的一次表态，在 30 日凌晨 5 点多。
币安几次表态的时刻，Cointelegraph 原本记的是 UTC，北京时间是 UTC 加 8 小时。标着「链上统计」的两行出自链捕手（ChainCatcher）的这份复盘，同样没有得到币安确认。
EIP-7702 授权怎样让热钱包执行攻击者的合约
以太坊上的普通地址（外部账户）本身没有代码，转账要靠私钥签名。EIP-7702 给这类地址加了一种授权：地址用自己的私钥签一份授权，指定一个合约；授权上链以后，地址里会写进一个指向这个合约的委托标记。从这时起，谁来调用这个地址，链上加载并执行的都是那个合约的代码，而且是以这个地址自己的身份执行。规范在安全一节里写明，授权指定的代码对这个账户拥有不受限制的访问权（unrestricted access）。委托会一直有效，直到地址再签一份新授权，把它指向别处或清空。这份授权一旦签出去，钱包就会照别人写的代码办事。
链捕手复盘的以太坊一侧就是这个过程：攻击者提交了一份用「Binance 14」热钱包私钥签署的 EIP-7702 授权，把这个热钱包委托给自己部署的清扫（sweep）合约。清扫合约干的事，是把地址里的资产成批转到指定去处；随后约 16.7 万 ETH 和约 16 亿 USDT 等被一次转走。比特币链上另有约 18,270 BTC 被转出。
授权是怎么签出来的，现在两种看法并存，都没有得到确认。Blockaid 的初步看法是签名基础设施被滥用或被攻破，而不是私钥简单泄露；慢雾的 CISO 则认为可能涉及私钥泄露。前一种说法里，出问题的是负责签名的那套系统；后一种说法里，私钥本身落到了外人手上。
哪一种对，要等币安的复盘。何一称，调查完成后会发布完整的事件复盘。
被盗金额的估算从约 33 亿美元到 60 多亿美元不等
币安到现在没有确认任何被盗数字，公开过的只有已核实冻结的金额。外面流传的几个数字都来自链上分析机构，各自算的东西并不一样。
| 机构 | 估算（美元） | 算的是什么 |
|---|---|---|
| Blockaid | 约 33 亿 | 可疑转出 |
| Glassnode | 约 53 亿 | 被盗规模估算，经外媒转述 |
| Arkham | 约 58.4 亿 | 标为 binance-hacker-1029 的黑客钱包现有持仓 |
| Chainalysis | 约 59.1 亿 | 被盗规模估算 |
| 链捕手 | 约 62.8 亿 | 链上统计的流出规模 |
统计范围不同。表里最小的那个数，只算了以太坊、Arbitrum、Avalanche 三条链上的可疑转出；最大的那个数统计了 8 条链，比特币链也在其中。
持仓和流出是两个量。持仓那一行，是黑客钱包里眼下还剩多少，发布方自己也说明这不是损失。币价一动，持仓折成的美元数就跟着动。
价格取在哪个时刻，也会改数。举个例子：10 月 30 日上午 ETH 约 2,197 美元，16.7 万 ETH 折合约 3.67 亿美元（167,000 × 2,197）；ETH 当时 24 小时跌了约 4.7%，换成 24 小时前的价格（2,197 ÷ 0.953 ≈ 2,305 美元），同样这些 ETH 折合约 3.85 亿美元，两者差出约 1,800 万美元。约 16 亿 USDT 这样的稳定币不受这一层影响，ETH 和 BTC 都受。
Tether、Circle 等冻住了一部分，约 32.7 亿美元仍未冻结
USDT、USDC 这类稳定币由公司发行，发行方可以在自己的代币合约里冻结指定地址上的币；比特币没有发行方，没有谁能这样冻结它。目前公开的冻结动作：
- Tether：CEO 称冻结逾 15.67 亿 USDT；
- Circle：CEO 称冻结逾 8 亿美元 USDC；
- Ripple：冻结了部分 RLUSD，何一称其协助冻结的金额约 2 亿美元；
- World Liberty：冻结 USD1 约 2,700 万美元（Cointelegraph 转述何一）；
- Arbitrum 安全委员会：冻结约 3,050 万美元的 ARB 和 ETH（据 Cointelegraph）。
币安自己公布的冻结总额，和上面几家各自报出的数字是什么关系，币安没有拆开说明，这几组数字不宜直接相加。
没冻住的部分，链捕手统计攻击者手里仍有约 32.7 亿美元资产，其中包括 18,270 BTC。有链上分析师称，最大的一笔 BTC 还没有移动过。
这次和 2025 年 Bybit、2019 年币安那两次被盗有什么不同
2025 年 2 月 Bybit 被盗约 15 亿美元，出事的是以太坊冷钱包，在此之前这是金额最大的一起交易所被盗；2019 年 5 月币安被盗约 7,000 BTC，按当时价格约 4,000 万美元。这一次，第三方估算里最低的那个也是 Bybit 那次的两倍多，最终核定的数字只要落在各家估算之间，这次就会超过 Bybit，成为金额最大的一起交易所被盗；链上复盘指向的则是币安的热钱包 Binance 14，用的是 EIP-7702 授权。
2019 年那次，币安动用 SAFU 基金赔付用户，先恢复交易，大约一周后恢复提现；这笔基金的来历和动用记录，见SAFU 用户保险基金详解。这一次到 30 日上午，现货和合约交易还在进行，停下的是充值、提现和 Binance Alpha 交易。2019 年的那一周是当时的进度，拿来推算这次哪天恢复提现并不合适。
在 Etherscan 上查看 Binance 14 热钱包地址
链上地址本身是公开的。标了交易所名字的热钱包，余额和每一笔进出，任何人都能在区块浏览器里看到。
- 打开 etherscan.io，在搜索框里粘贴地址 0x28C6c06298d514Db089934071355E5743bf21d60。
- 地址页上方有一排标签，这个地址标的是 Binance 14、Binance 和 Exchange。
- Overview 栏里的 ETH BALANCE 是地址当前的 ETH 余额。
- 往下的 Transactions 列表里，From 列是 Binance 14、旁边带 OUT 的，是从这个地址转出的交易；交易哈希前面带红色标记的，是执行失败的交易，点开哈希能看到这笔交易的详情。
地址页看得到余额和每一笔进出。各栏怎么读、怎么顺着一笔转账往下追，可以对照区块浏览器怎么用？手把手教你追一笔链上转账。
账户这一侧，2FA 和防钓鱼码是否都开着，现在就能核对。币放在交易所和放在自己钱包各有什么风险，见币放交易所还是自己钱包安全？新手该怎么分配；想逐项看自己用的交易所亮了几面红旗，可以用交易所安全自查表。
- 币安官方 X 账号的置顶帖与下一条帖子（2026 年 10 月 30 日），x.com/binance。
- 澎湃新闻 2026 年 10 月 30 日关于币安暂停充值提现的报道（引述币安说明与何一表态）。
- Cointelegraph 关于币安安全事件的直播报道（2026 年 10 月 29 日至 30 日，按 UTC 记时）。
- Odaily 2026 年 10 月 30 日快讯（何一表态；链上分析师关于最大一笔 BTC 尚未移动的说法）。
- 链捕手（ChainCatcher）币安被盗链上复盘，北京时间 2026 年 10 月 30 日发布。
- Blockaid、Glassnode（经 Investing.com 转述）、Arkham、Chainalysis 对被盗规模的公开估算，以及 Blockaid 与慢雾 CISO 对攻击原因的初步看法。
- Tether、Circle 两家 CEO 关于冻结的公开表态;Ripple、World Liberty、Arbitrum 安全委员会的冻结情况据何一说法与 Cointelegraph 报道。
- EIP-7702: Set Code for EOAs，eips.ethereum.org。
- Etherscan 地址页 0x28C6c06298d514Db089934071355E5743bf21d60（Binance 14），etherscan.io。
- CoinGecko 以太坊价格与 24 小时涨跌（北京时间 2026 年 10 月 30 日上午）。
- TechCrunch 2019 年 5 月 15 日关于币安被盗约 7,000 BTC 的报道；2025 年 2 月 Bybit 被盗约 15 亿美元的公开报道。
如发现本文事实性错误，欢迎写信至 [email protected]，我会公开更正并署上你的名字。本站所有更正历史在/corrections.html 留有公开档案。