币安确认被盗 63 亿美金，30 亿已冻结，源于工程师电脑被入侵

编辑 | 吴说区块链、ChatGPT

TL;DR：

· 币安初步调查曾指向 DevOps 工程师电脑疑似受侵，后续又发现额外入侵点。官方称事件涉及多重因素，完整攻击路径及有效签名的产生方式仍待确认。

· 链上有效签名不等于私钥已泄露。攻击者是否滥用了签名服务，以及容器权限如何转化为签名能力，仍待技术复盘确认。

· EIP-7702 被用于批量转币及持续清扫后续入金，但不能解释全部多链异常转移；相关恶意授权已被撤销。

· 币安称已预留超过 63.4 亿美元公司资金覆盖此次事件，其中约 50 亿美元已以对应受影响代币形式持有，其余正通过市场及 OTC 渠道购入。上述资金不包含约 30 亿美元被冻结资产，冻结资产仍待追回及核验。

北京时间 10 月 30 日，币安初步调查称，一名 DevOps 工程师的笔记本电脑可能遭到入侵，攻击者由此获得服务容器的访问权限，并提交未经授权的提现交易，当时尚未发现钱包私钥泄露的证据。后续更新中，币安表示，调查已发现额外的入侵点，并将此次事件描述为一次复杂攻击。

币安另在服务更新中指出，事件涉及多重因素，遭入侵的电脑可能是入侵入口，安全团队正在追查完整攻击路径。这些披露为此前的链上分析补充了内部系统访问层面的线索，但新增入侵点之间的关系，以及攻击者如何取得能够通过链上验证的授权与转账签名，仍未公开。

一、币安公布初步调查：总影响约 63 亿美元，已冻结约 30 亿美元

币安在北京时间 10 月 30 日 10:23 发布的公告中，将此次事件的总影响规模初步估计为约 63 亿美元，并表示已与区块链合作伙伴协作，在链上冻结约 30 亿美元涉事资产。此前，币安公布的已核实冻结总额为 25.4 亿美元。总影响估算并非扣除冻结及追回资产后的最终净损失。

币安最新表示，已预留超过 63.4 亿美元公司资金用于覆盖此次事件，其中价值约 50 亿美元的资金已以受影响的对应代币形式持有。剩余部分正通过市场及场外交易（OTC）渠道购入相应代币，以补足资产缺口。币安称，部分代币流动性较低，加上场外交易结算需要时间，相关购入工作可能耗时更长。

币安强调，上述资金不包括被冻结或受保护的资产。目前约 30 亿美元涉事资产已被冻结，仍需继续追回及核验。平台表示，已开始为用户追回受影响资产，并持续与执法机构、发行方、区块链情报公司及行业伙伴合作，追踪、冻结和追回更多资金。币安将继续使用公司资源覆盖经确认的资产缺口，最终通过储备金证明公开验证用户资金情况。

服务状态方面，币安后续明确表示，充值未受影响，提现仍暂停，团队正在对提现服务及相关地址进行安全整改。最新调查更新称，暂停提现后，相关资金流出已经停止，提现服务预计在该声明发布后的 45 小时内恢复。

关于攻击原因，币安目前披露了工程师电脑疑似受侵、服务容器访问权限及未经授权提现等线索，并确认发现额外入侵点。但电脑如何遭到入侵、容器具有什么权限，以及不同入侵点如何共同构成攻击路径，尚待完整技术复盘说明。

币安联席 CEO Richard Teng 在最新视频声明中表示，此次事件受影响的是币安自有热钱包，币安从未动用客户资金，因此客户资金未受影响。币安绝大部分用户资产存放于冷钱包，仅在用户发起提现时转入热钱包。Teng 还表示，此次攻击并非一人所为，攻击者使用了自毁机制，在行动过程中销毁工具及痕迹，增加了追踪和调查难度。

二、从容器访问权限到有效签名，中间还缺少什么？

据 Blockaid 分析，Binance 14 的 EIP-7702 授权包含可通过该钱包地址验证的有效签名。授权生效后，攻击者通过恶意委托代码转移资产。其他多个热钱包也发出了带有各自有效签名的普通转账。这些链上记录提出了一个关键问题：攻击者如何取得这些有效签名？

有效签名本身并不能证明私钥已经泄露。攻击者直接取得私钥，或在无法读取私钥的情况下滥用有权请求签名的系统，都可能产生有效签名。仅凭链上记录，通常无法区分这两种情况，还需要结合内部系统日志、权限配置及签名请求记录调查。

币安此前公告称，工程师电脑疑似遭入侵后，攻击者获得了服务容器访问权限，并提交未经授权的提现交易。币安 Sisi 随后解释，员工电脑遭入侵只是攻击起点，并非攻破单一设备或利用某位工程师的权限即可完成资金转移，实际涉及更复杂的攻击过程。目前调查尚未将责任归因于任何个人，也未发现钱包私钥泄露的证据。币安后续进一步披露，调查已发现额外入侵点，但尚未公开其具体位置及相互关系。

这些披露仍未解释内部访问权限如何转化为链上签名。攻击者是否通过服务容器进一步调用了签名服务、是否绕过了审批或策略检查，是需要调查的方向，尚不能写成已确认的攻击路径。额外入侵点的存在，也意味着“电脑受侵—容器访问—签名服务被滥用”这一推测可能只涉及部分过程，甚至仍需根据后续取证调整。

Cobo 联合创始人神鱼此前的第三方分析，将可能原因指向私钥或签名系统安全问题，并认为尚无证据表明由智能合约漏洞直接导致。币安目前披露的内部访问线索尚不能确认这一判断。调查仍需厘清有效授权与转账签名如何产生，以及不同钱包、不同链上的异常操作是否涉及共同的访问或签名权限。

三、EIP-7702 的作用：获得授权后，批量转币并持续清扫

EIP-7702 解释的是恶意授权生效后，攻击者如何操作 Binance 14。它允许普通外部账户通过签署授权，将账户的代码执行委托给指定合约，用于批量操作、代付手续费等功能。若账户接受的是恶意合约，同样的执行能力也可能被用于转走资产。

据 Blockaid 分析，此次攻击者提交了一组对应不同账户交易序号的授权，最终有一份匹配成功，使恶意委托生效。这一操作解决的是授权与账户执行状态的匹配问题，前提仍是攻击者已经取得有效签名，不能据此解释最初的入侵来源。

委托生效后，攻击者可以调用恶意合约批量转出 ETH 和多种代币，而不必为每种资产分别取得新的钱包签名。更重要的是，EIP-7702 委托不会随单笔交易结束而自动消失。据 Blockaid 记录，攻击者在首次清扫后，又转走了后续进入 Binance 14 的资产；这说明清空余额并不等于解除对该地址的持续影响。

慢雾创始人余弦的第三方观点是，攻击者选择 EIP-7702，主要是为了方便批量清扫热钱包代币，机制本身没有问题；即使没有这一机制，也存在其他方式实现类似操作。按这一判断，调查重点仍应回到恶意授权如何被签出，而不是仅凭使用了 EIP-7702 就认定协议存在漏洞。

不过，仅凭 Binance 14 上的 EIP-7702 委托，无法解释其他链上钱包的异常转移。Blockaid 观察到，其他多个热钱包采用的是普通转账。因此，Binance 14 的委托授权与其他钱包的转账签名，需要分别追查，并核实它们是否涉及共同的内部访问或签名权限。

据 Bitquery 的链上调查，Binance 14 于北京时间 08:10 清除了 EIP-7702 委托；币安随后也确认已撤销受影响地址的授权。清除委托可以解除该地址上的持续执行权限，但不能替代对内部系统及其他钱包的安全检查。

四、资金处置进展：资产冻结、兑换与转移

币安公布约 30 亿美元统一冻结总额的同时，各方也披露了具体处置进展。Arbitrum 安全委员会将涉事地址中的约 7,456 万枚 ARB 和 8,425 枚 ETH 转移至中间冻结钱包，ZachXBT 将这批资产估值为约 3,050 万美元；据 Specter 监测，First Digital 已将一个持有约 340 万枚 FDUSD 的攻击者地址列入黑名单。这些分项是否已计入统一冻结总额，尚无完整明细，不能另行累加。

此前链上监测还披露了攻击者兑换及转移资产的情况。Lookonchain 披露，UNI、ENA、PEPE、LINK、AAVE、ONDO 和 WLD 七种代币已被售出，合计换得 70,480 枚 ETH，当时价值约 1.5825 亿美元。Onchain Lens 监测到逾 10 亿美元 ETH 向新钱包转移，并披露攻击者开始出售 STRK。其关于准备使用混币工具的判断仍属推测，相关转账尚不能证明资金已经进入混币器。

LlamaRisk 进一步披露，涉事地址曾向 Aave 存入约 6,000 万枚 USDT，并借出 19,762 枚 WETH，该仓位在其评估时仍有足额抵押。Aave 已对 V3、V4 合计 292 个资产储备采取冻结措施，暂停新增存款和借款；还款、提款及清算继续运行，提款仍须满足市场流动性和账户健康度等条件。

与此同时，智能合约工程师 Justin Kalland 根据相关交易特征推测，攻击者关联地址可能使用了 MetaMask Gas Station，相关操作或为调查提供链下日志线索。但相关记录是否存在、能否用于识别攻击者，仍未确认。

完整技术复盘仍需厘清：电脑最初如何遭到入侵，新增入侵点分别位于何处、与受侵电脑有何关系，服务容器具有什么权限，以及攻击者如何取得有效授权与转账签名。对于多个钱包、不同链上的异常操作，也需要进一步确认其是否具有共同入口，以及现有权限和审批机制为何未能阻止相关操作。这些问题的答案，才能将币安披露的内部调查线索与已经观察到的链上行为连接起来。