我们能从币安黑客攻击和恢复事件中学到什么？

币安在遭遇63亿美元盗窃案后已开始恢复服务，并动用自有储备金来赔偿客户损失。此次事件的恢复过程为交易所如何审批交易、危机期间的沟通以及如何确保客户能够追回损失提供了宝贵的经验。

要点

• 币安估计 10 月 29 日的热钱包被盗金额约为 63 亿美元。

• 该交易所报告称，在 11 月 3 日扩大提款范围之前，资产替换率达到了 95%。

• 币安 11 月 2 日的储备金验证涵盖了 10 种加密货币，使用的是 10 月 31 日的快照。

• 据币安称，截至10月30日，约有30亿美元资金被冻结。

• 计划于 11 月 4 日对更多代币进行进一步的储备金快照。

币安在宣布已替换了受 10 月 29 日 63 亿美元黑客攻击影响的约 95% 的资产后，扩大了提现范围。

币安11月3日宣布，将于UTC时间04:00开启新一轮提现，具体资产将在完成安全和准备工作后开放提现。充值功能仍然开放，币安重申将承担由此造成的经济损失。

因此，客户面临着两种不同的恢复流程。币安一直在寻找替代加密货币来支持他们的余额，而调查人员和行业合作伙伴则一直在努力追回被攻击者窃取的资产。

恢复提款权限涉及第三项任务：确保发送这些资产的系统能够安全运行。账户余额、储备金快照和已完成的提款分别回答了有关交易所状况的不同问题。

币安黑客事件的影响范围远不止一名员工的笔记本电脑

币安最初暗示，一名工程师的笔记本电脑可能被入侵，从而成为攻击入口。在10月30日的事件更新中，该公司表示，调查人员发现了其他入侵点，但当时没有证据表明钱包私钥已经泄露。

该交易所公布的声明称，热钱包被盗事件发生在 10 月 29 日 UTC 时间 20:05 左右。交易所表示，已控制受影响的基础设施，撤销了授权，并采取了进一步的管控措施，同时调查人员正在努力查明事件经过。

区分窃取密钥和获取使用签名系统的许可，是调查的关键。即使企业从未打算授权转账，交易也可能带有加密有效的签名。

TRM Labs的链上调查追踪了跨10条区块链的资金转移，并估算出被盗资产价值约为63.6亿美元。其研究人员评估认为，跨链活动表明币安的热钱包签名基础设施遭到入侵。

据TRM称，以太坊上的活动涉及50项预先授权，以及一份可以从币安钱包中窃取资产的合约。其他区块链则显示为普通的签名转账，因此，如果仅用以太坊钱包的功能来解释，则部分盗窃事件无法得到解释。

这堂课不仅关乎签名密钥的存储，更关乎围绕签名密钥的权威性。企业必须决定哪些系统可以请求签名，哪些请求需要单独审批，以及如何在异常转账到达区块链之前将其拦截。

NIST的零信任架构将访问视为必须经过身份验证和授权才能访问相关资源的行为。身处公司网络或使用公司拥有的设备本身并不能建立信任。

应用于交易所，该原则将工程师的日常访问权限与转移客户资产的权限区分开来。员工可能需要维护基础设施，但无需拥有不受限制的提款指令、生产凭证或交易审批权限。

币安的完整技术报告需要解释这些边界在攻击期间是如何运作的。目前公布的证据支持了关于签名流程的质疑，但并未完整展现该公司的内部控制机制。

美国联邦调查局（FBI）将这起盗窃案归咎于朝鲜的“交易叛徒”（TraderTraitor）组织于10月31日开展的活动，并称被盗资产主要被兑换成以太币。据美联社11月3日报道，朝鲜否认参与其中。

该机构要求交易所、DeFi 服务商、基础设施运营商和其他公司冻结与已确认的洗钱地址相关的交易。此举旨在阻止数据泄露后被盗资产的转移，与币安对最初入侵事件的调查是分开进行的。

币安如何应对危机和复苏

币安的应对措施包括限制提现、提供替代购买、配合资产冻结以及一系列公开的恢复通知。每项措施都针对不同的燃眉之急，按时间顺序排列便于客户对比公告与后续行动。

币安已预留超过63.4亿美元的公司资源，并表示截至10月30日，已有约50亿美元以相应的加密货币形式持有。币安计划分阶段重启提现，但需通过安全检查。

资产匹配是这项承诺的一部分。持有特定代币的客户有权获得该代币，而交易所可用资源的美元价值只是其购买替代品能力的一个中间指标。

10 月 31 日的补仓通知显示，资金覆盖率达到 90%。币安指定 SAFU（其期货保险基金的一部分）和公司金库为资金来源。

报告称，已确定的10项主要资产均已获得充分支持，而流动性较差、不属于该类别的代币则需要更长时间才能完成收购。收购通过市场和场外交易渠道进行。

截至11月1日，币安报告称已完成95%的代币替换，并在初始恢复阶段重新开放了比特币提现。首批公布的提现计划涵盖了15个网络上的部分代币，而非交易所上架的所有代币。

根据币安官方公布的事件发生时间及其最早计划于11月1日恢复服务的时间，计算得出时长约为57小时55分钟。该计算结果指的是计划恢复服务开始前的时间，而非每位用户受到限制的持续时间。

随后，提现渠道扩展到了不同的网络和资产组合。一种代币在一个网络上可用，但在另一个网络上可能无法使用，因此相关的操作措施是客户所需的特定提现途径。

11月1日的通知称，前一周的需求情况影响了重新开放的命令。通知警告称，交通拥堵可能会造成延误，并建议用户查看所选资产和网络的状态。

11月3日的扩张也采用了同样的策略。币安表示，上线路由将在检查完毕后逐步重新开放，但在此过程中仍可能出现暂时的延迟。

比起交易所发布提款已恢复的统一声明，这种层级的沟通对客户更有帮助。客户需要知道他们的资产是否可以转出，通过哪个网络转出，以及提交的提款请求是否已完成。

NIST的事件响应指南将检测、响应和恢复纳入组织持续的风险管理体系中。恢复服务是事件处理的一部分，同时还包括降低再次发生事件的概率以及改进响应流程。

币安的公告记录了系统替换和重新开放的关键节点。评估其控制此次安全漏洞的有效性，还需要技术时间线，包括何时检测到未经授权的访问、哪些权限被禁用以及如何验证系统恢复情况。

替换资产和追回被盗资金是不同的概念

冻结资产和替代购买都能保护客户，但如果不加以进一步解释，两者不应合并计算在同一个赔偿总额中。冻结资产限制了攻击者对资产的访问；替代购买则提供了资产来偿还客户的债务。

假设一个简化的交易所，100 个代币被盗后，客户仍需获得 100 个代币。如果交易所购买 100 个替代代币，即使调查人员尚未追回任何被盗代币，也能恢复客户的权益。

假设被盗代币中有 40 个被冻结。客户支持的代币数量仍然是 100 个，而不是 140 个。这 40 个被冻结的代币代表着最终有权获得它们的一方可能收回的代币。

如果这40枚代币在客户获得全额赔偿后合法返还给交易所，则可以抵消交易所的部分损失。但同样的代币不能同时作为替代资产和额外的客户赔偿。

币安表示，截至10月30日，通过与执法部门、发行方和其他合作伙伴的合作，已冻结约30亿美元资产。其资产替换计划则独立进行，利用公司资源购买丢失的加密货币。

这些数字的日期、估值假设和用途各不相同。因此，报告中的冻结总额应被描述为在指定时间点被冻结的金额，而替换进度则描述了交易所为恢复资金支持所做的工作。

将 63 亿美元的事件估算值四舍五入到 95% 后，得出 59.85 亿美元，剩余 3.15 亿美元。这只是一个示例计算，并非披露确切的未付账款或逐个代币的短缺情况。

盗窃事件发生后，价格会波动，而且每种代币的剩余价值并不会随其美元价格自动改变。一篮子剩余代币，在某一估值下价值 3.15 亿美元，之后获取所需的价格可能就不同了。

流动性带来了另一个区别。即使代币有报价，也可能没有足够的报价能够立即取代大量持有的代币。

通过场外交易平台购买代币可以从公开订单簿之外的持有者那里获得区块。但这仍然需要卖家自愿，并且需要就数量、结算和价格达成一致；即使有预算，所需的代币也不会自动存入提现钱包。

币安解释说，最后一部分资金的筹集耗时更长，但这一解释应结合其后续的代币覆盖范围和提现更新情况进行评估。真正意义上的完成点应该是相关资产的完全匹配支持和运营权限，而不仅仅是整数美元的承诺金额。

冻结令阻止了所有权归属的最终确定

稳定币发行方有时可以通过管理控制来冻结其代币。而比特币或以太坊等原生代币的发行方则无法采用同样的机制，因为这些资产没有类似的中央发行机构。

Circle 的USDC 条款描述了封禁机制和赎回条件，包括可能阻止赎回的法律限制。根据这些条款，持有代币、冻结代币和确立赎回权是三个独立的步骤。

地址限制可以阻止指定的转账，但它本身并不能确定最终的退款接收人。所有权证明、法律程序以及资产返还安排仍然会影响后续的处理结果。

Arbitrum 在币安事件中采取了不同的干预措施。其安全委员会10 月 30 日的通知称，通过临时合约升级，将 8,425 个 ETH 和 74,559,805.2 个 ARB 转移到了一个持有地址。

该通知明确保留后续行动的权利，需等待 ArbitrumDAO 的治理投票。因此，从与攻击者关联的地址转移出的资产不会自动转移到币安或其客户。

每次干预的范围都需要明确。发行方的代币黑名单、交易所拒绝入账以及网络层面的紧急升级，分别发生在交易路径的不同阶段。

时机可能会影响哪些资产仍然可以交易。如果受限代币已被兑换，冻结原始地址并不会撤销所有交易，也不会自动获取替代资产。

FBI公布的地址清单为洗钱调查中的服务提供商提供了一个共同的参考依据。但这并不意味着每个基础设施运营商都拥有相同的法律或技术能力来阻止资金转移。

对客户而言，实际结果是，宣布冻结资产可能令人鼓舞，但并不代表赔偿已全部完成。下一次报告应明确资产是否已归还、归还给谁、通过何种流程以及归还数量。

币安使用的储备金用途各不相同

SAFU是应急储备金，旨在为用户在特殊情况下提供保障。期货保险基金通常发挥着不同的作用：当抵押品不足时，用于弥补平仓头寸造成的损失。

币安动用保险准备金使得其复苏资金的构成与衍生品交易者息息相关。该公司表示，已动用了超额资源，剩余资金仍能满足其风险管理要求。

保险基金的美元余额并非衡量特定交易者在安全事件发生后将获得多少赔偿的指标。它是交易所清算和损失管理安排的资金支持，并受相关期货产品规则的约束。

一个简化的比较可以更好地说明这些问题。交易所可以在清算储备金低于事件发生前的情况下，替换所有被盗的客户代币，除非它从其他来源补充了这部分储备金。

现货资产恢复的客户将立即获得保障。期货交易者仍需了解破产头寸造成损失时可获得的保护措施。

这两种结果是兼容的。仅通过统计，恢复一个池并不能恢复所有其他构成该池的缓冲区。

币安在10月31日的披露文件中列出了三个资金来源，但并未提供每个来源的具体分配比例。因此，其关于使用公司资金的声明需要结合SAFU和期货储备的单独说明来理解。

公开提取金额、剩余金额和补充计划将有助于更轻松地评估资金影响。此类计划需要包含日期和相关的储备类别，因为单一的汇总余额可能会掩盖不同产品之间的差异。

客户账户验证在此还有另一层限制。币安表示，用户可以通过其储备证明系统验证自己的资产；该系统并非客户对公司期货保险基金的索赔。

承担盗窃损失的承诺意味着币安将损失归咎于自己。解释公司如何支付这笔费用有助于客户区分资产恢复与交易所其他财务保障措施的持续有效性。

币安的保险基金规则解释了清算缓冲不足的运营后果。如果破产头寸的损失超过相关可用资金，则可根据产品的风险安排启动自动去杠杆机制。

ADL的解释描述了一种可以减少对方交易者持仓的机制。这与支付证券事故赔偿金不同，也不应被解释为保证盈利头寸永远不会受到其他交易者破产的影响。

该资金还根据适用的合同安排进行分配。各类资金的总额并不能保证每一美元都可用于每次清算事件。

这就引出了资金用于追回损失后需要进一步披露的问题：剩余资金是否足以覆盖交易所既定框架下的相关产品。仅凭被盗资产的替换比例无法回答这一具体产品的问题。

币安表示，其剩余储备金继续满足所需保障水平。已公布的规则另有规定，如果保险基金低于最低要求，公司需另行补足差额。

储备金核查回答的问题比审计回答的问题范围更窄

币安于 11 月 2 日完成了 10 种主流加密货币的储备金验证，验证所用的快照时间为 10 月 31 日 00:00 UTC。完成的加密证明允许符合条件的用户可以查看其储备金是否包含在内以及该快照所声明的储备金支持情况。

涵盖的资产包括 BTC、ETH、USDT、BNB、SOL、USDC、XRP、USD1、RLUSD 和 ZEC。快照时间点至关重要，因为它先于提现重新开放的后续阶段。

币安在11 月 2 日的更新中宣布，将于 11 月 4 日进行一次涵盖更多代币的快照。生成下一个完整证明预计需要大约 40 到 50 个小时。

因此，发布日期和计量日期需要分开解读。11月2日完成的证明文件描述的是10月31日的财务状况，而不是在每次提款处理过程中持续核实余额。

币安的储备金证明机制解释了账户记录和默克尔树如何帮助用户确认其余额是否已被纳入储备金核算。其零知识机制支持在不公开每个账户余额的情况下进行验证。

当客户需要除公司保证之外的其他证据时，这种核查方式非常有用。它仍然有明确的范围：特定资产、特定账户数据和特定计量时间。

美国公众公司会计监督委员会（PCAOB）的投资者咨询报告警告称，不应将储备金证明报告视为财务报表审计。报告指出，相关程序可能遗漏负债、所有权、借入资产以及评估实体完整财务状况所需的其他信息。

这份警告只是普遍性的，并非认定币安最新的证明是错误的。恰当的比较应该是具体证明所确立的内容，以及读者可能基于其他假设得出的内容。

客户可以询问账户是否包含在内、所选代币是否涵盖以及快照的拍摄时间。评估整个公司需要更多关于债务、限制、资本和恢复所用资源的信息。

此次反应的影响范围已超出币安的提现系统

资金从交易所流出后，在交易所完成初步调查之前，资金可能已经流入其他服务平台。因此，紧急响应可能涉及那些本身并未遭到入侵，但可能接收被盗资产或将其作为抵押品的平台。

LlamaRisk 的Aave 事件报告描述了攻击者集群中的一个钱包在 10 月 29 日 20:58 至 21:01 UTC 期间存入 6000 万 USDT 并借入 19762 WETH。第一次市场冻结发生在 21:42 UTC。

风险提供方表示，该头寸仍处于超额抵押状态，并需按常规程序清算。其声明称，此举为预防性冻结，因为被盗资产可能被兑换成符合贷款协议的其他资产。

交易所暂停提款并不能撤销这笔借款。一旦资金到达其他服务平台，后续处理取决于该平台的权限、抵押规则以及对风险的评估。

因此，需要针对具体行动解读这些单独的通知。币安限制提现和Aave冻结新的借贷活动针对的是不同的交易和不同的客户群体。

企业间的沟通可以明确哪些环节可以进行干预，但这并不意味着它们的权力可以互换。代币发行方可以限制其代币的使用，借贷监管机构可以行使协议权限，而汇总委员会可以使用其治理机构授权的管理工具。

具体限制取决于相关服务的规则。冻结可以阻止新的交易活动，但现有仓位仍保持开放状态，其撤销操作将由授权机构负责。

币安自身的补救措施沟通也吸引了另一类受众：试图区分官方指令和那些提供加速提现服务的个人或实体的用户。币安在其公开声明中警告称，不会出售排队位置，不会收取解锁费，也不会要求用户将资金转移到所谓的安全账户。

这项警告与分阶段重新开放的运作方式密切相关。等待特定代币的客户有理由立即关注更新，而不同网络的代币可用性也可能存在差异。

未经请求的消息会利用这种不确定性，声称客户需要完成额外的步骤。所要求的操作可能是连接钱包、签名或转账，并伪装成恢复流程。

联邦调查局发布的《追债诈骗警示》描述了一些骗局，在这些骗局中，所谓的追债公司会要求预付款，然后消失或提供不充分的追踪材料，之后再索要更多费用。该警示指出，私人追债公司无权签发扣押令。

区块链追踪报告与扣押资产的法律授权是两回事。确定资金去向有助于调查，但这本身并不能强制持有者、发行者或平台转移资金。

美国联邦贸易委员会的退款诈骗指南描述了这种骗局的另一个方面：诈骗分子可能了解之前的损失细节，并利用这些信息使新的诈骗手段听起来可信。熟悉某个事件并不能证明来电者代表的是受影响的公司。

在交易所全面恢复交易期间，公开声明会向所有人提供大部分背景信息。即使无法访问客户账户，也可以将盗窃规模、重新开通日期和受影响资产等信息复制到看似可信的声明中。

客户的实际操作仍然很明确：通过交易所自身的界面检查所选的提现方式，并区分待处理的提现请求和新支付请求。公司公布的重新开户流程应该清楚地说明所需步骤，而无需依赖来自未知中介机构的指示。

因此，清晰的事件沟通不仅能让人安心，还能为客户提供核实请求的依据，尤其是在索赔涉及费用、资格或所谓的赔偿计划时。

撤资公告本身会将用户引导至资产和网络状态页面。公告承诺将逐步恢复运营，但并未公布任何优先购买顺序。

赔偿方案并未解释违规行为是如何发生的

Altcoin Pro联合创始人兼首席研究官Joni Zhuleku在11月2日的一次采访中指出，仅靠赔偿是不够的。他表示，币安需要解释此次故障的原因，并展现出更强有力的管控措施，才能重塑用户信心。

他的立场与客户是否能获得替代资产的问题截然不同。全额赔偿可以解决眼前的资金缺口，但却无法解决未经授权交易的根本原因。

币安已表明其财务实力和对客户的承诺，以此作为消除客户疑虑的理由。据路透社报道，币安首席执行官邓炳强 (Richard Teng) 于 11 月 3 日表示，公司财务状况依然稳健，资金流入和流出已基本恢复正常。

因此，追回损失的证据应包括资产计划的完成情况以及交易授权的变更情况。这两项是独立的索赔，进展速度可能不同。

以太坊的EIP-7702 规范明确指出，已签名的授权可以将账户的行为委托给代码。相关的实现指南警告说，委托可能会使指定的合约控制资产。

对于交易所而言，相关的操作问题是其签名策略允许哪些操作，包括不常见的交易类型和持久性权限。即使系统能够识别普通转账，仍然需要解释那些会改变账户后续操作权限的授权信息。

这项比较并不能确定币安的哪个控制环节出了问题，但它能指出调查人员在结合其他链上的活动重建以太坊交易时，必须考虑哪些权限问题。

披露信息应说明哪些保护性变更立即生效，哪些需要进一步的工程设计。替换凭证、更改审批规则和重建服务是不同的操作，即使它们都以加强安全性为共同目标。

客户可以将最终报告与事件发生期间发布的日期通知进行对比。如果公司修改了早期的解释，最终报告应说明哪些新证据改变了其评估。

币安在10月30日的公告中承诺将发布一份详细的技术报告，涵盖此次攻击、经验教训和安全措施。其下一次公布的储备金快照计划于11月4日发布，预计完整的加密证明还需要40到50个小时才能完成。

本文仅供信息分享，非商业用途，版权归原作者所有。如有侵权请联系删除。内容不构成投资建议。