币安公布 63.4 亿美元被盗案初步报告：数月潜入、4 分钟转走 2.33 亿枚 XRP
要点
- 报告本身：币安 11 月 3 日发布初步事件报告（主编独立打开币安官方原文核对）：这是一场准备数月的多阶段攻击，不是单次钓鱼；报告为初步结论，币安称将聘请独立专家复核、接受外部评估。
- 潜入链条：6 月，钱包运维工程师搜索 AI 编程工具时下载了被篡改的 Homebrew 安装包（币安称已发现并换机、轮换凭证，但攻击者借此摸清了钱包团队的人员构成）；9 月，另一名工程师在招聘平台被冒充的项目总监以假面试诱骗，下载含恶意代码的“编程作业”；10 月 20 日，攻击者经该工程师的电脑与内部 AI 工具控制了另外两名工程师的电脑，拿到容器部署凭证。
- 作案当日：10 月 29 日 17:15–19:56 UTC，攻击者用被盗凭证部署恶意容器、进入内部钱包签名服务；20:05–20:09 UTC，五个热钱包 4 分钟内转出 2.3346 亿枚 XRP；随后约 97.05 万枚 SOL、4420 万枚 OP 与 18,270 枚 BTC 陆续被转走；最后一笔未经授权转账为 23:56 UTC 的 2,961.9 枚 ETH，整个盗取过程约 4 小时。
- 为何暂停提现没能叫停：攻击者预先通过 EIP-7702 授权把部分执行权委托给自己控制的智能合约（提交 50 笔签名交易操纵账户 nonce），暂停提现只停正常通道、不影响链上已设授权；热钱包用多方计算、无单一私钥可立即撤销，币安被迫新建撤销流程，10 月 30 日 00:10 UTC 才清除涉事钱包上的恶意授权。
- 损失与补足：损失总额约 63.4 亿美元；约 28.5 亿美元已被冻结或拦截（币安称该数字会随对账与币价波动调整）；截至 10 月 31 日约 98% 的受影响资产已由币安自有资金补足，剩余低流动性代币仍在买入；被盗的 2.3346 亿枚 XRP 已于 11 月 2 日被分拆至 7 个新账户（CoinOTAG 11 月 5 日据链上追踪报道）；FBI 10 月 31 日已将案件归因于朝鲜 TraderTraitor 组织（执法判断，非法院定罪）。
通俗解读
简单说，这次不是钱包私钥被偷，而是一场准备了约四五个月的“潜入”：攻击者先骗工程师装了带毒的软件、拿到内部操作凭证，再绕过正常的提现流程、直接让钱包的“签名服务”替他们签字转钱。EIP-7702 是以太坊上的一种新功能，本意是让钱包更好用，但攻击者利用它提前拿到转账授权，所以交易所按下“暂停提现”也没能立刻叫停。28.5 亿美元被冻结的意思是这部分赃款被各家机构联手拦下、暂时动不了，但不等于已经追回、更不等于回到了用户手里；98% 已补足是指币安用自己的钱先把用户资产的账面补上了，用户提现恢复靠的是这笔垫付。对普通人而言：这份报告回答了“钱是怎么丢的”，但“剩下的赃款能不能追回、责任如何认定”仍要等外部评估与执法进展；此前已上站的提现恢复与储备证明两条线不受本报告影响，继续按原计划推进。
接下来盯什么
- 独立专家的外部评估结论与完整技术事后报告持续跟
- 剩余约 2% 低流动性代币的收购进度持续跟
- 11 月 4 日快照的完整零知识储备证明（预计 11 月 6–7 日可见）11-04
- 执法部门对赃款去向的进一步披露持续跟
来源：币安官方初步事件报告《October 29 Security Incident: Preliminary Findings and Response Update》（2026-11-03，主编独立打开官方原文核对）；Datafloq、TheStreet、CoinOTAG 转述与链上追踪（检索核对）。本文所列数字均以来源原文为准；如有更正，见文末更正记录。