币安63亿美元劫案：签名系统自己打开的门

凌晨4点20分59秒，一笔以太坊交易完成上链。它没有转账金额，唯一的内容是向币安标记为“Binance 14”的热钱包提交了50条特殊授权。3分24秒后，这个钱包里的167，464枚ETH、16．15亿枚USDT以及63种代币被一扫而空。

40分钟内，约63亿美元资产从八条链上的币安钱包流出。

这是自比特币诞生以来，单起加密交易所遭遇的最大规模资金被盗事件。

真正让人脊背发凉的，不是黑客有多强大，而是币安的签名系统，自己把门打开了。

谁让签名机器签下了死亡订单

攻击者的准备工作早在事发前两天就已开始。链上数据显示，10月28日，攻击者分三次从混币协议Tornado Cash提取小额资金支付手续费。10月29日下午部署了最终版恶意合约，编译于Solidity 0．8．28版本。

晚间至凌晨之间，攻击者用测试钱包将整套流程完整演练了两遍。最后一次收工时，距离正式动手只剩大约3．5小时。

4点05分XRP转出已开始，4点16分Base链出现资金流出。4点20分，那笔关键的以太坊交易完成了上链——同时，18，270枚BTC在一个区块内被转出。

真正的武器是以太坊Pectra升级中引入的新特性EIP－7702。

在传统以太坊架构中，普通外部账户（EOA）和智能合约账户是完全独立的体系。EIP－7702打破了这道界限——允许普通钱包签发特殊授权，把自己代码执行权临时委托给一段智能合约代码。以太坊官方文件明确警告：“授权代码可能拥有对账户的广泛访问权限。”

Binance 14签下了这张授权——50条连续序号的EIP－7702委托覆盖50个Nonce值。攻击者知道热钱包每分钟处理大量交易无法提前锁定哪个Nonce会生效，所以一次性签了50个等命中。一旦生效，黑客就不需要每次都用币安私钥，直接调用合约就能把所有代币转走。

这就是3分24秒扫空资产的完整链路。

问题不在合约，在签名

为什么安防等级最高的交易所热钱包，会用自己的私钥签下50张恶意授权？

币安初步调查指向一名DevOps工程师的笔记本电脑被入侵，攻击者借此访问服务容器并提交未经授权提现交易。公告同时表示“目前没有任何钱包私钥泄露的证据”。

如果攻击者直接持有明文私钥，完全可以自己发起转账，不需要搞这种复杂的授权手段。50个Nonce窗口本身就说明问题。

分析指出，攻击者大概率是将50个32字节摘要提交给了某个内部自动签名系统。这个系统按正常流程签名返回——但它无法区分这些摘要来自正常转账还是EIP－7702授权。因为签名对象只有32个字节，没有收款方、没有金额、没有调用数据，有的只是“链ID、目标合约地址、Nonce”三个字段。

签名机看到的只是一串普通哈希值。它不知道这背后是一张授权委托书。

另一条线索更令人不安：“Binance 14”被清空约24秒后，另一个热钱包“Binance 16”自行签名，向攻击者转出28，005．6枚ETH及约1．08亿美元其他代币。

“Binance 16”没有EIP－7702委托，它的转账是用自己的私钥直接签名发出的。

这意味着同一套签名访问权限覆盖了多个钱包，或者有一笔内部提现被推送到了攻击者地址。无论哪种情形，根源都在于币安的签名或提现基础设施，而非某一把被孤立泄露的私钥。

截至发稿，攻击者身份尚无机构正式认定。币安承诺公布完整事后调查报告。

30亿被冻住，33亿还在跑

数十亿美元在几分钟内被转走，但其中相当大一部分在数小时内被冻结。

Tether冻结超15．67亿枚USDT，CEO Paolo Ardoino称“保护行业和合作伙伴是我们的首要任务”。Circle冻结逾8亿美元USDC，Ripple冻结约2亿美元RLUSD，Arbitrum安全委员会紧急冻结约3050万美元ARB。CZ评价Tether的行动：“救命恩人。”

据路透社，Tether和Circle合计冻结超23．8亿美元。加上其他机构行动，约30亿美元已被冻结。

但冻结只是第一步。TRM Labs全球政策主管、前美国联邦检察官Ari Redbord解释：“冻结阻止了资金转移，但追回需要法律程序。执法机构通常需要法院命令或扣押令才能将冻结资产释放归还受害者。”Chainalysis研究主管Eric Jardine表示：“技术冻结可以很快发生，但归还资金可能需要数月甚至数年。”

比特币和以太坊等没有中心化发行方的资产无法被直接冻结。调查人员只能追踪资金流向，等待其出现在能配合执法的平台上。

链上分析显示，约18，270枚BTC（约14．3亿美元）目前仍完好无损，黑客尚未移动。约37．7万枚ETH分散停放。约33亿美元资产仍处于链上追踪状态。

攻防之间没有永久平衡

2025年2月，Bybit冷钱包遇袭损失约15亿美元，核心手法是通过入侵Safe钱包开发环境诱骗多签审批者批准伪装的恶意交易。Blockaid联合创始人Ido Ben－Natan称此次币安攻击与Bybit事件“非常相似”。

两次攻击共同特征：攻击者没有正面攻破保险柜，而是让签名系统自己打开了门。

更令人警惕的是时间线的压缩——提前48小时完成所有筹备和演练，整个攻击执行集中在不到一小时之内。加密行业安全公司Cyvers CEO Deddy Lavid称，加密行业是“第一个真正感受到AI冲击的市场”。

币安已暂停充提。创始人赵长鹏确认“看起来像是针对币安的黑客攻击”，公司承诺SAFU基金及自有资金兜底。

市场方面，比特币一度跌至6周低点77，646美元，BNB跌幅超8％。

接下来看什么

这起事件暴露出两个关键变化——签名系统安全性正成为比私钥保管更重要的战场，稳定币发行商冻结权力正在成为行业安全网。

有几个指标值得关注：币安SAFU基金动用情况。币安自称储备金规模在10亿至25亿美元区间，若净损失接近63亿美元估算上限则显然不够，需关注是否使用额外赔付。第二，稳定币冻结权力的边界，Tether和Circle展现的强大能力缺乏法律约束，未来是否有监管框架出台将直接影响行业信任结构。第三，EIP－7702主网版本是否完全回滚或打补丁，任何涉及EOA临时授权的代码改动都可能重新引发同类风险。