Binance遭遇史上最大黑客事件：63亿美元安全事件全流程梳理

2026年10月30日，Binance正式确认发生重大安全事件，预计涉及资产总额约63亿美元。目前约30亿美元相关资产已在链上被冻结。

Binance初步调查显示，事件可能源于一名DevOps工程师的笔记本电脑被入侵。攻击者由此进入相关服务容器，并提交未经授权的提款交易。目前没有证据显示Binance钱包私钥被直接泄露。

Binance已经暂停充值和提现，撤销受影响地址的相关授权，并联合执法机构、稳定币发行方和区块链安全机构追踪资金。平台表示，全部损失将由SAFU用户安全资产基金和公司资金承担，用户资金安全。

10月28日：攻击者开始准备

根据安全机构Blockaid的链上分析，攻击者从10月28日起通过Tornado Cash获取初始资金。

随后，攻击者在自己控制的三个钱包中测试“授权、委托和资金清扫”流程，每次仅转移2至6美元，以验证攻击方案能否正常执行。

10月29日23:59：恶意清扫合约部署

北京时间10月29日23:59，攻击者部署了一份未经验证的智能合约。

该合约能够转移指定代币及钱包中的ETH，并将资产统一发送至攻击者控制的地址。

主要攻击地址为：

0x5227f603C1eE34CE3C06eFe6477003BDfCCB2f8c

该地址后来被Etherscan标记为Binance热钱包攻击地址。

10月30日04:20：攻击者提交50份EIP-7702授权

北京时间10月30日04:20:59，攻击者向Binance主要以太坊热钱包“Binance 14”提交了一笔EIP-7702类型交易。

该交易包含50份授权，覆盖50个不同Nonce值。由于Binance 14当时仍在处理正常提款，攻击者无法准确预测钱包的实时Nonce，因此采用批量提交方式。

最终，一份授权成功匹配，Binance 14被委托给攻击者部署的清扫合约。

04:24：约25亿美元在一笔交易中被转走

授权生效约3分24秒后，攻击者调用清扫合约，从Binance 14转走：

约167,464枚ETH；

约16.15亿USDT；

约60种其他ERC-20代币。

按当时市场价格计算，这笔交易价值约25亿美元。交易完成后，Binance 14仅剩约1枚ETH。Blockaid技术记录

04:24：第二个Binance热钱包转出资产

首笔清扫发生24秒后，“Binance 16”向同一攻击地址转入：

28,005.6枚ETH；

5,570万USDT；

2,590万RLUSD；

84.5枚WBTC；

多种其他代币。

该钱包没有使用EIP-7702委托，相关资产通过钱包自身签署的普通交易转出。

04:25至04:36：多条区块链同步出现异常转移

随后约12分钟内，多个Binance关联热钱包出现异常交易，涉及Ethereum、Bitcoin、Tron、Optimism、Arbitrum和Avalanche等网络。

公开统计包括：

Optimism：约4,420万枚OP；

Arbitrum：约7,460万枚ARB和8,426枚ETH；

Avalanche：约181万枚AVAX和841万USDT；

Bitcoin：大量BTC被转入攻击者关联地址；

Tron：大量稳定币被转移。

Blockaid统计的多链异常流出至少约55亿美元。Arkham追踪的攻击地址集群资产一度达到约57.8亿美元。

04:41：约8.23亿USDC被转走

攻击者随后利用仍处于委托状态的Binance 14，调用由其控制的Binance关联智能账户，先后转走：

约7.8亿USDC；

约4,300万USDC。

两笔合计约8.23亿USDC。

04:58至05:01：攻击者使用Aave转换资产

资金转出后，攻击者开始将资产分散至多个新钱包，并通过去中心化交易所、聚合器、跨链工具和借贷协议处理资产。

其中一个关联地址向Aave V3存入6,000万USDT，并借出19,762枚WETH，当时价值约4,460万美元。

攻击者还将部分UNI、LINK、AAVE等代币兑换为ETH。Aave风险团队记录

05:16：Binance首次公开回应

北京时间约05:16，Binance在官方渠道表示，团队已注意到潜在安全事件，正在展开紧急调查，并强调用户资金安全。

CZ随后在X表示，该事件看起来确实是一次针对Binance的黑客攻击，并预计所有用户资金将得到全额覆盖。

Binance联合创始人何一表示，平台将承担黑客事件造成的全部损失。

05:42之后：稳定币发行方开始冻结资产

Binance随后与稳定币发行方、区块链项目、安全机构和执法部门合作，对攻击者控制的资产进行冻结。

目前公开的冻结行动包括：

Tether冻结约15.67亿USDT；

Circle冻结约8亿至8.23亿USDC；

Ripple冻结约2亿美元相关资产；

World Liberty Financial冻结约2,700万美元USD1；

Arbitrum安全委员会限制约3,050万美元相关资产；

其他部分稳定币及代币也受到限制。

Binance最新公布的链上冻结总额约为30亿美元。

冻结意味着攻击者暂时无法继续转移或使用相关资产，但资产最终返还仍需发行方、执法机构和司法程序配合。

05:44：攻击者再次清扫Binance 14

由于Binance 14的恶意委托当时尚未被撤销，首轮攻击后继续转入该地址的资产仍可被攻击者控制。

北京时间约05:44，攻击者再次从Binance 14转走：

约2亿USDT；

另外13种代币。

公开链上记录显示，Binance随后撤销了该地址的EIP-7702授权。

Binance公布初步调查结果

Binance在最新官方回应中表示，初步调查认为：

一名DevOps工程师的笔记本电脑可能遭到入侵；

攻击者由此进入相关服务容器；

攻击者提交了未经授权的提款交易；

暂未发现钱包私钥直接泄露的证据；

事件预计总影响约63亿美元；

目前约30亿美元资产已在链上被冻结。

这意味着EIP-7702是攻击者控制Binance 14的链上执行方式，但最初入侵入口可能位于Binance内部运维设备及服务环境。

Binance表示将在调查完成、事实得到充分验证后，发布详细技术复盘。Binance官方回应

Binance采取的处置措施

事件发生后，Binance已经：

暂停平台充值和提现；

撤销受影响地址的恶意授权；

对钱包及相关系统进行安全检查；

与稳定币发行方和区块链项目合作冻结资产；

联合区块链情报机构追踪资金；

联系执法机构调查攻击者身份；

承诺由SAFU基金和公司资金承担全部损失；

计划在修复完成后发布新版储备证明。

63亿美元是否等于最终损失？

不是。

63亿美元是Binance目前公布的事件预计总影响规模，其中包括多个网络、多个热钱包和多种数字资产的异常转移。

目前约30亿美元已经被冻结，剩余资产仍在追踪。因此，最终不可追回的净损失尚未确定。

按总影响规模计算，该事件已经超过2025年Bybit约15亿美元被盗案，成为目前加密行业规模最大的单次黑客安全事件。

当前进展

截至发稿：

Binance用户账户余额未被扣减；

Binance承诺承担全部损失；

充值和提现仍处于暂停或逐步检查状态；

约30亿美元资产已经被冻结；

攻击者身份尚未确认；

最终追回金额尚未确定；

完整技术复盘尚未发布；

更新版储备证明仍待公布。

本文根据Binance官方声明、公开链上交易记录及Blockaid、Arkham、Aave风险团队等机构的现阶段信息整理。事件仍在调查，相关数据可能继续更新。