2026年10月30日，Binance正式确认发生重大安全事件，预计涉及资产总额约63亿美元。目前约30亿美元相关资产已在链上被冻结。
Binance初步调查显示，事件可能源于一名DevOps工程师的笔记本电脑被入侵。攻击者由此进入相关服务容器，并提交未经授权的提款交易。目前没有证据显示Binance钱包私钥被直接泄露。
Binance已经暂停充值和提现，撤销受影响地址的相关授权，并联合执法机构、稳定币发行方和区块链安全机构追踪资金。平台表示，全部损失将由SAFU用户安全资产基金和公司资金承担，用户资金安全。
10月28日：攻击者开始准备
根据安全机构Blockaid的链上分析，攻击者从10月28日起通过Tornado Cash获取初始资金。
随后，攻击者在自己控制的三个钱包中测试“授权、委托和资金清扫”流程，每次仅转移2至6美元，以验证攻击方案能否正常执行。
10月29日23:59：恶意清扫合约部署
北京时间10月29日23:59，攻击者部署了一份未经验证的智能合约。
该合约能够转移指定代币及钱包中的ETH，并将资产统一发送至攻击者控制的地址。
主要攻击地址为：
0x5227f603C1eE34CE3C06eFe6477003BDfCCB2f8c
该地址后来被Etherscan标记为Binance热钱包攻击地址。
10月30日04:20：攻击者提交50份EIP-7702授权
北京时间10月30日04:20:59，攻击者向Binance主要以太坊热钱包“Binance 14”提交了一笔EIP-7702类型交易。
该交易包含50份授权，覆盖50个不同Nonce值。由于Binance 14当时仍在处理正常提款，攻击者无法准确预测钱包的实时Nonce，因此采用批量提交方式。
最终，一份授权成功匹配，Binance 14被委托给攻击者部署的清扫合约。
04:24：约25亿美元在一笔交易中被转走
授权生效约3分24秒后，攻击者调用清扫合约，从Binance 14转走：
- 约167,464枚ETH；
- 约16.15亿USDT；
- 约60种其他ERC-20代币。
按当时市场价格计算，这笔交易价值约25亿美元。交易完成后，Binance 14仅剩约1枚ETH。Blockaid技术记录
04:24：第二个Binance热钱包转出资产
首笔清扫发生24秒后，“Binance 16”向同一攻击地址转入：
- 28,005.6枚ETH；
- 5,570万USDT；
- 2,590万RLUSD；
- 84.5枚WBTC；
- 多种其他代币。
该钱包没有使用EIP-7702委托，相关资产通过钱包自身签署的普通交易转出。
04:25至04:36：多条区块链同步出现异常转移
随后约12分钟内，多个Binance关联热钱包出现异常交易，涉及Ethereum、Bitcoin、Tron、Optimism、Arbitrum和Avalanche等网络。
公开统计包括：
- Optimism：约4,420万枚OP；
- Arbitrum：约7,460万枚ARB和8,426枚ETH；
- Avalanche：约181万枚AVAX和841万USDT；
- Bitcoin：大量BTC被转入攻击者关联地址；
- Tron：大量稳定币被转移。
Blockaid统计的多链异常流出至少约55亿美元。Arkham追踪的攻击地址集群资产一度达到约57.8亿美元。
04:41：约8.23亿USDC被转走
攻击者随后利用仍处于委托状态的Binance 14，调用由其控制的Binance关联智能账户，先后转走：
- 约7.8亿USDC；
- 约4,300万USDC。
两笔合计约8.23亿USDC。
04:58至05:01：攻击者使用Aave转换资产
资金转出后，攻击者开始将资产分散至多个新钱包，并通过去中心化交易所、聚合器、跨链工具和借贷协议处理资产。
其中一个关联地址向Aave V3存入6,000万USDT，并借出19,762枚WETH，当时价值约4,460万美元。
攻击者还将部分UNI、LINK、AAVE等代币兑换为ETH。Aave风险团队记录
05:16：Binance首次公开回应
北京时间约05:16，Binance在官方渠道表示，团队已注意到潜在安全事件，正在展开紧急调查，并强调用户资金安全。
CZ随后在X表示，该事件看起来确实是一次针对Binance的黑客攻击，并预计所有用户资金将得到全额覆盖。
Binance联合创始人何一表示，平台将承担黑客事件造成的全部损失。
05:42之后：稳定币发行方开始冻结资产
Binance随后与稳定币发行方、区块链项目、安全机构和执法部门合作，对攻击者控制的资产进行冻结。
目前公开的冻结行动包括：
- Tether冻结约15.67亿USDT；
- Circle冻结约8亿至8.23亿USDC；
- Ripple冻结约2亿美元相关资产；
- World Liberty Financial冻结约2,700万美元USD1；
- Arbitrum安全委员会限制约3,050万美元相关资产；
- 其他部分稳定币及代币也受到限制。
Binance最新公布的链上冻结总额约为30亿美元。
冻结意味着攻击者暂时无法继续转移或使用相关资产，但资产最终返还仍需发行方、执法机构和司法程序配合。
05:44：攻击者再次清扫Binance 14
由于Binance 14的恶意委托当时尚未被撤销，首轮攻击后继续转入该地址的资产仍可被攻击者控制。
北京时间约05:44，攻击者再次从Binance 14转走：
- 约2亿USDT；
- 另外13种代币。
公开链上记录显示，Binance随后撤销了该地址的EIP-7702授权。
Binance公布初步调查结果
Binance在最新官方回应中表示，初步调查认为：
- 一名DevOps工程师的笔记本电脑可能遭到入侵；
- 攻击者由此进入相关服务容器；
- 攻击者提交了未经授权的提款交易；
- 暂未发现钱包私钥直接泄露的证据；
- 事件预计总影响约63亿美元；
- 目前约30亿美元资产已在链上被冻结。
这意味着EIP-7702是攻击者控制Binance 14的链上执行方式，但最初入侵入口可能位于Binance内部运维设备及服务环境。
Binance表示将在调查完成、事实得到充分验证后，发布详细技术复盘。Binance官方回应
Binance采取的处置措施
事件发生后，Binance已经：
- 暂停平台充值和提现；
- 撤销受影响地址的恶意授权；
- 对钱包及相关系统进行安全检查；
- 与稳定币发行方和区块链项目合作冻结资产；
- 联合区块链情报机构追踪资金；
- 联系执法机构调查攻击者身份；
- 承诺由SAFU基金和公司资金承担全部损失；
- 计划在修复完成后发布新版储备证明。
63亿美元是否等于最终损失？
不是。
63亿美元是Binance目前公布的事件预计总影响规模，其中包括多个网络、多个热钱包和多种数字资产的异常转移。
目前约30亿美元已经被冻结，剩余资产仍在追踪。因此，最终不可追回的净损失尚未确定。
按总影响规模计算，该事件已经超过2025年Bybit约15亿美元被盗案，成为目前加密行业规模最大的单次黑客安全事件。
当前进展
截至发稿：
- Binance用户账户余额未被扣减；
- Binance承诺承担全部损失；
- 充值和提现仍处于暂停或逐步检查状态；
- 约30亿美元资产已经被冻结；
- 攻击者身份尚未确认；
- 最终追回金额尚未确定；
- 完整技术复盘尚未发布；
- 更新版储备证明仍待公布。
本文根据Binance官方声明、公开链上交易记录及Blockaid、Arkham、Aave风险团队等机构的现阶段信息整理。事件仍在调查，相关数据可能继续更新。
