作者：Beosin
2026年10月29日晚（北京时间30日凌晨4时许），全球最大加密货币交易所币安的多个热钱包出现异常大额转出。事件涉及以太坊、比特币、波场等多条链，截至目前，估算总流出金额约63亿美元，数字仍在变动。事发后，币安紧急暂停多网络提现及 Binance Alpha交易，并声明用户资金完全安全。
Beosin对此次重大安全事件的攻击流程和主要被盗资金流向进行了分析，结果如下。
一、完整时间线复盘
准备阶段：提前36小时布局
10月28日：攻击者发起攻击交易的地址为0x7c8601d4645b93cea45f71e118a729332e6b5ca0，其资金来源于Tornado Cash，分三笔提取少量ETH作为gas费。
10月29日下午：部署了专门的清扫（sweeper）合约，并用测试钱包完成了两次演练。最后一次演练距正式攻击仅3.5小时；攻击者预先准备好一份覆盖64种代币的转移清单。
攻击阶段：获得 EIP-7702 授权
04:20：一笔交易携带50个覆盖连续nonce的EIP-7702授权签名上链，授权人正是币安14热钱包，且签名全部由该钱包自身私钥完成。连续nonce盲狙的设计，确保即使钱包nonce快速漂移，也总能命中一个有效授权。
https://etherscan.io/tx/0xad99264d5532ae0dd04b2004eebda05f25657e70dacb764f7ac8d4ccd051298b
04:24：开始资金转移。Binance14单笔转出16.7万枚ETH（约25亿美元）+ 16.15亿USDT+60余种代币（含RLUSD、wBETH、UNI、ENA、PEPE、LINK、AAVE 等），钱包被清空至仅剩1ETH。
https://etherscan.io/tx/0x53bd38b816c23e74134786c29a8c18d792777998a3b9326047b583100e88e2f3
04:24:47：24秒后，Binance16热钱包直接用自身私钥签名，转出2.8万枚 ETH至同一接收地址。
04:41：攻击者借Binance14尚未撤销的委托权限，指令其控制的USDC 合约钱包转出8.23亿美元USDC，后续又有数千万美元流出。
12分钟内，超10个币安热钱包在以太坊、Bitcoin、Tron、Arbitrum、Avalanche、Optimism、Base 等多条链上向同一地址转入资金。
二、被盗资金流向分析
Ethereum
攻击者在Ethereum上的资金归集地址为 0x5227f603C1eE34CE3C06eFe6477003BDfCCB2f8c，随后攻击者开始将资金分批分散转移。在转移过程中，USDT被冻结约13.8亿，USDC被冻结约8.2亿。
被盗的Ethereum生态代币如UNI、ETHERFI、EIGEN、PEPE被攻击者兑换成ETH进一步转移。目前资金主要沉淀至：
0x897c80d1a9729e94460e2bd93178bd5215158df3 （78,415.25 ETH）
0xc887af690e0301cd4edbbce8f8d31b4ec65b286a（137,602 ETH）
0x8532fa14acaf483729c449b8458aeddb900543d4（197,460 ETH）
0x79e70d139fc05aa75f75611fdf2680e9952b544a（19,740 ETH）
Bitcoin
Bitcoin网络被盗18,270.2 BTC。攻击者正分散转移被盗的BTC，目前资金主要以1000 BTC的规模分布在多个新地址，未有进一步的转移：
bc1q0ts8gaf9ht0rr4u02hr56f8thndqsc4kmkmfv3
bc1qjwdw6vrzq4vf6hckutvx4ucj86awwv99mxnz7w
bc1qxrxujwxfnvz040jw76d26zhjdg5jura7hs968s
bc1qs3aej5tmcdz0vctz8y9rjcxtxg8v5385577s56
bc1qnq6jj9jmlf3945m3l8s0kxnqehrsga300k8t3s
bc1qdfhmlrdvg4tm87zjl0vyf0xflp5ql50q3g88gw
bc1q63qrfrpsg5hh0zzn3kp2xx9vljl7dq7tatsjxp
bc1qs6xnmhar38z44g2za93pv8ygdcwurrh8l87w3v
bc1qm8v88m5fy6kuq9myva2eemwycxqd3e0zcrs2l8
bc1q42flhayrzy3zh8lkyevw8qcjduurt9a35wlsyx
bc1qepc70u3u476vgvg3hfcwjgu4mecxe2uchs4lag
bc1qg3nrzpuvq2pxqx74tcrywr09dc208ze96n3t53
bc1qm2j6v3247khlwzxl7p9vqnfkghcllyhv9wjaat
Tron & Ripple
Tron网络被成功冻结的USDT约3.8亿，被盗的46,394,098 TRX在分散至多个地址后，正在被攻击者持续转移至新地址。
Ripple网络被盗233,461,943.1 XRP，仍沉淀在地址rK21t6nGLy4MNDqhvy3pGwcLFy25qgfzMx，未有进一步的转移。
截至发稿，事件仍在持续调查当中，攻击漏洞根因、黑客团伙身份、最终流失资产总额尚未完全定论。Beosin将与行业各方协作，持续追踪分散在不同公链的被盗资金。目前，所有相关地址已被Beosin标记并被持续监测。Beosin KYT和Trace将继续监控相关黑客地址的活动并追踪资金流向。
