16:0510 月 29 日
XRP Ledger 上出现第一笔转出
TRM Labs 记录的起点。Chainalysis 把时间定在稍晚的 16:20 左右——两家机构对第一笔的判定差了一刻钟，但对总时长没有分歧。
币安热钱包被盗 · 2026-10-29 16:05 ET 起，约 20 分钟
攻击者让交易所自己的热钱包签了字：五十份预先备好的授权，一份恰好对上，三分钟零二十四秒后，钱包把全部余额交给了对方。没有私钥泄露，没有暴力破解。
冻结 30.0 + 仍在手 33.3 = 63.3，余下 0.3 亿仍在链上流转或统计口径不同 · 来源
时间均为美东时间（ET）。从 XRP Ledger 上第一笔异常，到币安撤掉黑客权限，前后五个小时；真正搬走钱的部分，只有二十分钟。
TRM Labs 记录的起点。Chainalysis 把时间定在稍晚的 16:20 左右——两家机构对第一笔的判定差了一刻钟，但对总时长没有分歧。
以太坊与比特币上的热钱包同时被抽走资金。事后统计，全部损失约 63.6 亿美元，分散在十条链上。
其中包括 16.15 亿枚 USDT 和另外 63 种代币。单笔就超过 25 亿美元，是整起事件里最大的一次资金移动。
币安另一个钱包 Binance 16 的 28,005.6 枚 ETH 也在同一轮被转走。约十五分钟后，195,460 枚 ETH 被转进第二个地址。
17:01 冻结涉事钱包，Circle 三分钟后跟上；18:06 Tether 把币安热钱包本身也拦下，Circle 在 19:53 做了同样的事。稳定币发行方能在几分钟内按住这些钱，原生 BTC、ETH 不能。
第一轮清空之后四十五分钟，攻击者又处理了两条链，并在 19:56 做了最后一笔以太坊转账。
此时距第一笔已经四个多小时。币安当天宣布：暂停充提，损失由 SAFU 与自有资金承担，用户资金不受影响。
洗钱从当晚开始。Chainalysis 记录到数千笔极短时间内的转账，地址之间反复倒手，中间夹着大量只收到 1 枚 TRX 的小钱包——脚本在跑，不是人在搬。
63 亿美元里，约 30 亿是稳定币，能被发行方直接冻结；剩下的是 BTC、ETH 和一堆山寨币，任何人都按不住。这是整起事件最讽刺的地方：能冻住，恰恰因为不够去中心化。
按链统计被盗金额 · 单位：美元 · 数据：维基百科汇总 CNBC / TRM 分链口径
以太坊 2025 年升级引入的 EIP-7702，本意是让普通钱包临时"兼职"成一个智能合约账户。它也让一笔签名，可以把钱包的执行权整个交出去。
币安最初的判断是：一名开发运维工程师的笔记本电脑被入侵，攻击者据此进入某个服务容器，提交未经授权的提现。后续调查发现"更多入侵点"。
据 Sky News，攻击在动手前至少准备了 36 小时以上；TRM 说，这种"先布置、再一次性执行"的节奏，与 2025 年 Bybit、2026 年 4 月 KelpDAO 的手法是同一个模子。
20:20 UTC，操作者提交了一笔交易，里面塞着 50 份 authorization，每一份都由币安热钱包签名，每一份都指向只认操作者指令的 sweeper 合约。
每份授权只在钱包当时的 nonce（交易计数）上有效。热钱包每天都在处理提现，计数一直在走；预先签下连续的 50 个，只要有一个在执行瞬间对上就够了。
3 分 24 秒后，操作者让热钱包把余额全部发给攻击者地址。EIP-7702 的委托让这套流程绕开了币安正常的审批链条。
币安联席 CEO 邓伟政说，攻击者使用了"自毁机制"，工具和痕迹在行动过程中被删除。至今没有发现任何钱包私钥泄露的证据。
示意图，非真实地址与交易截图。流程依据 The Hacker News 对链上数据的技术复盘。
"攻击者没有破解加密，也没有窃取私钥。他们控制了那个指示密钥签署什么的系统。"
— Check Point 专家 Jayant Dave，转述自 BBC 中文
币安说损失自己扛：90% 已用自有资产补足，十大币种 100% 背书。11 月 1 日下午起分阶段恢复提现，头九个半小时净流出 36.4 亿美元。
币安动用的是 SAFU（用户安全资产基金）、部分期货保险基金、比特币储备和公司金库。SAFU 会被补回约 10 亿美元规模。 公司口径是"币安承担这笔损失，不是用户"。这句话能不能兑现，11 月 3 日的加密证明会给出第一个可核对的答案。
TRM Labs 与 Chainalysis 都以"高置信度"把事件归给 TraderTraitor——朝鲜 Lazarus 体系下的行动组。10 月 31 日晚，美国联邦调查局表示已认定朝鲜对此负责。
"几处特征和以前的朝鲜相关窃案对得上：用 Tornado Cash 小额出金养一个操作钱包，提前很久布置，签名先拿到手，再一次性执行。"
TRM Labs 的原话，指向 2025 年 Bybit 的 15 亿美元和 2026 年 4 月的 KelpDAO 事件。币安没有公开指责任何个人或组织，只说在配合执法机构确认身份。 美国特勤局称正在"昼夜不停"追踪、冻结和追回；目前已追回的部分，主要来自发行方的主动封锁，而不是侦查。