63 亿美元的一课：币安被盗事件复盘，与 AI Agent 时代的交易平台安全

公开时点：2026 年 10 月 31 日（日本时间） 事件仍在调查中，涉及的金额与细节可能随官方更新而变化。本文仅为技术与安全讨论，不构成任何投资建议。

先说结论

• 规模：2026 年 10 月 29 日（UTC），币安在 10 条区块链上的多个热钱包被转走约 63 亿美元。这是有记录以来最大的加密货币盗窃案，约为 2025 年 2 月 Bybit 被盗案（约 15 亿美元）的四倍。
• 手法：攻击者没有"破解"区块链或密码学，而是让币安自己的签名系统签下了恶意交易。入口是一名 DevOps 工程师被入侵的笔记本电脑。在以太坊上，攻击者利用 EIP-7702 委托机制，把一个高频使用的热钱包变成了只听自己指挥的"抽水机"。
• 止损：稳定币发行方等多方合计冻结约 30 亿美元，币安承诺用公司资金全额覆盖用户损失。
• 归因：多家链上分析机构将攻击归因于朝鲜黑客组织 TraderTraitor，也就是 Bybit 案的同一伙人。
• 最值得反思的一点：攻击者用约 20 分钟转走了大部分资金，而从异常出现到暂停提现用了约两个小时。缩短这段时间，正是 AI Agent 最能发挥作用的地方。AI Agent 能以机器速度发现、拦截并协同响应，但前提是边界清晰：它只能握"刹车"，不能握"钥匙"。

---

一、事件复盘：63 亿美元是怎么被转走的

下文时间均为 UTC，北京时间 +8 小时，东京时间 +9 小时。例如攻击开始的 10 月 29 日 20:05（UTC），相当于北京时间 10 月 30 日 04:05、东京时间 10 月 30 日 05:05。

1. 提前一天的准备

根据链上分析，攻击者的操作钱包从 10 月 28 日上午起，通过混币服务 Tornado Cash 收到了几笔小额资金。10 月 29 日，攻击者先部署了第一版"清扫合约"（sweeper），在自己控制的钱包上测试和演练。当天 15:59，攻击者部署了最终版本，这个合约只允许攻击者指定的操作地址调用。

2. 入口：一台工程师的笔记本电脑

币安的初步调查显示，一名 DevOps 工程师的笔记本电脑遭到入侵。攻击者借此进入一个服务容器，提交了未经授权的提现交易。10 月 31 日，币安两位联席 CEO 署名发布了第二次更新，内容有三点：

• 除这台笔记本外，还发现了其他入侵点；
• 目前没有钱包私钥泄露的证据；
• 更多技术细节预计在约 48 小时内公布。

链上安全公司 Blockaid 的 CEO 也认为，这更像是签名基础设施被滥用，而不是私钥被偷走。打个比方，钥匙可能一直锁在保险柜里，但"盖章流程"被人操纵了。不过，Blockaid 后续的技术分析认为，至少有一个热钱包的签名能力已经落入攻击者手中。私钥究竟有没有离开币安，仍需等待官方的技术报告。

3. 关键一招：EIP-7702 把热钱包变成"抽水机"

EIP-7702 是以太坊在 2025 年升级中引入的功能。普通钱包地址（EOA）签署一份"授权"后，就可以把自己的执行逻辑委托给一段智能合约代码。它的本意是让普通钱包也能用上批量交易、代付手续费等能力。这一次，它被反过来利用了，过程如下：

1. 20:20:59：攻击者提交了一笔 type-4 交易，里面打包了 50 份针对热钱包 "Binance 14" 的 EIP-7702 授权，分别对应 50 个连续的 nonce。
2. 为什么是 50 份：Binance 14 当时还在正常处理用户提现，nonce 一直在变，攻击者无法预知准确的值，于是"撒网"，只要有一份对上就行。结果确实有一份命中，Binance 14 的执行逻辑被委托给了攻击者的清扫合约。
3. 3 分 24 秒后（20:24:23）：攻击者调用清扫函数，一笔交易转走了 167,464 枚 ETH 和 63 种代币，其中包括 16.15 亿枚 USDT，价值约 25 亿美元。
4. 委托持续有效：委托一旦生效，就会一直有效。币安的自动归集系统此后仍在把用户充值汇入 Binance 14，约 40 分钟后（21:04）的第二次清扫，又把这些新进来的资金卷走了。

4. 十条链，二十分钟

与此同时，币安在 10 条链上的多个热钱包也签出了转向攻击者地址的普通转账。这 10 条链是：以太坊、比特币、Tron、XRP Ledger、Solana、Arbitrum、Avalanche、Optimism、Base、Polygon。

据 TRM Labs 统计，约 63.6 亿美元被转出，其中大部分在 20:05 开始的约 20 分钟内完成，整个攻击窗口一直持续到 23:56。币安官方给出的估算约为 63 亿美元，Chainalysis 的统计约为 64 亿美元。

5. 冻结与止损

需要注意，冻结不等于追回。稳定币发行方可以冻结自己发行的代币，之后也可以销毁这些代币、再重新发行给受害方，但这需要经过法律程序。BTC、ETH 这类没有中心化发行方的资产则无法这样冻结。目前尚未冻结的约 33 亿美元中，相当一部分就是这类资产。

6. 幕后是谁

• TRM Labs 以"高置信度"将攻击归因于朝鲜黑客组织 TraderTraitor。
• Chainalysis 得出相同结论，并指出被盗资金在链上与今年 9 月 Bitget 被盗案的资金混在了一起。Bitget 案损失约 3.88 亿美元，同样被归因于朝鲜。
• 美国 FBI 此前已认定，2025 年 2 月 Bybit 被盗约 15 亿美元也是这个组织所为。

币安本身尚未公开点名攻击者。

7. 同一天的另一起：Polymarket

就在币安出事的几个小时前，预测市场 Polymarket 也遭到了攻击。从 UTC 17:05 起的大约一小时里，攻击者从数百个用户账户中转走了约 260 万至 270 万美元。

Polymarket 表示，是其一家第三方服务商被攻破，核心智能合约没有受到影响。安全研究人员在其网站前端加载的一个第三方脚本中发现了可疑代码，这段代码会读取用户的交易会话、卖出持仓并转走资产。这已经是 Polymarket 四个月内第二次遭遇数百万美元级别的安全事件。

---

二、为什么交易所总是头号目标

在传统证券市场里，"交易"和"托管"是分开的：交易所只负责撮合，证券由专门的登记托管机构保管。中心化加密货币交易所则把这两件事合在了一起，既撮合交易，又集中保管用户资产。这带来了三个结构性风险：

1. 价值高度集中：攻破一家交易所，等于同时打开了数百万用户的钱包。
2. 热钱包必须在线：为了让用户随时可以提现，交易所必须保留在线签名能力，签名系统因此长期暴露在网络中。
3. 链上转账不可撤销：传统金融有清算、冲正和止付流程；链上交易一旦确认，除了少数可以冻结的稳定币，几乎没有回头路。

---

三、从 Bybit 到币安：同一套剧本

把三起案件放在一起看，可以总结出四点共性：

1. 攻击的是人、流程和供应链，而不是密码学。 没有一起案件是"算出了私钥"。入口分别是一台开发者电脑、一个第三方服务和一段前端脚本。
2. 签名是最后一道闸门。 只要签名系统愿意签，冷钱包、多签、硬件安全模块就都会失效。签名端必须自己看懂自己在签什么。
3. 自动化是双刃剑。 自动归集、自动补币提升了效率，但在出现异常时，也会持续"给攻击者喂资金"。
4. 攻防速度严重不对称。 攻击者用约 20 分钟转走了大部分资金，而防守方从异常出现到暂停提现用了约两个小时。

---

四、这次攻击用了 AI 吗？

目前没有公开证据表明这次攻击使用了 AI。但它发生在一个特殊的时间点：整个 10 月被安全圈称为"黑色十月"，发生了一连串与 AI 相关的安全事件：

• 借助 AI 发现的 PHP 严重漏洞（PHP2Shell）于 10 月 21 日发布修复；
• AI 编码 Agent 平台 OpenCode、开发者平台 Railway、AI 网关 LiteLLM 相继发生安全事件，客户的 API 密钥等凭证面临泄露风险；
• 微软威胁情报披露，有国家背景的黑客组织在使用 AI 驱动的渗透测试框架。

另一方面，AI 同样站在防守一侧。Blockaid 表示，其交易安全引擎一看到那笔委托 Binance 14 的 type-4 交易，就将其判定为恶意交易，并在 11 分钟内借助 AI 模型确认了整个攻击机制。

所以，更准确的问题不是"AI 是否让黑客更强"，而是：谁的发现与响应能以机器速度运行。"黑色十月"之后，多位安全专家也提出，下一阶段网络安全的核心是韧性，也就是能多快发现入侵者、多快控制损害、多快恢复业务。

---

五、交易平台安全加固清单

以下措施不依赖 AI，是任何交易平台、钱包服务商都应该先做好的基础。

1. 开发与运维终端

• 专用工作站：生产环境只允许从专用的特权访问工作站（PAW）访问，并与日常办公、浏览网页、即时通讯所用的电脑隔离。
• 不留长期凭证：使用 FIDO2 硬件密钥加短时效凭证，按工单临时开通权限、到期自动失效，笔记本电脑上不保留长期有效的生产凭证。
• 终端防护：部署 EDR，对开发者电脑上的异常进程、远程控制工具、可疑浏览器扩展和依赖包实时告警。
• 防社会工程学：TraderTraitor 一类组织惯用假招聘、假合作、"做一道面试题"之类的恶意项目代码入侵工程师电脑，需要对工程师做专门的安全培训。

2. 签名基础设施（最重要的一环）

• 构造与签名分离：提交交易的服务和批准签名的服务必须分开。签名端（HSM / MPC 节点）要内置独立的策略引擎，自己解码、自己判断，不信任上游传来的"交易摘要"。
• 确定性硬规则：
  • 热钱包密钥一律禁止签署 EIP-7702 授权（授权签名载荷以 0x05 魔数开头，可以在签名端精确识别）；
  • 禁止向非白名单合约签署 approve / permit；
  • 只允许按标准提现流程，向经过校验的地址签名。
• 额度与速率限制：按单笔、单地址、单位时间、单钱包设置流出上限，超限必须多人审批。
• 签前模拟：每笔交易先在分叉环境中模拟执行，比对资产变化是否与声明的意图一致。
• 热钱包少放钱：热钱包余额按未来若干小时的提现需求动态补充，大额资产留在冷端。
• 账户状态巡检：持续检查热钱包地址在链上的 code 字段。一旦出现 0xef0100 开头的委托标识，就立即告警，并把该钱包从归集路由中摘除。

3. 自动化流程要能熔断

• 订阅钱包健康状态：归集、补币、提现等自动任务都必须订阅"钱包健康状态"，一旦钱包被标记为异常，就自动停止向它汇款。这次的第二次清扫，卷走的正是自动归集进来的资金。
• 分级熔断：先限速，再暂停单条链，最后暂停全局。熔断动作要事先审批，并且可以一键回滚。

4. 前端与第三方依赖

• 使用 CSP 白名单和 SRI 校验，尽量减少第三方脚本；关键交易页面不加载营销类、监控类的第三方脚本。
• 对前端构建产物做哈希监控，线上实际加载的 JS 一旦与发布版本不一致，就立即告警。

5. 应急协作通道

• 事先与 Tether、Circle 等稳定币发行方、链上分析公司和执法机构建立联络渠道，并约定数据格式（地址、交易哈希、证据包）。
• 每个季度演练一次，把"从发现异常到提交冻结请求"的目标时间压缩到以分钟计。

6. 储备与透明度

• 设立用户保护基金，并定期发布储备证明；出事之后尽快公布储备证明和技术报告，稳住用户信心。

---

六、用 AI Agent 加强交易平台安全：一套可落地的架构

核心原则：Agent 握刹车，不握钥匙

1. 非对称权限：Agent 可以拒绝、暂停、上报，但不能批准、签名、转账。
2. 确定性规则兜底：已知的危险模式（比如热钱包签 EIP-7702 授权）用硬规则拦截，Agent 负责发现规则没有写到的新模式。
3. 预授权的可逆动作：熔断类动作的剧本由人事先审批，Agent 只在条件满足时执行，并且可以回滚。
4. 人在回路：对外通知、提交冻结请求、恢复提现等会影响用户、难以撤回的动作，都需要人工确认。

五个 Agent 角色

用这次事件的时间线算一笔账

这张表不是事后诸葛亮式的保证。即使有 AI Agent，被操纵的签名系统仍然可能签出几笔恶意转账。但通过额度限制、熔断和协同冻结，可以把止损时间从"小时级"压缩到"分钟级"，在 63 亿美元这样的规模下，这意味着几十亿美元的差别。

Agent 自身的安全

AI Agent 本身也是新的攻击面，必须按"高价值系统"来防护：

• 防提示词注入：链上数据（代币名称、备注字段）、网页、工单内容都可能夹带提示词注入。Agent 读到的一切外部内容都只能当作数据，不能当作指令。
• 最小权限与短时凭证：Agent 的运行环境里不存放生产密钥。"黑色十月"中 AI 网关、AI 编码平台的凭证泄露就是前车之鉴。
• 全量审计：每一次判断的输入、理由和动作都可以追溯。
• 误报管理：采用分级响应，并先以"影子模式"试运行，既要避免"狼来了"，也要避免误伤正常用户。
• 定期红队：对 Agent 本身做红队测试，包括诱导它越权、绕过规则等场景。

落地路线图（适用于中小型交易平台与钱包服务商）

---

七、给普通用户的建议

• 分散存放：不要把全部资产放在任何一家交易所。长期持有的部分可以考虑用硬件钱包自行保管，并妥善备份助记词。
• 加固账户：开启提现地址白名单，并使用硬件密钥做二次验证。
• 警惕事后钓鱼：大事件之后，钓鱼诈骗往往会激增。凡是"赔付申请""资产迁移"一类的链接、私信、电话，一律不要点、不要信，只看官方渠道的公告。
• 关注平台透明度：留意平台的储备证明和用户保护基金情况。

---

结语

63 亿美元的这一课，核心不在于防住每一次入侵，而在于入侵发生后，系统能多快发现、多快止损。攻击者已经在以机器速度行动，防守方也必须如此。AI Agent 不是万能药，但在清晰的权限边界内，它能把交易平台最脆弱的"黄金一小时"压缩到几分钟。

SolanaLink 提供云基础设施、IT 运维与 AI Agent 落地服务。如果你的团队正在评估交易系统、钱包服务或 Web 应用的安全加固方案，欢迎与我们联系。

---

参考资料

• TRM Labs：North Korea Steals USD 6.36 Billion From Binance in the Largest Hack in History
• Chainalysis：The $6.4 Billion Binance Hack: Tracing the North Korea Link
• Blockaid：Binance $5.5B Hack: Using Advanced AI Models, Blockaid Detects the Biggest Theft in Crypto History
• Cointelegraph：Binance hack may involve private key "misuse," not theft: Blockaid CEO
• The Crypto Times：Binance Hack Explained: How $6.3 Billion Was Drained in 20 Minutes
• HackenProof：Binance Hack 2026: Inside the $6.3B Breach
• NBC News：Binance targeted in $6.3 billion crypto heist, the largest ever
• Reuters（via Yahoo Finance）：Binance seeks to shore up confidence after record $6.3 billion heist
• CNBC：Binance's $6.3 billion hack: What we know and what comes next
• CoinDesk：Experts divided over Binance hack asset freezes
• Al Jazeera：Binance says $6.3bn stolen in biggest crypto heist in history: What we know
• TechFlow：Binance second update on the security incident
• The Block：Polymarket resumes trading after $2.65 million exploit
• Axios：Inside "Black October": AI's cyber scare delivers a Y2K lesson
• CNBC：AI's "Black October": Critical PHP flaws set off global security scramble