币安周四遭遇迄今规模最大的加密资产盗窃事件。区块链调查机构估算，失窃资产超过60亿美元；币安称，受影响资产约为50亿美元，并正通过市场和场外渠道筹集另外13亿美元，以履行弥补损失的承诺。事件不仅考验交易所的资金保障和提现安排，也让市场重新审视托管大量客户资产的中心化平台，其热钱包及交易授权系统面临的安全风险。
攻击或在盗窃前至少36小时开始准备
币安初步调查认为，攻击可能涉及一名DevOps工程师的笔记本电脑遭入侵，以及攻击者未经授权访问一个服务容器。交易所尚未发现私钥泄露的证据。币安联席首席执行官Richard Teng表示，这次攻击比单纯盗用某名员工的权限更复杂。
TRM Labs分析称，攻击者至少提前36小时开始准备：先通过Tornado Cash的小额提款为行动钱包注资，再部署并测试恶意代码，涉及三个钱包。攻击执行时，攻击者在以太坊上利用EIP-7702，将币安热钱包转变为由其控制的资金归集工具，并预先准备了50份签名授权，确保执行时至少有一份仍然有效。
攻击者还在其他九条区块链上协调转移资产。TRM认为，这种跨链行动显示，受影响的可能不只是单个钱包，而是币安更广泛的热钱包签名基础设施。Elliptic分析称，攻击者在最初漏洞利用后可能仍保有访问权限，利用一个受控钱包的所有者权限，从另一币安钱包提取资金，并持续转走新入账资产。另一个以太坊热钱包也直接向攻击者转出价值1.74亿美元的资产，进一步引发对交易签名系统访问范围的关注。
链上代码有限，关键在于取得交易授权能力
Immunefi副总裁Simone Imbrescia指出，攻击的复杂性未必体现在链上代码本身，而可能在于如何进入能够批准交易的基础设施。她表示，涉事资金归集合约约有130行代码；真正关键的，是攻击者如何获得足以让简单代码造成重大损失的系统权限。
Chainalysis、Elliptic和TRM均将此次攻击归因于朝鲜黑客组织。TRM称，相关行动与参与2025年Bybit约15亿美元攻击的组织有关。Chainalysis发现，币安失窃资金与上月Bitget事件所得资金之间存在链上关联；该事件同样被归因于朝鲜黑客。不过，Elliptic提醒，两起事件的链上重叠仅涉及币安失窃资金的一小部分，尚不足以确认由同一攻击者实施。
调查还发现，攻击者在短时间内发起数千笔交易，让资金在多个地址间反复流转。为降低稳定币发行方冻结资产的可能性，攻击者在近20分钟内将价值3.25亿美元的稳定币兑换成约2.85亿美元的ETH。
失窃资金转入Aave，部分交易承受折价
Elliptic称，攻击者将5990万美元的失窃USDT存入Aave作为抵押，借出19,762枚ETH。截至该机构最近一次更新，这笔借款尚未偿还，且接近清算。攻击者还通过去中心化交易所和做市商，将数亿美元USDT换成ETH；为转向发行方无法冻结的资产，部分交易相较市场价格承受最高约26%的折价。
Aave周五表示，已解除其V3和V4协议所有市场的冻结状态，并称智能合约未受影响，用户头寸仍有充分抵押。币安事件涉及的平台签名系统，与Aave自身合约是否受损是两个不同问题；Aave的公告针对的是其协议状态及用户头寸。
币安筹措13亿美元，拟公布储备证明
币安称，约50亿美元资产受到此次事件影响，另有13亿美元正通过市场及场外交易渠道取得，用于覆盖损失。Teng表示，交易所计划周一发布初步储备证明报告，并正努力恢复提现。他在周五发布的视频中称，希望用户能在周日截止时间前提现，并表示当时的进度目标是在约40小时内恢复相关安排。
TD Cowen分析师认为，目前证据指向中心化中介机构的基础设施遭到入侵，并不代表比特币或其底层网络出现故障。此次事件的直接影响仍集中在币安资产处置、提现恢复和储备披露上；攻击者如何进入内部系统、授权流程是否全面受影响，以及失窃资金最终能否追回，仍有待后续调查和披露。
Imbrescia表示，加密资产安全措施不能只关注私钥保管和智能合约审计，能够调用密钥的人员、基础设施与操作流程也属于安全边界。如果攻击者控制了这一操作层，就未必需要直接窃取私钥或利用复杂的合约漏洞。对用户而言，币安后续的提现恢复进度、储备证明和损失覆盖情况，将是评估平台处置能力的关键事实。