55 亿美元蒸发：一次签名清空币安热钱包，Blockaid 如何在 2 分钟内识破

史上最大盗窃案：55亿美元从何而来

2026年10月29日20:24 UTC，币安14号热钱包被第一笔约25亿美元的单笔转账清空。我读到这条消息时，第一反应是数字可能打错了。后来证明没打错，这只是开始。来源：BPPA

12分钟内，另外10个币安热钱包在Ethereum、Arbitrum、Avalanche、Optimism、Bitcoin、Tron四条链上向同一地址汇入资金。截至22:00 UTC，损失累计达55亿美元，成为加密货币史上最大盗窃案。来源：BPPA

热钱包是交易所用于支付提款和内部转账的在线账户，持有大量工作余额。被盗的币安14号是币安最大最活跃的以太坊热钱包之一。攻击者选择它作为突破口，和它资金体量大有直接关系。单笔25亿的转账能在几秒内完成，说明这个钱包的权限配置已经足够让攻击者无阻碍地执行。来源：BPPA

攻击者掌控币安签名基础设施，签署EIP-7702授权将钱包委托给攻击者部署的sweeper合约。币安声明正在调查，未确认用户资金受影响。从公开信息看，币安没有透露签名基础设施如何被突破，也没有公布具体的取证细节。这一点让我不太确定，但可以肯定的是，攻击者不需要私钥就能让钱包听命于自己。来源：BPPA

EIP-7702委托：一次签名如何清空整个钱包

EIP-7702允许外部账户在单笔交易中临时采用智能合约代码。来源：EIP 攻击者预先部署sweeper合约，再通过受控签名基础设施让币安14号钱包签署授权，将资产控制权交给该合约。来源：BPPA

这个签名操作表面上看只是授权。但授权本身直接赋予攻击者对钱包内全部资产的完全控制权。通过已被委托的钱包，攻击者进一步清空了一个币安拥有的智能合约账户。来源：BPPA

跨链并行签名显示系统性准备。同一时间在四条链上执行签名，表明攻击者提前布局。来源：BPPA

对交易所和托管机构来说，EIP-7702的委托机制是个需要重新审视的工具。它让EOA能临时采用合约代码，原本是为了增强灵活性，但这次事件证明，一旦签名基础设施被突破，这种灵活性会直接变成攻击面。来源：EIP

Blockaid的2分钟检测与18亿美元冻结

攻击开始后不到2分钟，Blockaid检测到异常资金流动并标记，先于任何公开报道。11分钟内，自动化分析识别出未经授权的签名和EIP-7702委托机制。1小时内，攻击者地址被全网标记为恶意，并通过Ecosystem Incidents Feed推送给所有客户。来源：BPPA

资金追踪显示被盗资产被拆分、兑换为其他代币并用于抵押借贷。Tether和Circle合计冻结主收款地址约18亿美元；Tether单独声称冻结超15亿美元USDT。来源：BPPA

多源交叉验证。Blockaid宣称“检测到史上最大盗窃”，币安称“正在调查”，Tether称“冻结15亿+”，三方数据可互相印证事件规模和响应速度。来源：HN

这2分钟不是运气。Blockaid用了AI模型做异常检测，自动化分析能在11分钟内把攻击机制拆解清楚。如果没有这套监控，资金流动后没人拦得住。Blockaid在报告里说，这类攻击的结果取决于两个控制点，签名产生前的策略执行和资金流动后的持续监控。这次事件恰好验证了后半句的分量。来源：BPPA

不可冻结的资产与未来安全架构的教训

ETH、AVAX、OP、ARB等原生代币无法被冻结，仍留在攻击者手中；而USDT等稳定币因中心化治理可被冻结。来源：BPPA 55亿美元中约18亿被冻结，估算约37亿美元以原生代币形式滞留攻击者地址。来源：BPPA

热钱包安全的核心风险在于签名基础设施的信任链。攻击者未窃取任何私钥，却控制了整个签名流程。这个事实让我重新审视EIP-7702的委托机制，它需要更严格的审计和监控，单一签名基础设施构成单点故障。来源：BPPA

事件暴露了链上资产可冻结性的根本差异。稳定币依赖中心化发行方，原生代币依赖链的共识机制。这个差异在危机时刻直接决定损失上限。Tether能冻结15亿，是因为USDT的发行方有中心化治理权；而ETH、AVAX这些代币没有这样的治理结构，只能看着资产留在攻击者手里。来源：BPPA

对持有签名密钥的交易所和托管机构，这个案例只留下两个控制点，一个是签名产生前的策略执行，另一个是资金流动后的持续监控。前者决定攻击者能不能拿到签名，后者决定资金在流动后能不能被拦下来。这次的55亿，就是前一个控制点失守的直接后果。来源：BPPA

---

原文：

Binance $5.5B Hack: Blockaid Detects the Biggest Theft in Crypto History · 来源：Hacker News

作者：itfan123 值班编辑 · 发布于 2026年10月30日