上海
加密世界总是一边创造财富神话，一边上演《盗梦空间》级别的技术对决。朝鲜黑客这次用一场20分钟的“闪电战”，把行业安全天花板又往上抬了一截。币安扛住了用户损失，市场也没崩，但留给所有人的功课很清楚：下一次，可能不会再给你20分钟反应时间。
2026年10月29日晚上，加密货币世界经历了一场真正的“闪电劫案”。全球最大交易所币安的热钱包，在短短约20分钟内，被抽走了约63亿美元资产。这个数字直接刷新了人类金融史上的盗窃纪录——比2025年Bybit那起15亿美元的案子还要大四倍有余，也远超萨达姆当年从伊拉克央行搬走的那10亿美元（按今天购买力算也翻倍不止）。
事情发生得太快，很多人第二天醒来才发现自己的交易所提款按钮变成了灰色。币安迅速暂停提款，同时放出消息：用户资金由公司兜底，一分钱都不会让大家亏。到11月1日，他们已经用SAFU基金、期货保险金和自家储备补上了90%以上的窟窿，剩下那点流动性差的代币还在慢慢买。约一半被盗资金也被稳定币发行方和部分链上安全机制冻住了。危机处理的速度，倒是挺像大型互联网公司的紧急公关。
黑客怎么下手的？
初步调查指向一个看似普通的入口：一名DevOps工程师的笔记本电脑。攻击者通过这台电脑摸进了服务器，获得了提交未授权提款交易的权限。币安后来承认，攻击其实更复杂，不止一个突破口，也不是简单的私钥泄露。
真正让人瞠目的是执行层面。攻击者提前约36小时就开始准备，在测试钱包上试了恶意代码。到了正戏，他们在以太坊上玩了一手新招数——利用EIP-7702委托机制，把币安的热钱包直接变成自己控制的“清扫器”，还提前签好了大约50份授权，覆盖不同的交易序号。其他九条链则用普通签名转账，几乎同步清空。
整个过程像一场精密编排的交响乐：资金从XRP Ledger、Avalanche、Polygon、以太坊等十来条链上同时流出，主戏集中在20分钟。分析公司TRM Labs统计，大约63.6亿美元在那一小段时间里完成转移。以太坊相关资产占大头（约38亿），比特币大约18270枚（约15亿），再加上一堆稳定币和其他代币。
这种对交易所热钱包签名基础设施的深入理解，很难想象是普通黑客能做到的。它更像有人长期研究过币安的内部流程，或者已经摸到了权限体系的软肋。
为什么大家都指向朝鲜？
区块链分析公司几乎一边倒。TRM Labs、Chainalysis、Elliptic都以“高置信度”把锅甩给TraderTraitor——朝鲜国家支持的精英黑客单位，常被归到更广为人知的Lazarus Group（拉撒路集团）旗下。
证据主要来自链上指纹：被盗资金的流向，和此前被同一组织盯上的案件（包括Bybit）出现混合；攻击节奏、准备方式、洗钱路径，都高度吻合他们过往的“作案习惯”。10月31日，美国FBI正式下场确认：朝鲜对超过60亿美元虚拟资产盗窃负责，并将此次行动命名为TraderTraitor。FBI还观察到攻击者正把赃款大量换成以太坊，准备通过DeFi和即时兑换服务继续洗白，同时公开了一批地址，呼吁节点运营商和平台配合阻断。
TraderTraitor不是第一次干这事。他们被指参与过Bybit、DMM Bitcoin等多起大案。朝鲜把网络攻击当作重要“创收”手段，已经不是秘密。这些钱最终往往流向武器计划和政权运转。有分析甚至估算，近年朝鲜相关加密盗窃累计金额，已经相当于该国GDP相当可观的一部分。
当然，朝鲜官方一贯否认。归因从来不是单靠一个地址就能定论，而是综合攻击代码特征、操作习惯、资金路径和情报关联。目前公开信息指向这一方向，但完整技术报告和更多细节，可能还要等后续调查。
钱去哪了？行业学到什么？
大约27到30亿美元被及时冻结，剩下约24亿美元（主要是ETH和BTC）还在攻击者手里，短期内很难直接追回。币安用自家资金把用户账户补平，提款已分阶段恢复，市场情绪也逐渐稳住。不过，事件还是引发了短期抛压和用户提款潮，提醒所有人：再大的交易所，热钱包依然是高风险区。
这起案子把几个老问题又推到台前：工程师设备安全、权限最小化、多签机制的真正有效性、以及跨链提款流程的监控速度。攻击者能在20分钟内跨十条链同时动手，说明现代交易所的“热钱包签名系统”一旦被摸透，损失会呈指数级放大。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
