更新（10-30 02:23 UTC）：本文的核对截至 00:30 UTC。此后币安发布了《Security Incident Update》，首次给出根因口径（DevOps 笔记本 → 服务容器 → 未授权提现）、63 亿影响估算与 30 亿冻结，并称已撤销受影响地址的授权。本文「尚未披露根因」这一结论就此被取代 —— 见币安给出根因：被攻破的是一个有签名能力的服务身份。但签名基础设施的日志仍未公开，技术复盘仍未发布，本文第三节那份缺失清单依然成立。
本文只核对公开信息，不含未公开材料。数据截至 2026-10-30 00:30 UTC。
TL;DR
没有。 截至 10-30 凌晨，币安没有发布任何签名基础设施的日志证据 —— 没有签名请求记录、没有 HSM/MPC 审计轨迹、没有策略引擎的放行记录，也没有第三方取证报告。
- 币安至今没有官方确认攻击向量是 EIP-7702。 所有关于委托、50 条授权、恶意合约的技术细节都来自链上分析者和第三方安全机构，不是币安的披露。
- 公开可见的只有六条表态，内容集中在「资金安全」「暂停提现」「安全检查中」。CZ 说「看起来像是黑客攻击」，但他同时明确表示自己已不管理 Binance.com —— 那是股东表态，不是公司调查结论。
- 口径从未被定义，而且对不上：独立核算外流 56.43 亿，已冻结 26.2 亿，差额约 30 亿；但 CZ 在回应「约 10 亿」的估算时只说「可能略高一些」。两个数字差三倍。
- 没有面向用户的正式事件公告。 公告栏最新条目仍是上币与保证金参数通知。
- 「资金安全」是偿付能力声明，不是安全事件结论 —— 它回答「用户会不会亏」，不回答「系统怎么被攻破的」。
一、已披露的内容：六条表态，零条技术细节
把官方账号与高管的公开表态按时间排开，信息量几乎为零：
| UTC（10-29） | 来源 | 核心内容 | 没有说明什么 |
|---|---|---|---|
| 21:15 | CZ | 「用户资金安全；看起来确实像是币安被黑」；感谢 Tether 冻结约 9.71 亿、Circle 约 8.23 亿；作为股东预期全额覆盖 | 入侵路径、签名方式、损失规模 |
| 21:16 | Binance | 已知悉「潜在安全问题」，正在调查，「尚未确认对用户资金的影响」 | 任何技术细节 |
| 21:17 | 何一 | 正在审查所有相关信息，将通过官方渠道更新 | 任何技术细节 |
| 21:29 | Binance | 措辞改为「用户资金完全安全」 | 依据是什么、如何验证 |
| 22:23 | CZ | 回应「冻结后损失约 10 亿」的估算：「可能略高一些，但会覆盖」 | 损失口径、赔付来源 |
| 22:33 | Binance | 团队正在进行安全检查；问题完全解决后恢复提现；资金安全 | 何时恢复、问题是什么 |
三处措辞变化值得注意：21:16 还是「尚未确认影响」，21:29 变成「完全安全」，22:33 又回到「安全检查中」。
这是危机沟通节奏，不是调查进展披露。 十三分钟内从「尚未确认」跳到「完全安全」，中间没有任何可供核验的依据 —— 而如果真的在十三分钟内完成了影响面评估，那份评估本身就是最该公布的材料。
二、口径对不上：30 亿 vs 10 亿
这是公开信息里最硬的一处矛盾，可以直接算：
独立链上核算外流 56.43 亿美元 (21:31)
四家发行方已冻结 26.20 亿美元 (Tether 15.67 + Circle 8.23 + Ripple 2 + USD1 0.27)
─────────────
差额 30.23 亿美元
CZ 在 22:23 认可的量级 约 10 亿美元（「可能略高一些」）差三倍。
这个差距本身不构成指控 —— 两个数字可能都对，只是在数不同的东西。可能的解释至少有三种：币安自己也执行了部分追回或防御性转移；「外流」口径里包含了币安内部地址之间的归集；或者 CZ 说的是扣除保险与自有资产覆盖后的净敞口。
但没有一种解释被官方说明过。 而只要「损失」没有定义，「会全额覆盖」这句承诺就没有可核验的对象 —— 覆盖 10 亿和覆盖 30 亿是完全不同的两件事。
这是整件事里最该追问、也最容易被价格行情盖过去的一条。
三、缺失的日志清单
如果要判定「私钥泄露」还是「签名系统被利用」，以下证据是决定性的。它们全部缺失：
| 证据 | 能定性什么 | 状态 |
|---|---|---|
| 签名请求记录 | 50 条授权由哪个服务、哪个服务账号、从哪个环境发起；请求与上链（20:20:59）的间隔 | 未披露 |
| HSM/MPC 审计轨迹 | 哪把密钥、哪个策略槽位、是否需要多方审批、审批人是谁 | 未披露 |
| 策略引擎决策日志 | 为什么一条 Type-4 授权能通过限额、白名单和交易类型检查 | 未披露 |
| 监控告警时间线 | 内部系统何时发现异常、第一次告警是余额流出还是代码变更 | 未披露 |
| 密钥轮换记录 | Binance 14 的私钥是否已更换、何时、旧地址是否停用 |
未披露 |
| 第三方取证报告 | 独立机构的根因分析 | 未披露 |
这些不是「可以事后补」的材料，而是在事件发生后的最初几小时内就已经存在的系统日志。
公告栏核对：截至 10-30，最新条目仍是 10-28/10-29 的上币与合约通知，10-30 只有一条保证金参数调整，没有安全事件专页。这不排除公告页存在同步延迟，但至少说明没有面向用户的正式事件公告 —— 在一次被暂停提现的事件里，这本身是异常的。
四、这对判断意味着什么
没有日志，公开分析只能在链上行为上做推断，而链上证据本身是「哑」的 —— 它记录了发生了什么，不记录为什么被允许：
- 50 条连续 nonce、降序排列、只有 1 条生效 —— 更像批量预签，而不是拿着私钥直连节点逐笔操作；
- 授权后 12 次自动扫荡，其中多次是 23,100 gas 的空轮询 —— 攻击者掌握的是一个可重复触发的通道，而不是一次性转账；
- 若私钥完整泄露，币安签署撤销授权后攻击者本可再次委托，但目前未观察到这种拉锯 —— 这微弱地偏向「签名通道被利用」而非「私钥被长期持有」。
但这些都是推断，不是证据。
真正能一锤定音的，恰恰是那份没有公开的签名日志：只要看到「哪个服务账号在 20:20 前后请求了对 0x63e842… 的 50 条授权」，根因在几分钟内就能定性。
也正因如此，不披露本身构成了一种信息：在调查结论出来之前，「私钥泄露」和「签名系统被利用」在官方口径里仍然是并列假设，而不是已排除项。
对用户和合作方，这意味着两件事：
- 「资金安全」目前只有币安的单方面陈述和 CZ 的股东背书，没有储备证明或第三方审计佐证。
- 如果根因是签名基础设施而非单把私钥，受影响的可能不止
Binance 14一个地址 —— 这正是需要日志才能排除的风险，而币安还没有给出排除依据。
五、结论
截至 2026-10-30 凌晨，币安没有披露任何签名基础设施的日志证据，也没有发布根因报告或第三方取证结论。
公开信息只有六条表态，以及一份由链上分析师拼出的攻击链 —— 后者能证明「发生了什么」，但无法证明「为什么签名会被放行」。
底线判断。 在币安公布签名请求记录与密钥管理审计之前，所有关于「私钥泄露还是签名系统被利用」的结论都只能算假设；而「用户资金安全」是一句偿付承诺，不是安全结论。
真正值得盯的下一个信号不是价格，而是三件事：官方事件公告、储备证明更新，以及 Binance 14 是否出现指向 address(0) 的撤销授权。 三件里一件都没出现之前，这件事在技术上还没有结束。
信息来源
配套阅读：币安热钱包失守：一条合法签名，8 分钟，56 亿美元、EIP-7702 攻击链拆解：18 小时准备、一条签名、一个机器人。本文只核对公开信息，数据截至 2026-10-30 00:30 UTC，事件仍在进行中。不构成投资建议。DYOR。