更新（10-30 02:23 UTC）：币安其后公布影响总额估算 63 亿、已冻结约 30 亿，并首次给出根因方向。本文的 56.43 亿／26.2 亿是 00:30 UTC 的第三方核算口径，两者差异与毛净口径、地址集和统计时点有关。见币安给出根因。
这是一次正在进行中的事件的快照，不是结论。 所有链上数据、价格与冻结金额截至 2026-10-30 00:30 UTC，发布后情况可能已变。币安已暂停提现、暂停 Binance Alpha，未给出恢复时间表，未公布净损失，未发布储备证明更新。文中的 56–58 亿是受影响资金口径，不是已实现损失。
TL;DR
- 时间窗口极短：20:24 清空 → 20:32 分析师首次公开示警（8 分钟）→ 21:01 发行方开始冻结（37 分钟）。资金离场与止损生效之间差了半小时。
- 规模：独立链上核算 56.43 亿美元（已剔除找零与内部转账），Arkham 的
binance-hacker-1029集群（55 个地址）持仓约 58.4 亿。 - 冻结约 26.2 亿（Tether 15.67 + Circle 8.23 + Ripple 2 + USD1 0.27），币安官方核实 25.4 亿 —— 差异来自统计时点与地址重叠。
- 这个 45% 不是风控能力，是资产构成的偶然。 稳定币可以冻结，原生 BTC/ETH 不能 —— 它们仍在攻击者手中，且正被换成 ETH。
- 不是合约漏洞。 合约没有被攻破，被攻破的是「谁有权让钱包执行代码」。机制见配套的 EIP-7702 拆解。
- BNB −10.0%，约为 BTC 的两倍，且在官方声明发布后仍在下探 —— 市场不是在一次性消化利空，而是在为「提现何时恢复」持续重新定价。
一、时间线
这是本次事件最值得逐条核对的部分。
| UTC（10-29） | 事件 |
|---|---|
| 15:59 | 攻击者 relayer 部署恶意委托合约 0x63e842b0…73e9c6fAe |
| 约 20:20 | 以 Binance 14 私钥签署的 EIP-7702 授权被提交上链 |
| 20:24 | Binance 14 单笔转出 167,464 ETH + 16.15 亿 USDT + 数十种代币 |
| 20:24:24 | Binance 16 向同一新地址转出约 28,005 ETH |
| 20:32 | 分析师 Spreek 首次公开示警：「整个币安钱包被清空至新 EOA，合约调用由 Tornado Cash 出资」 |
| 20:56 | 市场快讯：五条链外流 27.7 亿美元，攻击未确认 |
| 21:01 起 | Tether 率先黑名单冻结，Circle 跟进 |
| 21:09 | 首份资产清单：约 25 亿美元、63 种代币被单笔扫出 |
| 21:15 | CZ：「看起来确实是币安被黑」，感谢 Tether 与 Circle 冻结 |
| 21:17 | 何一：已知悉、正紧急调查，"User Funds SAFU" |
| 21:31 | 独立链上核算：外流 56.43 亿，已冻结 23.16 亿 |
| 21:54 | Tether 冻结额上修至 15.67 亿 |
| 22:08 | Ripple 冻结约 2 亿 RLUSD |
| 22:15 | World Liberty 冻结 2,700 万 USD1 |
| 22:33 | 币安官方：安全检查中，提现待问题完全解决后恢复 |
| 22:44 | Aave 冻结 V3/V4 全部 DAO 市场（合约未受影响、仓位仍超额抵押） |
| 22:48 | Lookonchain：攻击者开始抛售 PEPE、UNI、LINK 换 ETH |
| 22:54 | Bybit 声明未受影响；Binance.US 早前亦声明独立 |
两个值得记住的间隔：从资金离场到被公开察觉用了 8 分钟，从资金离场到首笔冻结生效用了 37 分钟。 对一笔原子交易而言，这两个数字都已经太晚 —— 它们只决定了能追回多少，不决定能不能阻止。
一个沟通细节：币安最早的表述是「尚未确认对用户资金的影响」，随后被编辑为「用户资金完全安全」。这一措辞变化被多家媒体与链上分析师截图记录，也是市场对官方口径保持谨慎的原因之一。
二、链上证据：一笔交易如何搬走 25 亿
首笔清空的资产清单相当具体，这是判断「不是合约漏洞、而是钱包控制权失守」的核心依据：
| 资产 | 数量 | 备注 |
|---|---|---|
| USDT | 16.15 亿 | 后被 Tether 冻结 |
| ETH | 167,464 | 约占该笔交易 15% 价值 |
| RLUSD | 6,260 万 | Ripple 后续冻结约 2 亿 |
| wBETH | 29,934 | 流动性质押凭证 |
| XAUt | 11,372 | 黄金代币 |
| ENA | 1.984 亿 | 后续被抛售 |
| PEPE | 7.175 万亿 | 后续被抛售 |
| UNI / LINK / AAVE | 619 万 / 226 万 / 12.79 万 | 后续被抛售 |
单笔交易的 calldata 里是 65 个地址：1 个 address(0)（ETH 占位符）+ 64 个 ERC-20，合计约 25 亿美元。公开分析里的「63 种代币」更可能是实际转账成功的数量。
链上指纹非常清晰：Binance 14 的代码被写成 0xef0100 + 63e842b0…（EIP-7702 委托指示符），随后由 operator 地址 0x7c8601d4…（Tornado Cash 出资）调用 sweep(address,address[])（选择器 0x8a179be4）完成清空。
调用者不是账户所有者，但执行结果等同于所有者亲自操作 —— 这正是 7702 委托的设计语义。
这不是临时起意。 链上记录显示攻击者准备了近 18 小时：02:28 部署测试合约，13:51 与 16:20 在三个自有钱包上彩排委托与扫荡，15:59 才部署最终合约，20:20 动手。彩排完成到动手之间还空了 3.5 小时 —— 在等合适的执行时机。
授权交易里包含 50 个 EIP-7702 授权，nonce 降序排列，恰好只有 1 条生效（其余 49 条 invalid_nonce）。降序是刻意的：升序会让命中后每条更高 nonce 依次生效，把账户 nonce 连推 15 次。
而授权与清空是分离的两笔交易，隔了 17 个区块 / 3 分 24 秒 —— Type-4 交易在 mempool 里公开可见，那本来是一个可以拦截的窗口。逐笔拆解见配套的技术复盘。
攻击还沿着所有权关系扩散：通过 Binance 14 对 Hot Wallet 34（一个智能钱包，所有者正是 Binance 14）发起调用，又转出约 7.8–8.23 亿 USDC。
三、规模：两套口径
| 口径 | 金额 | 说明 |
|---|---|---|
| 独立链上核算 | $5.643B | ETH 35.28 亿 + BTC 14.49 亿（18,270 枚）+ Tron 6.28 亿 + Arbitrum/Optimism/Base 3,800 万。已剔除找零与内部转账的重复计算 |
Arkham binance-hacker-1029 |
$5.84B | 55 个地址合计持仓，其中 USDT 17.7 亿、BTC 14.4 亿、ETH 9.22 亿、USDC 8.23 亿、TRX 2.47 亿、SOL 9,460 万 |
必须强调两件事。
第一，持仓市值 ≠ 已实现损失。 Arkham 的数字包含尚未卖出、且部分已被冻结的资产。币安至今未公布净损失。
第二，这个数字不能全部归因于那一次 7702 攻击。 50 条授权的 chain_id 全部是 1 —— 按 EIP-7702，只有 chain_id = 0 才能跨链重放。而比特币、Tron、Solana 根本没有 EIP-7702 这个机制。
所以以太坊上的 25 亿有完整的授权→执行因果链，其他链上的数字只是余额变动，可能混着：其他热钱包的独立失守、币安自己的归集或防御性转移、用户恐慌提现，或分析师误标。
这不是说多链损失不存在，而是说归因必须分开做。 把 56 亿统一记在「一次 7702 攻击」名下，会高估这次攻击的技术半径，也会误导后续的防御重点。
放到历史坐标里，无论取哪个口径都刷新了纪录：
| 事件 | 时间 | 规模 |
|---|---|---|
| 币安 API/2FA 被盗（7,000 BTC） | 2019-05 | ~$40M |
| BNB Bridge 被攻击 | 2022-10 | ~$570M |
| Bitget 热/温钱包事件 | 2026-09 | ~$387M |
| Bybit 冷钱包被盗（此前最大） | 2025-02 | ~$1.5B |
| 币安本次 | 2026-10-29 | $5.6–5.8B |
四、冻结：唯一真正起作用的止损
| 冻结方 | 资产 | 金额 |
|---|---|---|
| Tether | USDT | $1.567B |
| Circle | USDC | $823M |
| Ripple | RLUSD | $200M |
| World Liberty / BitGo | USD1 | $27M |
| 合计 | $2.617B |
币安官方核实的数字是 25.4 亿美元，与四家发行方公布的 26.2 亿基本吻合 —— 差异来自统计时点与地址重叠，不是矛盾。
结构性缺口很清楚：稳定币可以冻结，原生资产不能。
而这个 45% 本身就是一条信息： 它说明被转走的资产里近一半是发行方可以单方面冻结的中心化稳定币。换个资产结构 —— 比如热钱包里原生资产占比更高 —— 同样的攻击会产生完全不同的可追回比例。
所以 45% 不是风控能力的体现，是资产构成的偶然结果。 而且这个比例还在被侵蚀：攻击者已在抛售 PEPE、UNI、LINK 换成 ETH，把可冻结资产主动转换成不可冻结资产。
五、生态回应比交易所更快
- 发行方：Tether 从 9.71 亿一路加到 15.67 亿，四家合计约 26.2 亿。
- DeFi：Aave 主动冻结全部 DAO 运营市场（V3/V4），暂停新增存借，但保留提现与还款 —— 这是「切断攻击者的抵押借款通道」而非「冻结用户资产」，处置相当克制，合约本身未受影响、仓位仍超额抵押。
- 同业：Bybit、Binance.US 均在数小时内声明未受影响，避免了一次全行业挤兑式恐慌。
- 做市商：Wintermute 的 Evgeny Gaevoy 公开表示币安可承受当前损失 3–4 倍的冲击，但建议在原因查明前不要向币安充值。
六、市场：定价的是平台风险
| 指标 | 数值（10-30 00:27 UTC） | 24h |
|---|---|---|
| $BNB | $684.02 | −10.0% |
| $ETH | $2,209.03 | −6.3% |
| $BTC | $77,000 | −5.2% |
| BNB 24h 区间 | $678.13 – $760.96 | 事件后创新低 |
| BTC 24h 低点 | $76,861.5 | 跌破 7.7 万 |
| BTC 24h 爆仓 | $369.5M（多头 85%） | 币安占 $181M |
| BNB 24h 爆仓 | $19.7M（多头 88%） | — |
| 恐惧贪婪指数 | 50（中性） | 10-29 00:20 读数 |
盘面结构值得单独说明：BNB 在 20:00 UTC 那根 1 小时 K 线里从 745 插针至 678，成交量放大到平时 10 倍以上；23:58 时还报 698，随后半小时又跌去 2% 至 684。
这说明市场不是在「一次性消化利空」，而是在持续为「提现何时恢复」重新定价。
BTC 与 ETH 的下跌更多是风险偏好同步收缩（当晚纳指期货本身也因科技股财报走弱），币安事件是加速器而非唯一原因。
情绪面并未进入恐慌：恐惧贪婪指数仍在中性 50，稳定币未见系统性脱锚 —— 市场目前把它当作单一平台的托管事故，而非行业性信用事件。
七、争议与待核实
公开材料里有几处需要修正或标注不确定性，这直接影响判断：
| 说法 | 状态 | 说明 |
|---|---|---|
| EIP-7702 授权是「临时执行合约逻辑」 | 需修正 | 委托是持久的，直到被新授权替换或指向 address(0) 清除。正因如此才有「后续入账被再次扫走」 |
| 已冻结 25.4 亿美元 | 基本可信 | 与四家发行方的 26.2 亿吻合，差异属统计时点 |
| 攻击者已将部分代币换成 ETH | 可信 | Lookonchain 已记录抛售 PEPE/UNI/LINK |
| 币安用自身密钥反制、追回部分 USDC | 未证实 | 仅见社交媒体转述，无官方或链上确证 |
| 覆盖「至少 9 条链」 | 部分证实 | 有明确金额的是 ETH、BTC、Tron 及 Arbitrum/Optimism/Base |
| 总规模「超过 62 亿美元」 | 上限口径 | Arkham 集群 58.4 亿 + 后续流入可接近，但含未实现与已冻结资产 |
| 攻击者身份 / 是否内部人 | 未知 | 「私钥泄露」与「签名流程被入侵」两说并存，官方未定性 |
| 后门是否已关闭 | 未确认 | 10-30 00:10 的转入交易中 Binance 14 仍带 proxy_type: eip7702，且最近 50 笔转出里没有指向 address(0) 的撤销交易 |
| 多链损失同属一次攻击 | 不成立 | 授权 chain_id = 1，仅限以太坊主网；BTC/Tron/Solana 无此机制 |
另一个必须澄清的认知误区：这次不是「智能合约被黑」。 合约没有漏洞，被攻破的是「谁有权让钱包执行代码」。
这也是为什么损失边界如此清晰 —— 受影响的只有币安自己控制的地址，Aave、Bybit 等协议层与平台层毫发无伤。
八、结论
把线索按时间排开后，轮廓比最初报道清楚得多：攻击者在 15:59 就部署好了恶意委托合约，20:24 用一条由热钱包私钥签署的授权完成清空，20:32 才被公开察觉，21:01 起发行方开始冻结。
真正被抢走的时间窗口只有几分钟，而真正能挽回损失的手段只能覆盖约 45%。
对市场的含义分三层：
短期看提现恢复时点与冻结规模，决定 BNB 的折价是否继续扩大。
中期看币安是否公布净损失、储备证明与根因，决定这是「可控运营事故」还是「托管信任重定价的起点」。
长期看这次 EIP-7702 路径是否倒逼全行业重构热钱包签名架构 —— 如果不止币安一家在用「在线 EOA 直接持币」的模式，那么同类风险仍是行业级的。
底线判断。 在提现恢复与损失口径落地之前，不宜把 BNB 的下跌当作「错杀」：它跌的是平台特定风险溢价，而这个溢价要由披露质量来修复，不由时间自动修复。
对用户而言，最现实的动作仍是分散托管、优先自托管，并且在任何「批量授权 / 账户升级」签名请求前停三秒 —— 这次事件的起点，就是一条看起来完全合法的签名。
参考资料
- The Block：币安调查可疑外流
- TechCrunch：币安暂停提现
- CoinDesk 实时报道
- Ondology Labs：EIP-7702 攻击分析
- Threat Landscape：热钱包与 7702 委托
- FinanceFeeds 引 Arkham：三家发行方冻结逾 25 亿
- 币安官方声明
- CZ 表态
- Spreek 首次示警
- 0xQuit：资产清单与合约部署
- BWEnews：独立链上核算
- Lookonchain：攻击者抛售动作
- Aave 声明
配套阅读：EIP-7702 攻击链复盘：18 小时准备，一条签名，一个机器人、EIP-7702 的签名流程、币安还没公开那份签名日志。数据截至 2026-10-30 00:30 UTC，事件仍在进行中。所有金额为报道与链上监测口径，非经审计数字；币安未公布净损失，根因未经官方确认。不构成投资建议。DYOR。