Binance 遭遇安全入侵，涉及 63 亿美元资产，近 30 亿美元被冻结

加密货币巨头 Binance 于周四表示，其平台上的一起"安全事件"影响了价值约 63 亿美元的资产。

这家全球最大的加密货币交易所表示，其中近 30 亿美元的资产迄今已在链上被冻结。

Tether 和 Circle 表示，它们已分别冻结了与该事件相关的超过 15.67 亿 USDT 和 8 亿 USDT。据称 Arbitrum Security Council 已执行了一笔交易，冻结了 Binance Exploit 中约 3,050 万美元。

"初步调查表明，该安全事件可能涉及一名 DevOps 工程师被攻陷的笔记本电脑，使攻击者得以访问一个服务容器并提交未经授权的提款交易，" Binance 在一份更新中表示。

该公司表示没有钱包私钥泄露的证据，并补充说它将用用户安全资产基金（SAFU）和自有资金覆盖所有损失。

出于谨慎考虑，Binance 还采取了以下措施——

• 在完成安全检查期间临时暂停充值和提现
• 撤销受影响的地址授权
• 聘请执法部门和区块链情报合作伙伴追踪并追回资金

"我们正与执法合作伙伴密切合作，以确认这些犯罪分子的身份并将他们绳之以法，" Binance 表示。

在一份更新中，Binance 表示预计提现将在 48 小时内恢复，届时其团队"完成提现服务及相关地址的安全改造"。

这一事件使其成为迄今为止记录的最大加密货币盗窃案，超过了 2025 年 2 月从 Bybit 窃取的约 15 亿美元。该事件随后被归因于朝鲜。

"我们目前对被盗金额的估计是盗窃时约 59.12 亿美元，几乎是第二大加密货币盗窃案被盗金额的 4 倍，"区块链情报公司 Chainalysis 在一条 X 帖子中表示。

归因于朝鲜的 TraderTraitor

TRM Labs 以高置信度将这起针对 Binance 的创纪录黑客攻击归因于朝鲜的威胁行为者。这家区块链分析公司将攻击归因于 TraderTraitor，后者也是 2025 年 Bybit 盗窃案的幕后黑手。

"这次攻击的几个特征与早先与朝鲜相关的盗窃案相符，包括 Bybit 黑客事件和 2026 年 4 月的 KelpDAO 黑客事件：小额 Tornado Cash 提现为操作者钱包提供资金、远在盗窃之前就开始的准备工作，以及提前获取签名然后一次性爆发执行，" TRM Labs 表示。

"迄今为止观察到的洗钱活动建立在通过做市商和借贷协议进行的大额兑换之上，与 Bybit 之后以跨链桥为主的模式不同。"

TRM Labs 表示，攻击的准备工作至少在盗窃前 36 小时就已开始，攻击者接管了一个 Binance 热钱包，将其"全部余额发送到攻击者控制的地址"——

在 20:20 UTC，操作者提交了一笔包含 50 个授权的单一交易。每个授权都由 Binance 热钱包签名，且每个都将其指向一个只接受操作者指令的清扫合约。每个钱包都维护一个其交易数量的运行计数，称为 nonce，而授权仅在钱包执行时已达到的计数处有效。Binance 热钱包处理着稳定的提现流，因此其计数不断向前推进。通过为 50 个连续计数准备签名，攻击者保证了在交易执行时其中一个仍然有效。有一个匹配，这就是攻击者所需的全部。这些签名是作为一批提前生成的。

在委托后 3 分 24 秒，操作者指示 Binance 热钱包将其全部余额发送到攻击者控制的地址。该单一交易转移了 167,464 ETH 和 63 种代币，包括 16.15 亿 USDT。

最可能的解释是，攻击者获得了让 Binance 热钱包签名系统跨链签署其选定交易的能力。这批 50 个预签名授权表明，该访问权限可能在时间上受到限制，或者签名必须通过某个系统请求。Binance 尚未公布根本原因。

迄今为止，Tether、Circle、Ripple 和 World Liberty Financial 已冻结约 26.7 亿美元的稳定币，Arbitrum 的 Security Council 已冻结约 3,000 万美元的 ETH 和 ARB。攻击者仍控制着超过 420,000 ETH 和 18,270 BTC，价值约 24 亿美元，以及其他链上的较小金额。