整理：Gandalf，Techub News
说明
- 时间一律为北京时间（UTC+8）。链上时间来自原文的 UTC 时间加 8 小时；推文时间以 X 接口返回的发布时间为准。
- 「链上」条目主要依据 CertiK 工程师、SEAL 成员 Dickson（@DicksonWuML）10 月 30 日 08:14 在 X 发布的逐笔统计推文串及其所附交易链接（数据截至 07:50），并参考 MetaFinancialAI、Blockaid 的公开分析；攻击者在 Aave 的存借记录和 Binance 14 撤销授权的交易，由本文经以太坊节点直接查询核实。币安尚未公布官方技术复盘。
- 涉及金额均为各来源当时口径，不同机构统计范围不同，文中注明出处，不作合并换算。行情取 CoinGecko 5 分钟价格。
一、事前准备（10 月 28 日至 30 日凌晨）
- 10 月 28 日 15:39（链上）：攻击者主钱包 0x7c86…5ca0 首次从 Tornado Cash 提取 0.1 ETH 作为手续费，此后又提取两次；10 月 30 日 02:20，另一钱包把从 Tornado 提出的 1 ETH 转入主钱包。来源：Dickson、Dickson 交易链接、MetaFinancialAI
- 10 月 29 日 10:28（链上）：攻击者部署清扫合约（sweeper）。来源：Dickson、Dickson 交易链接
- 10 月 29 日 21:51 至 10 月 30 日 00:47（链上）：攻击者用自己的钱包演练，借 EIP-7702 委托清扫测试用的 USDT、USDC 后再提走。来源：Dickson、WazzCrypto
- 10 月 29 日 23:59（链上）：攻击者上线带通用调用功能的 v2 合约 0x63e8…6fae，合约代码把 0x7c86 写死为唯一操作者；该合约后来被用于转走 8.23 亿 USDC。来源：Dickson、MetaFinancialAI
二、攻击（10 月 30 日 04:04 至 05:01）
- 04:04:52（链上）：币安 XRP 钱包向攻击者发出 42,750,000.1 枚 RLUSD，因攻击者 XRP 账户尚未激活被退回；8 秒后 185,017,485.5 枚 XRP 转出成功。04:09 前，另外 4 个币安 XRP 钱包也被转空。这是目前已知的第一笔异常转账。来源：Dickson、Dickson 交易链接
- 04:10（链上）：Solana 上一笔交易转出 965,455.1 枚 SOL。Whale Alert 04:11 播报「965,455 SOL 自币安转至未知新钱包」。来源：Dickson、Whale Alert
- 04:18（链上）：Optimism 上转出 4,420 万枚 OP。来源：Dickson、Dickson 交易链接
- 04:20（链上）：比特币网络上 11 笔交易转出 18,270.2 枚 BTC，在同一区块内拆出多份恰好 1,000 枚的输出（截至 07:50 分布在 19 个钱包，其中 17 个各持 1,000 枚）。Whale Alert 04:30 至 04:33 陆续播报 7,636、2,946、4,696、1,409 枚 BTC 自币安转出。注意：Dickson 依据时间与交易指纹（同一时段、全新收款地址，手续费与交易格式不同于币安日常提现）将比特币以及 XRP、波场上的转出归入本案，截至 09:00 币安未确认。来源：Dickson、Dickson 持仓、Dickson 说明、Whale Alert
- 04:20 至 04:22（链上）：波场上转出 6.127 亿 USDT 和 4,640 万枚 TRX。Whale Alert 04:23 播报「612,729,468 USDT 自币安转至未知钱包」。来源：Dickson、Whale Alert
- 04:20:59（链上）：攻击者向币安以太坊最大热钱包 Binance 14（0x28C6c06298d514Db089934071355E5743bf21d60）发出一笔类型 4（Type-4）交易，内含 50 个 EIP-7702 授权，均以 Binance 14 自己的私钥签名，对应 nonce 18,914,775 至 18,914,824。Binance 14 在 04:17:47 刚用过 nonce 18,914,775，说明这批授权在使用前几分钟才签出；最终 nonce 18,914,809 命中，Binance 14 自此执行攻击者合约的代码。来源：Dickson、Dickson 命中 nonce、Dickson 交易链接、Blockaid、MetaFinancialAI
- 04:24:23（链上）：攻击者调用一次 sweep()，从 Binance 14 转走 167,464 ETH、1,615,409,499 USDT 及约 7.18 万亿 PEPE、226 万 LINK、82.5 WBTC 等 60 多种代币，归集到 0x5227f603C1eE34CE3C06eFe6477003BDfCCB2f8c。交易哈希 0x53bd38b816c23e74134786c29a8c18d792777998a3b9326047b583100e88e2f3。来源：MetaFinancialAI、Tree News
- 04:24:47（链上）：另一热钱包 Binance 16 直接签名 9 笔转账给攻击者，包括 28,005.6 ETH、5,570 万 USDT、2,590 万 RLUSD 等，合计约 1.742 亿美元，未经 EIP-7702。来源：Dickson、Aytunc
- 04:30 至 04:33（链上）：攻击者把 5 亿 USDT 转到 0x9749…c762（至 04:59 已有 3.25 亿经询价做市商换成 ETH），2 亿 USDT 转到 0x0ddf…697e（1.9 亿再转至 0x8d53…639a，后者向 Aave 存入 6,000 万 USDT 借出 ETH）。另有 195,460 ETH 于 04:40 前后转至 0x8532…43d4（Whale Alert 04:40 播报），截至 07:50 仍未动用。来源：Dickson、Dickson 持仓链接、MetaFinancialAI、Whale Alert、Aytunc
- 04:30 至 04:35（链上）：Arbitrum、Avalanche 上的币安钱包被转出。Blockaid 统计 Arbitrum 约 8,426 ETH，Avalanche 约 181 万 AVAX 和 840 万 USDT。来源：Dickson、Dickson 分链统计、Dickson 交易链接、Blockaid
- 04:41 与 04:59（链上）：攻击者借已被委托的 Binance 14，从一个信任它的币安智能钱包转走 7.8 亿和 4,300 万 USDC，合计约 8.226 亿美元。Whale Alert 04:42 播报 7.8 亿 USDC 转出。来源：Dickson、Whale Alert
- 04:57:59 至 05:00:59（链上）：攻击者钱包 0x8d53…639a 先后向 Aave V3 存入 1,000 万和 5,000 万 USDT，借出 3,271.4 和 16,491.0 枚 WETH，合计约 19,762 枚（按 CoinGecko 05:00 价格约 4,460 万美元）；这 6,000 万 USDT 此后作为抵押困在 Aave。来源：Dickson；链上交易 存入 1、借出 1、存入 2、借出 2
三、发现与报警（04:32 至 05:23）
- 04:32:51：链上研究员 Spreek（@spreekaway）发推称「未经证实，但可能是一起大规模币安被盗」：一个币安钱包被整体转入新地址，发起转账的合约调用由 Tornado Cash 提供资金。Cointelegraph 称其为最早发出警报者之一。来源：Spreek、Cointelegraph
- 04:38:52 至 05:13：「币安钱包在五条链流出 27.7 亿美元」的说法出现。X 上可查最早的是转帖快讯账号 @CaktusJxck 04:38:52 的帖子；04:42:17，常搬运彭博终端标题的聚合账号 @DeItaone（Walter Bloomberg，并非彭博社官方账号）发出几乎相同的标题，此后多被标注为「彭博报道」。NBC 亦称彭博较早报道了此事，本文未能读取彭博原文。Cointelegraph 05:13 以「据称被盗 27.7 亿美元」发出快讯。来源：CaktusJxck、DeItaone、NBC、Cointelegraph
- 04:39:00：Tree News 快讯「POTENTIAL BINANCE HACK ONGOING - ONCHAIN」（币安疑似正在遭受黑客攻击）。来源：Tree News
- 04:39:07：快讯聚合账号 AggrNews 称，链上显示币安出现流向新建地址的不明资金流出，相关地址由 Tornado Cash 注资。来源：AggrNews
- 04:41：Tree News 补充：TreeAI 标记到一起疑似盗窃，币安热钱包于 16 分钟前向一个由 Tornado Cash 注资的地址转出 60 多种、价值数十亿美元的代币，细节尚不清楚，并附主交易哈希。来源：Tree News
- 05:07：DegenerateNews 称一个新钱包持有约 23.6 亿美元、64 种代币，币安尚未回应。来源：DegenerateNews
- 05:09：Arkham 分析师 Emmett Gallic 公布疑似被盗钱包，称已有超过 30 亿美元流出；05:17 更正为「超过 50 亿美元离开币安地址，其中约 23 亿美元为可冻结的 USDT 和 USDC」。来源：Emmett Gallic 05:09、05:17
- 05:10：链上监测账号 Defimon（@DefimonAlerts）发布告警，将本案定性为「EIP-7702 委托滥用／私钥被攻破」，以太坊上 Binance 14 一笔清扫损失约 25.3 亿美元。来源：Defimon
- 05:11：Blockaid 发布首条分析：大额流出约始于 UTC 20:24（北京时间 04:24），看起来是未授权转移，但尚不能排除内部调拨；列出受影响的币安钱包和主归集地址 0x5227…2f8c。Blockaid 后称其在两分钟内检测到攻击。来源：Blockaid 05:11、Blockaid 08:40
- 05:22：PeckShield 称「确认被黑」。来源：PeckShieldAlert
四、冻结与追截（04:57 至 08:52）
- 04:57:47（链上）：World Liberty 将 0x5227 中的 4,850 万枚 WLFI 拉黑，是已知最早的一笔发行方冻结。来源：Dickson、Dickson 交易链接
- 05:01:35（链上）：Tether 首批黑名单生效，0x5227 中当时仍有约 9.71 亿 USDT 被冻结；0x9749 被拉黑时已被转空。05:02:47 冻结 0x8d53，05:14:59 冻结仍停在 0xaa24 的 1.75 亿 USDT，05:18:59 截住 0xb171 的 3,000 万 USDT。以太坊上 18.75 亿 USDT 中约 4.35 亿在拉黑前被卖出。来源：Dickson、Dickson 逐笔拦截、Dickson 交易链接
- 05:04:23（链上）：Binance 14 的委托未撤销，攻击者首次补充清扫，转走约 1,700 ETH 和 390 万 USDT。来源：Dickson、Dickson 交易链接
- 05:04:59（链上）：Circle 冻结 0x5227 中的 8.23 亿 USDC。来源：Dickson、Dickson 交易链接
- 05:05：Tree News 快讯「Tether 冻结 9.71 亿美元 USDT，币安仍未回应」。来源：Tree News
- 05:07:55 至 05:21（链上）：Tether 冻结 Avalanche 上约 841 万 USDT，以及波场上三个钱包共约 3.787 亿 USDT（此前约 2.34 亿已经 SunSwap 换成 TRX）；05:11:23 冻结 12,574 枚 XAUt（约 5,000 万美元）。来源：Dickson、Dickson 交易链接
- 05:18：Circle CEO Jeremy Allaire 宣布「与执法部门协调」冻结超过 8 亿 USDC，是首个公开提到执法部门的表态。来源：Jeremy Allaire
- 05:25：Tether CEO Paolo Ardoino 宣布冻结超过 15.67 亿 USDT。来源：Paolo Ardoino
- 05:44（链上）：Binance 14 的委托仍未撤销，攻击者第二次补充清扫，转走约 2.004 亿 USDT 和 370 ETH；这笔 USDT 落入已被冻结的 0x5227。来源：Dickson、Dickson 交易链接
- 05:45：Whale Alert 称过去 40 分钟内共有 23.7 亿美元 USDT 和 USDC 被冻结。来源：Whale Alert
- 05:55：Conor Grogan（@jconorgrogan）发推称，币安充值钱包的自动归集仍未关闭，补入热钱包的资金随即被攻击者扫走；05:57 喊话币安和 CZ 立即关闭归集，06:12 称已获悉归集已暂停。来源：Conor Grogan 05:55、05:57、06:12
- 05:59：BitGo（USD1 托管方）称自身未发现安全问题，正冻结 World Liberty 指认的收到被盗资金地址上的 USD1。来源：BitGo
- 06:00:59（链上）：Ripple 冻结 RLUSD。攻击者 05:33 已把 RLUSD 转到 0xe702…958d 并卖出约 4,800 万换 ETH，实际截获约 4,050 万枚。06:08 Ripple 稳定币业务高级副总裁 Jack McDonald 发表声明，未给出金额；何一同时发推感谢 Ripple「迅速冻结约 2 亿」，未注明币种，与链上数据对不上。来源：Dickson、Jack McDonald、何一
- 06:06:23（链上）：Tether 将仍处于被委托状态的 Binance 14 本身拉黑，此后币安从该地址发出的 USDT 转账（06:15、07:01）均失败。来源：Dickson、Dickson 交易链接
- 06:10:35（链上）：World Liberty 冻结 2,780 万枚 USD1；06:17 WLFI 官方称已与 BitGo 合作冻结被盗的 WLFI 和 USD1。何一 06:22 称冻结 2,700 万美元 USD1 和 4,800 万枚（约 200 万美元）WLFI。来源：Dickson、WLFI、何一
- 06:30:47（链上）：Paxos 冻结 0x5227 中的 1,906.67 枚 PAXG；06:56 Paxos 发推宣布，并称自身系统未受影响。来源：Dickson、Dickson 交易链接、Paxos
- 06:39 至 07:38（链上）：06:39 攻击者第三次补充清扫，把 128.5 ETH 和 122 种小币转到新钱包；06:48:35 币安作为发行方拉黑攻击者 05:52 转走的 29,934 枚 wBETH（约 7,500 万美元）；06:55 至 07:07，币安从 Binance 14 连发 46 笔代币转账转到 Binance 8，约每 12 秒一笔。攻击者 07:36 至 07:38 又调用 4 次 sweep()，均为零余额。来源：Dickson、Dickson 发行方冻结、Dickson 交易链接
- 07:22：币安回应外界流传的 18 亿美元等不同数字，称经核实的冻结总额为 25.4 亿美元。18 亿口径应指早期 Tether 约 9.71 亿至 9.75 亿加 Circle 8.23 亿的合计（WazzCrypto 05:12、CZ 05:15、Decrypt 均用此口径），币安未说明出处。来源：币安
- 07:27:35 至 07:31:59（链上）：攻击者经 Avalanche 转移 AVAX 后，关联地址 07:27:35 经 Circle CCTP 跨链在以太坊上收到 1,563,812.78 USDC，Circle 四分钟后于 07:31:59 将其拉黑。来源：Dickson、Dickson 交易链接
- 08:08:35（链上）：Arbitrum 安全委员会的紧急操作交易在以太坊上执行（交易 0xb69c81774f507d46ce776aeaed8b4d31df96dd66ce6fd05073481011835355d6），把攻击者 Arbitrum 地址 0x3E2bf1ac6bf0934BBba6456C341c2EcbCED632d5 上的资产转入中间冻结钱包。ZachXBT 08:14 率先公布，称冻结约 3,050 万美元；Arbitrum 官方 08:19 确认「救出」74,559,805 ARB 和 8,425 ETH，只能由安全委员会或 Arbitrum DAO 投票再动用。来源：ZachXBT、Arbitrum
- 08:10:35（链上）：Binance 14 自己发出一笔类型 4 交易（区块 26,301,896），把 EIP-7702 委托改指零地址，攻击者合约的代码随之失效，距 04:20:59 委托生效约 3 小时 50 分钟。MahmudDeFi 08:26 发推指出委托已清除。来源：链上交易、MahmudDeFi
- 08:14：Dickson 发布统计（数据截至 07:50），已冻结约 28.0 亿美元，仍可自由转移约 32.7 亿美元（18,270 BTC 约 14.2 亿、458,770 ETH 约 10.3 亿、2.335 亿 XRP、6.846 亿 TRX 等），另有 6,000 万 USDT 困在 Aave 抵押中；First Digital 发行的约 345 万 FDUSD 仍可转移。来源：Dickson、Dickson 发行方冻结
- 08:52：币安称经核实的冻结总额约为 30 亿美元；中文账号 08:59 称「近 30 亿美元」。可查的链上冻结合计约 28.3 亿美元，与币安口径相差约 1.7 亿美元，构成未公开。来源：币安、币安中文
五、币安及相关方表态（05:15 至 08:22）
- 05:15：CZ 发推称「用户资金安全」「看起来确实是币安被黑」，感谢 Tether（约 9.71 亿美元）和 Circle（约 8.23 亿美元）迅速冻结；他表示已不再管理 Binance.com，但「作为股东」预计所有用户资金将得到全额覆盖。来源：CZ
- 05:15 至 05:29：@binance 首份声明 05:15:37 发出，称团队已注意到潜在安全问题、正在调查，并提醒用户防范诈骗，未提用户资金。据 X 接口返回的编辑记录，该推文被编辑三次：05:16:31 加入「目前尚未确认对用户资金的影响」，05:24:16 删去这句，05:29:09 的最终版加入「用户资金完全安全」。来源：币安 05:15 原版、05:16 版、05:24 版、05:29 最终版
- 05:17：何一发推称已注意到潜在安全问题、正在调查，「User Funds SAFU」。来源：何一
- 05:39：币安中文账号发布同样内容。05:54 称已冻结约 8.23 亿美元 USDC 及 15.67 亿美元 USDT。来源：币安中文 05:39、05:54
- 06:15、06:33：币安称团队正在安全检查，提现将在问题完全解决后恢复。何一 06:22 称环境确认安全前提现已关闭。来源：币安 06:15、06:33、何一
- 06:23：CZ 引用 DefiLlama 的 0xngmi 05:26 的推文（币安托管资产约 1,440 亿美元，USDT、USDC 被冻结后损失约 10 亿美元，仅占 0.69%），回应「损失可能比这高一点，但会覆盖」。来源：CZ、0xngmi
- 07:06：币安暂停 Binance Alpha 交易，包括使用现货钱包资金的 CEX 买币、Alpha 即时交易等；中文账号 07:29 同步。来源：币安、币安中文
- 08:04：何一发推称「币安将承担全部黑客损失」，充值和提现暂停，调查完成后发布完整复盘报告。来源：何一
- 08:13：@binance 发布同样内容，称所有充值和提现暂停，将承担全部损失；中文账号 08:22 同步。截至 09:00 未公布恢复时间。来源：币安、币安中文
- 08:22：币安 CEO Richard Teng 发布推文串，称用户资金仍然安全、提现将在问题解决后恢复，并提醒防范诈骗。来源：Richard Teng
六、市场与行业反应
- 04:05 至 04:40（背景）：美股盘后 Intel、Amazon 大跌，CoinDesk 04:40 将 BTC 跌破 8 万美元归因于科技股财报，当时尚未与币安关联。10 月 30 日另有约 110 亿美元期权到期。BTC 跌幅不能全部归因于本案。来源：CoinDesk、SBS（引彭博）
- 04:50：CoinGecko 5 分钟数据显示，BNB 从 04:15 的 738.90 美元跌至 692.32 美元（-6.3%）。来源：CoinGecko 5 分钟行情数据
- 05:02：BeInCrypto 引用 CoinGlass 数据称，过去 1 小时全网合约爆仓约 6.28 亿美元，其中多单约 6.07 亿；币安一家约 3.45 亿，占一半以上。来源：BeInCrypto（Yahoo Finance 转载）
- 05:41：BinanceUS 声明未受影响，称自己是独立平台，客户资金和服务安全、运行正常；CZ 06:06 转发。来源：BinanceUS、CZ 转发
- 06:03：Solana 借贷协议 Kamino 称未受影响，但出于谨慎暂停 SOL/BTC 市场借款。来源：Kamino
- 06:15：Chainalysis 称正在调查，监控资金在比特币、以太坊、波场及多条 L2 上的流动。来源：Chainalysis
- 06:33：马斯克评论「Everyday is Zeroday」（每天都是零日）。来源：Elon Musk
- 06:44：Aave 官方称合约未受影响、头寸仍超额抵押，作为预防冻结所有 DAO 运营的 V3 和 V4 市场，暂停新存款和借款，用户仍可提款和还款。此前 05:48 AggrNews 称链上显示 Aave 已冻结借贷市场；DefiLlama 的 0xngmi 05:58 称 Aave 冻结了以太坊主网 V3 市场，06:06 称 V4 也已冻结，06:12 称 Base V3 和 Avalanche V4 市场亦被冻结，被冻结的市场占 Aave TVL「近 90%」。06:48 LlamaRisk 称正与 Aave Labs 等服务方合作，所有 V3 和部分 V4 市场已停止新增敞口。来源：Aave、AggrNews、0xngmi 05:58、06:06、06:12、LlamaRisk
- 06:54：Cointelegraph 汇总敞口：Wintermute 对币安敞口低于净权益 20%，GSR 低于 5%，Ethena、Lido 无直接敞口。来源：Cointelegraph
- 07:03 至 07:05：Bybit 称未受影响；CEO Ben Zhou 表示与币安站在一起。来源：Bybit、Ben Zhou
- 07:27 至 07:53：Lookonchain 称攻击者在链上抛售 PEPE、LINK、UNI、ENA；DegenerateNews 称 7.77 万亿枚 PEPE 已全部卖出（即 Binance 14 被扫的约 7.18 万亿与 Binance 16 转出的约 5,836 亿之和）。来源：Lookonchain、DegenerateNews
- 08:17：CoinDesk 据储备证明报道，Binance 14 在币安 10 月 1 日的储备证明中，被盗资产属于支撑客户余额的储备；约 20.45 万 ETH 被盗后，币安 ETH 储备覆盖率由 100% 降至约 94%。来源：CoinDesk 报道（CoinDesk 08:58 在 X 推送该文：推文）
- 08:26：Chainalysis 估算被盗资产按当时价值约 59.12 亿美元，接近 2025 年 Bybit 案的 4 倍。来源：Chainalysis
- 08:28：Blockaid CEO Ido Ben-Natan 对 Cointelegraph 称，本案可能源于签名系统被攻破，而非私钥被盗；Blockaid 08:40 发推称攻击者「使用被盗的密钥」从币安热钱包盗走 55 亿美元（其博文称至少 55 亿美元）。来源：Cointelegraph、Blockaid
- 08:30：CoinGecko 5 分钟数据显示，BNB 跌至 683.32 美元，为截止前最低，较 04:15 累计下跌约 7.5%；BTC 同一时点为 76,894.66 美元，也是截止前最低。来源：CoinGecko 5 分钟行情数据
七、截至 09:00 仍未确定的事项
- 攻击者如何取得 Binance 14、Binance 16 的签名能力：私钥泄露、签名系统被攻破还是内部环节出问题，币安尚未说明。
- 约 18,270 枚 BTC 及 XRP、SOL、OP、TRX 链上转出是否全部属于被盗，各方口径不一。
- 币安公布的「约 30 亿美元」冻结额与可查链上冻结（约 28.3 亿美元）之间的差额构成。
- 归因：ZachXBT 08:17 回复网友称「很可能是 Lazarus Group」，属个人判断；截至 09:00，无政府或主流链上分析机构公开归因。来源：ZachXBT
- 充值、提现恢复时间。
