撰文：Gandalf，Techub News
导语
10 月 30 日，币安热钱包被盗事件发生当天，硬件钱包公司 OneKey 创始人兼 CEO Yishi（Yishi Wang）在 X 上发文称，他怀疑贝莱德旗下的比特币现货 ETF IBIT「已经进入朝鲜的目标短名单」。他的理由是：Bybit 和币安两起案件都显示，攻击者不必拿到私钥，只要攻破签名和审批流程就能转走资金；而 IBIT 持有的约 81.5 万枚 BTC 主要由 Coinbase 一家托管，保险和赔偿上限远低于资产规模。
Yishi 没有给出 IBIT 已被盯上的证据，这一判断是他的个人推测。Techub News 依据 IBIT 向美国 SEC 提交的文件、iShares 官网数据、Safe 与 Mandiant 的调查报告、FBI 公告、TRM Labs 报告和币安公告，逐条核对了帖文中的事实陈述：多数数据有据可查，个别细节与原始资料有出入，币安的调查结论在他发帖后也有更新。
核心摘要
- Yishi 称其怀疑 IBIT 已进入朝鲜目标名单，属个人推测；目前没有证据显示 IBIT 已遭攻击或被锁定，截至发稿也未见贝莱德或 iShares 回应。
- Yishi 引用的 Bybit 案细节基本属实：据 Mandiant 调查，攻击者 2025 年 2 月 4 日通过一个以股票投资模拟器为名的恶意 Docker 项目攻破一名 Safe{Wallet} 开发者的 Mac，17 天后完成约 15 亿美元的盗窃；帖文称其「伪装成合法的 Docker 相关工具」，与报告描述不符。
- TRM Labs 以「高度确信」把币安案归于朝鲜黑客组织 TraderTraitor；币安 16:47 更新称，除最初怀疑的一台被入侵笔记本电脑外，后续调查发现了更多入侵点。
- IBIT 截至 10 月 28 日持有 814,715 枚 BTC，10 月 29 日净资产约 657.8 亿美元；最新季报写明比特币由 Coinbase Custody 托管，Anchorage Digital 为额外托管人，发起人目前没有把比特币转过去的计划。
- IBIT 年报写明，信托和发起人都没有为比特币投保；Coinbase 母公司的商业犯罪保险由其全部客户共享，此前的申报文件披露额度最高 3.2 亿美元；托管协议规定，每个冷存储地址的赔偿责任上限为 1 亿美元。按 10 月 29 日数据，60 亿美元的损失约合 IBIT 净资产的 9.1%，每股约 4.17 美元。
一、Yishi 说了什么
Yishi 的帖文发于北京时间 10 月 30 日 13:42，开头一句是「我怀疑 IBIT 已经在朝鲜的短名单上」。他先复述 2025 年 2 月的 Bybit 案：攻击者攻破一名 Safe{Wallet} 开发者的电脑，潜伏 17 天，篡改了 Bybit 签名人员使用的交易界面，签名人员以为批准的是正常交易，实际授权了从冷钱包转走 15 亿美元。他由此指出，私钥可以一直离线，盗窃照样能通过一个被攻破的界面获得批准。
接着他提到币安案：TRM Labs 以高度确信把它归于 TraderTraitor，币安的初步调查指向一台被入侵的 DevOps 工程师笔记本电脑，币安称没有私钥泄露的证据，TRM 的分析则认为攻击者可能取得了签名基础设施的控制权。
随后他把同样的情形套到 IBIT 上：约 81.5 万枚 BTC、约 630 亿美元集中在 Coinbase 一家托管机构，Anchorage Digital 虽被任命为额外托管人但没有转移计划；60 亿美元的盗窃将抹去约 9.5% 的资产、每股约 4 美元；比特币不像稳定币那样可以冻结；贝莱德没有为基金的比特币单独投保，Coinbase 披露的 3.2 亿美元商业犯罪保险由全体客户共享，托管协议对每个冷存储地址的赔偿上限为 1 亿美元；如果被盗资产无法追回、赔偿又不足，剩余损失最终由 IBIT 股东承担。
帖文最后是给持币者的建议：把资产分散在相互独立的托管方案中，私钥离线保存，在与发起交易的电脑相互独立的可信设备屏幕上核对交易内容，并假设自己的基础设施终有一部分会被攻破，持续检查安全架构。来源：Yishi 帖文、Techub News
二、Bybit 与币安：私钥没丢，签名流程被攻破
Bybit 案的经过有完整的官方调查可查。Safe 2025 年 3 月公布了它与 Mandiant 联合调查的初步结果：攻击者攻破一名 Safe{Wallet} 开发者的笔记本电脑，劫持其 AWS 会话令牌绕过多因素认证，并确认作案者为朝鲜黑客组织 TraderTraitor。Mandiant 报告的时间线显示，这名开发者的 macOS 电脑于 2025 年 2 月 4 日 08:55（UTC）被攻破，起因是一个名为「MC-Based-Stock-Invest-Simulator-main」的 Docker 项目与攻击者域名 getstockprice[.]com 通信，相关文件位于下载目录，Mandiant 认为可能涉及社会工程；攻击者 2 月 5 日至 21 日使用这名开发者的 AWS 会话令牌活动，2 月 19 日 Safe{Wallet} 网站前端已被插入恶意 JavaScript 代码，2 月 21 日 14:13（UTC）Bybit 的盗窃交易上链。从电脑被攻破到盗窃约 17 天，与 Yishi 所说一致；但报告描述的是一个以股票投资模拟器为名的恶意 Docker 项目，并非他所说的「伪装成合法的 Docker 相关工具」。
Bybit 称，被盗发生在一次计划中的以太坊多签冷钱包转热钱包操作中，攻击篡改了冷钱包的智能合约逻辑，并对签名界面做了伪装。FBI 2025 年 2 月 26 日发布公告，认定朝鲜对这起约 15 亿美元的盗窃负责，并称这类活动为「TraderTraitor」。来源：Techub News、Techub News、Safe 调查更新（含 Mandiant 报告）、FBI 公告
TraderTraitor 与 DMM Bitcoin 案的关联同样有政府文件。2024 年 12 月，FBI、美国国防部网络犯罪中心和日本警察厅联合发布文件，认定当年 5 月 DMM Bitcoin 被盗 4,502.9 枚 BTC（当时约 3.08 亿美元）与 TraderTraitor 的活动有关。来源：Techub News、日本警察厅
币安案方面，TRM Labs 发布报告称，攻击者从币安盗走约 63.6 亿美元资产，涉及十条区块链，TRM 基于链上与链下情报把攻击归于 TraderTraitor，并称「我们以高度确信作出这一判断」。报告的一节标题是「证据指向币安的签名基础设施」，TRM 认为最可能的解释是，攻击者取得了让币安热钱包签名系统按其意图签署交易的能力；TRM 没有涉及冷钱包。
币安的说法在 Yishi 发帖前后有所变化。币安北京时间 10:24 公布的初步调查称，事件可能涉及一名 DevOps 工程师的笔记本电脑被入侵，攻击者借此进入服务容器并提交未经授权的提现，目前未发现钱包私钥泄露的证据；CEO Richard Teng 15:37 补充说，攻击者并非只是使用了某一名工程师的权限，而是一个更复杂的攻击过程。16:47，币安发布调查更新称，后续调查发现了更多入侵点，这是一次复杂的攻击，仍在收集事实；币安将以 SAFU 基金和公司资金承担全部损失，提现预计约 45 小时后恢复，充值不受影响，已冻结约 30 亿美元。来源：TRM Labs、Techub News、Richard Teng、币安调查更新
Yishi 说「币安成功冻结了部分被盗的稳定币」，严格说来，冻结是由稳定币发行方在与币安等方协调后执行的。据 TRM 统计，Tether、Circle、Ripple 和 World Liberty Financial 共冻结约 26.7 亿美元稳定币；攻击者仍持有逾 42 万枚 ETH 和 18,270 枚 BTC，约 24 亿美元，这些资产不受任何发行方控制。Techub News 此前的复盘也记录了冻结过程。来源：TRM Labs、Techub News 复盘
三、IBIT 的托管与保险：申报文件怎么写
持仓规模方面，iShares 官网的持仓文件显示，截至 10 月 28 日，IBIT 持有 814,715.1472 枚 BTC；产品页显示，截至 10 月 29 日，基金净资产为 657.78 亿美元，流通份额 14.392 亿份，每份净值 45.71 美元。Yishi 所说的约 630 亿美元，与 10 月 30 日比特币跌至约 7.6 万美元后的市值相符。来源：iShares 持仓文件、iShares 产品页
托管安排方面，IBIT 2026 年 8 月 6 日提交的第二季度季报（截至发稿的最新一期季报）写明，Coinbase Custody Trust Company 负责保管信托持有的比特币，Anchorage Digital Bank 为「额外比特币托管人」，并称「目前，发起人没有把信托的任何比特币转移给额外比特币托管人的计划」；2025 年年报对同一事项的表述是，这一计划「仍在持续评估中」。Anchorage Digital 2025 年 4 月宣布被贝莱德选为数字资产托管机构。来源：IBIT 2026 年第二季度季报、IBIT 2025 年年报、Techub News
保险方面，IBIT 2025 年年报写明，信托和发起人都没有为信托的比特币投保，贝莱德等关联方也没有为信托资产提供担保；Coinbase 母公司 Coinbase Global 维持的保险由 Coinbase 全部客户共享，并非 IBIT 专属。保险金额出现在更早的申报文件中：IBIT 2025 年第三季度季报称，Coinbase Global 告知发起人，其商业犯罪保险额度最高为 3.2 亿美元。2025 年年报保留了「全部客户共享」的表述，但没有再列出具体金额。来源：IBIT 2025 年年报、IBIT 2025 年第三季度季报
赔偿责任方面，年报列出的托管协议条款规定，托管人对每个冷存储地址的累计赔偿责任不超过 1 亿美元；托管人一般只对过失、欺诈、重大违法或故意不当行为负责，协议另有其他责任上限。年报还称，托管人会创建和使用新的冷存储钱包，以限制单个钱包内的比特币价值。在风险因素部分，年报写道，信托的比特币「将对黑客或恶意软件传播者具有吸引力，而且随着信托资产增长，吸引力只会更大」；若损失无人担责，信托及其股东将承担比特币损失的风险，安全漏洞可能导致信托资产部分或全部损失、份额价值下降乃至归零。来源：IBIT 2025 年年报
按 Yishi 设想的 60 亿美元损失计算：以 10 月 29 日 657.78 亿美元的净资产计，约占 9.1%；以 14.392 亿份流通份额计，每份约 4.17 美元。他所说的约 9.5%，对应的是 10 月 30 日比特币下跌后约 630 亿美元的市值。
四、尚待证实之处
Yishi 的核心判断「IBIT 已经在朝鲜的短名单上」是推测，帖文没有提供 IBIT 或 Coinbase 遭到攻击、被侦察或被锁定的证据。他援引的托管集中、保险共享和赔偿上限等事实，都来自 IBIT 公开的申报文件；这些文件本身也把黑客攻击列为主要风险之一。币安案的攻击路径仍在调查中，币安尚未发布技术复盘，TRM 的「签名基础设施」判断属于分析机构的评估，尚未得到币安确认。截至发稿，未见贝莱德或 iShares 就 Yishi 的帖文或 IBIT 托管安全作出回应。
编辑说明：本文时间除特别注明外均为北京时间。Yishi 帖文发布于 10 月 30 日 13:42，其身份据 YZi Labs 与 OneKey 官网信息为 OneKey 创始人兼 CEO。IBIT 持仓与净资产数据分别截至 10 月 28 日和 10 月 29 日，取自 iShares 官网；托管、保险与赔偿责任条款取自 IBIT 向美国 SEC 提交的 2025 年年报、2025 年第三季度季报和 2026 年第二季度季报；Bybit 案细节取自 Safe 公布的 Mandiant 初步调查报告、Bybit 公告和 FBI 公告；币安案取自 TRM Labs 报告及币安、Richard Teng 的官方帖文。本文未引用中文加密媒体的报道。
免责声明：本文仅为信息报道与分析，不构成任何投资建议。
