整理：Gandalf，Techub News
说明
- 时间一律为北京时间（UTC+8）。链上时间来自原文的 UTC 时间加 8 小时；推文时间以 X 接口返回的发布时间为准。
- 「链上」条目来自 Etherscan 等链上记录的第三方整理，主要出处为 CertiK 工程师、SEAL 成员 Dickson（@DicksonWuML）的逐笔统计（深潮 TechFlow 编译，数据截至 10 月 30 日 07:50）及 MetaFinancialAI、Blockaid 的公开分析；币安尚未公布官方技术复盘。
- 涉及金额均为各来源当时口径，不同机构统计范围不同，文中注明出处，不作合并换算。
一、事前准备（10 月 28 日至 29 日）
- 10 月 28 日 15:39（链上）：攻击者主钱包 0x7c86…5ca0 首次从 Tornado Cash 提取 0.1 ETH 作为手续费，此后又提取两次；10 月 30 日 02:20，另一钱包把从 Tornado 提出的 1 ETH 转入主钱包。来源：Dickson / TechFlow、MetaFinancialAI
- 10 月 29 日 10:28（链上）：攻击者部署清扫合约（sweeper）。来源：Dickson / TechFlow
- 10 月 29 日 21:51 至 10 月 30 日 00:47（链上）：攻击者用自己的钱包演练，借 EIP-7702 委托清扫测试用的 USDT、USDC 后再提走。来源：Dickson / TechFlow、WazzCrypto
- 10 月 29 日 23:59（链上）：攻击者上线带通用调用功能的 v2 合约 0x63e8…6fae，合约代码把 0x7c86 写死为唯一操作者；该合约后来被用于转走 8.23 亿 USDC。来源：Dickson / TechFlow、MetaFinancialAI
二、攻击（10 月 30 日 04:04 至 04:59）
- 04:04:52（链上）：币安 XRP 钱包向攻击者发出 42,750,000.1 枚 RLUSD，因攻击者 XRP 账户尚未激活被退回；8 秒后 185,017,485.5 枚 XRP 转出成功。04:09 前，另外 4 个币安 XRP 钱包也被转空。这是目前已知的第一笔异常转账。来源：Dickson / TechFlow
- 04:10（链上）：Solana 上一笔交易转出 965,455.1 枚 SOL。Whale Alert 04:11 播报「965,455 SOL 自币安转至未知新钱包」。来源：Dickson / TechFlow、Whale Alert
- 04:18（链上）：Optimism 上转出 4,420 万枚 OP。来源：Dickson / TechFlow
- 04:20（链上）：比特币网络上 11 笔交易转出 18,270.2 枚 BTC，在同一区块内拆成每份恰好 1,000 枚。Whale Alert 04:30 至 04:33 陆续播报 7,636、2,946、4,696、1,409 枚 BTC 自币安转出。注意：Cobo 联合创始人神鱼认为约 14 亿美元的 BTC 转账「尚无法确认是否属于被盗资产」；Dickson 依据时间与交易特征将其归入本案。来源：Dickson / TechFlow、Whale Alert、吴说转述神鱼
- 04:20 至 04:22（链上）：波场上转出 6.127 亿 USDT 和 4,640 万枚 TRX。Whale Alert 04:23 播报「612,729,468 USDT 自币安转至未知钱包」。来源：Dickson / TechFlow、Whale Alert
- 04:20:59（链上）：攻击者向币安以太坊最大热钱包 Binance 14（0x28C6c06298d514Db089934071355E5743bf21d60）发出一笔类型 4（Type-4）交易，内含 50 个 EIP-7702 授权，均以 Binance 14 自己的私钥签名，对应 nonce 18,914,775 至 18,914,824。Binance 14 在 04:17:47 刚用过 nonce 18,914,775，说明这批授权在使用前几分钟才签出；最终 nonce 18,914,809 命中，Binance 14 自此执行攻击者合约的代码。来源：Dickson / TechFlow、Blockaid、MetaFinancialAI
- 04:24:23（链上）：攻击者调用一次 sweep()，从 Binance 14 转走 167,464 ETH、1,615,409,499 USDT 及 7.17 万亿 PEPE、226 万 LINK、82.5 WBTC 等 60 多种代币，归集到 0x5227f603C1eE34CE3C06eFe6477003BDfCCB2f8c。交易哈希 0x53bd38b816c23e74134786c29a8c18d792777998a3b9326047b583100e88e2f3。来源：MetaFinancialAI、Tree News
- 04:24:47（链上）：另一热钱包 Binance 16 直接签名 9 笔转账给攻击者，包括 28,005.6 ETH、5,570 万 USDT、2,590 万 RLUSD 等，合计约 1.742 亿美元，未经 EIP-7702。来源：Dickson / TechFlow、Aytunc
- 04:30 至 04:33（链上）：攻击者把 5 亿 USDT 转到 0x9749…c762（至 04:59 已有 3.25 亿经询价做市商换成 ETH），2 亿 USDT 转到 0x0ddf…697e（1.9 亿再转至 0x8d53…639a，后者向 Aave 存入 6,000 万 USDT 借出 ETH）。另有 195,460 ETH 转至 0x8532…43d4 后一直未动。来源：Dickson / TechFlow、MetaFinancialAI
- 04:30 至 04:35（链上）：Arbitrum、Avalanche 上的币安钱包被转出。Blockaid 统计 Arbitrum 约 8,426 ETH，Avalanche 约 181 万 AVAX 和 840 万 USDT。来源：Blockaid、Dickson / TechFlow
- 04:41 与 04:59（链上）：攻击者借已被委托的 Binance 14，从一个信任它的币安智能钱包转走 7.8 亿和 4,300 万 USDC，合计约 8.226 亿美元。Whale Alert 04:42 播报 7.8 亿 USDC 转出。来源：Dickson / TechFlow、Whale Alert
- 04:57 至 05:01（链上）：攻击者一个钱包向 Aave 存入 6,000 万 USDT，借出 19,762 WETH（约 4,460 万美元），这是其在 Aave 的唯一仓位。来源：媒体与市场调研引 LlamaRisk、Dickson / TechFlow
三、发现与报警（04:32 至 05:23）
- 04:32:51：链上研究员 Spreek（@spreekaway）发推称币安一个钱包被整体转入新地址、合约调用资金来自 Tornado Cash，Cointelegraph 称其为最早发出警报者之一。来源：媒体与市场调研（Cointelegraph 报道）
- 04:39:00：Tree News 快讯「POTENTIAL BINANCE HACK ONGOING - ONCHAIN」（币安疑似正在遭受黑客攻击）。来源：Tree News
- 04:39:04：方程式新闻 BWEnews 称币安热钱包「似乎正遭遇约 25.3 亿美元、以太坊上 60 多种代币的盗取，未经证实」。这是 25.3 亿美元口径的最早来源，只统计了以太坊上 Binance 14 一笔。来源：BWEnews
- 04:41：Tree News 补充：其 AI 系统 16 分钟前发现币安热钱包向 Tornado Cash 资助的地址转出 60 多种代币，并附主交易哈希。来源：Tree News
- 04:42 前后：「币安钱包在五条链流出 27.7 亿美元」的说法出现，出自快讯聚合账号 @DeItaone（Walter Bloomberg，并非彭博社官方），随后被广泛转述；Cointelegraph 05:13 沿用。来源：媒体与市场调研
- 05:07：DegenerateNews 称一个新钱包持有约 23.6 亿美元、64 种代币，币安尚未回应。来源：DegenerateNews
- 05:09：Arkham 分析师 Emmett Gallic 公布疑似被盗钱包，称已有超过 30 亿美元流出；05:17 更正为「超过 50 亿美元离开币安地址，其中约 23 亿美元为可冻结的 USDT 和 USDC」。来源：Emmett Gallic 05:09、05:17
- 05:11：Blockaid 发布首条分析：大额流出约始于 UTC 20:24，看起来是未授权转移，但尚不能排除内部调拨；列出受影响的币安钱包和主归集地址 0x5227…2f8c。Blockaid 后称其在两分钟内检测到攻击。来源：Blockaid 05:11、Blockaid 08:40
- 05:13：链上监测账号 Defimon 将本案定性为「EIP-7702 委托滥用／私钥被攻破」，以太坊上损失约 25.3 亿美元。来源：Darkfost 转 Defimon 数据
- 05:22：PeckShield 称「确认被黑」。来源：PeckShieldAlert
四、冻结与追截（04:57 至 08:52）
- 04:57:47（链上）：World Liberty 将 0x5227 中的 4,850 万枚 WLFI 拉黑，是已知最早的一笔发行方冻结。来源：Dickson / TechFlow
- 05:01:35（链上）：Tether 首批黑名单生效，0x5227 中当时仍有约 9.71 亿 USDT 被冻结；0x9749 被拉黑时已被转空。05:02:47 冻结 0x8d53，05:14:59 冻结仍停在 0xaa24 的 1.75 亿 USDT，05:18:59 截住 0xb171 的 3,000 万 USDT。以太坊上 18.75 亿 USDT 中约 4.35 亿在拉黑前被卖出。来源：Dickson / TechFlow
- 05:04:59（链上）：Circle 冻结 0x5227 中的 8.23 亿 USDC。来源：Dickson / TechFlow
- 05:05：Tree News 首报「Tether 冻结 9.71 亿美元 USDT，币安仍未回应」。来源：Tree News
- 05:07:55 至 05:21（链上）：Tether 冻结 Avalanche 上约 841 万 USDT，以及波场上三个钱包共约 3.787 亿 USDT（此前约 2.34 亿已经 SunSwap 换成 TRX）；05:11:23 冻结 12,574 枚 XAUt（约 5,000 万美元）。来源：Dickson / TechFlow
- 05:18：Circle CEO Jeremy Allaire 宣布「与执法部门协调」冻结超过 8 亿 USDC，是首个公开提到执法部门的表态。来源：Jeremy Allaire
- 05:25：Tether CEO Paolo Ardoino 宣布冻结超过 15.67 亿 USDT。来源：Paolo Ardoino
- 05:44（链上）：Binance 14 的委托仍未撤销，攻击者再次清扫，转走约 2.004 亿 USDT 和 370 ETH；这笔 USDT 落入已被冻结的 0x5227。来源：Dickson / TechFlow
- 05:45：Whale Alert 称过去 40 分钟内共有 23.7 亿美元 USDT 和 USDC 被冻结。来源：Whale Alert
- 05:59：BitGo（USD1 托管方）称自身未发现安全问题，正冻结 World Liberty 指认的收到被盗资金地址上的 USD1。来源：BitGo
- 06:00:59（链上）：Ripple 冻结 RLUSD。攻击者 05:33 已把 RLUSD 转到 0xe702…958d 并卖出约 4,800 万换 ETH，实际截获约 4,050 万枚。06:08 Ripple 稳定币业务高级副总裁 Jack McDonald 发表声明，未给出金额；何一同时发推感谢 Ripple「迅速冻结约 2 亿」，未注明币种，与链上数据对不上。来源：Dickson / TechFlow、Jack McDonald、何一
- 06:06:23（链上）：Tether 将仍处于被委托状态的 Binance 14 本身拉黑，此后币安从该地址发出的 USDT 转账（06:15、07:01）均失败。来源：Dickson / TechFlow
- 06:10:35（链上）：World Liberty 冻结 2,780 万枚 USD1；06:17 WLFI 官方称已与 BitGo 合作冻结被盗的 WLFI 和 USD1。何一 06:22 称冻结 2,700 万美元 USD1 和 4,800 万枚（约 200 万美元）WLFI。来源：Dickson / TechFlow、WLFI、何一
- 06:39 至 07:07（链上）：06:39 攻击者再次清扫，把 128.5 ETH 和 122 种小币转到新钱包；06:48:35 币安作为发行方拉黑攻击者 05:52 转走的 29,934 枚 wBETH（约 7,500 万美元）；06:55 至 07:07，币安从 Binance 14 连发 46 笔代币转账转到 Binance 8，约每 12 秒一笔。攻击者 07:36 至 07:38 又调用 4 次 sweep()，均为零余额。来源：Dickson / TechFlow
- 06:56：Paxos 宣布冻结 0x5227 中的 1,906.67 枚 PAXG，并称自身系统未受影响。来源：Paxos
- 07:22：币安回应外界流传的 18 亿美元等不同数字，称经核实的冻结总额为 25.4 亿美元。18 亿口径来自早期 Tether 约 9.71 亿加 Circle 8.23 亿的快照。来源：币安
- 07:31:59（链上）：攻击者经 Avalanche 转移 AVAX 后，关联地址经 Circle CCTP 跨链收到 1,563,812.78 USDC，Circle 四分钟后将其拉黑。来源：Dickson / TechFlow
- 07:50：Dickson 统计，已冻结约 28.0 亿美元，仍可自由转移约 32.7 亿美元（18,270 BTC 约 14.2 亿、458,770 ETH 约 10.3 亿、2.335 亿 XRP、6.846 亿 TRX 等），另有 6,000 万 USDT 困在 Aave 抵押中；First Digital 发行的约 345 万 FDUSD 仍可转移。来源：Dickson / TechFlow
- 08:08:35（链上）：Arbitrum 安全委员会的紧急操作交易在以太坊上执行（交易 0xb69c81774f507d46ce776aeaed8b4d31df96dd66ce6fd05073481011835355d6），把攻击者 Arbitrum 地址 0x3E2bf1ac6bf0934BBba6456C341c2EcbCED632d5 上的资产转入中间冻结钱包。ZachXBT 08:14 率先公布；Arbitrum 官方 08:19 确认「救出」74,559,805 ARB 和 8,425 ETH（约 3,050 万美元），只能由安全委员会或 Arbitrum DAO 投票再动用。来源：ZachXBT、Arbitrum
- 08:10（链上）：Binance 14 撤销 EIP-7702 授权（Odaily 据链上数据报道）。来源：媒体与市场调研（Odaily 08:48）
- 08:52：币安称经核实的冻结总额约为 30 亿美元；中文账号 08:59 称「近 30 亿美元」。可查的链上冻结合计约 28.3 亿美元，与币安口径相差约 1.7 亿美元，构成未公开。来源：币安、币安中文
五、币安及相关方表态（05:15 至 08:59）
- 05:15：CZ 发推称「用户资金安全」「看起来确实是币安被黑」，感谢 Tether（约 9.71 亿美元）和 Circle（约 8.23 亿美元）迅速冻结；他表示已不再管理 Binance.com，但「作为股东」预计所有用户资金将得到全额覆盖。来源：CZ
- 05:15 至 05:29：@binance 首份声明最早版本称「目前尚未确认对用户资金的影响」，该推文在 05:16、05:24、05:29 被编辑三次，最终版为「用户资金完全安全」。来源：币安（最终版）；编辑过程据吴说、Decrypt、FinanceFeeds 等报道
- 05:17：何一发推称已注意到潜在安全问题、正在调查，「User Funds SAFU」。来源：何一
- 05:39：币安中文账号发布同样内容。05:54 称已冻结约 8.23 亿美元 USDC 及 15.67 亿美元 USDT。来源：币安中文 05:39、05:54
- 06:15、06:33：币安称团队正在安全检查，提现将在问题完全解决后恢复。何一 06:22 称环境确认安全前提现已关闭。来源：币安 06:33、何一
- 06:23：CZ 引用 DefiLlama 创始人 0xngmi「扣除冻结后损失约 10 亿美元、仅占托管资产 0.69%」的推文，回应「损失可能比这高一点，但会覆盖」。来源：CZ
- 07:06：币安暂停 Binance Alpha 交易，包括使用现货钱包资金的 CEX 买币、Alpha 即时交易等；中文账号 07:29 同步。来源：币安、币安中文
- 08:04：何一发推称「币安将承担全部黑客损失」，充值和提现暂停，调查完成后发布完整复盘报告。来源：何一
- 08:13：@binance 发布同样内容，称所有充值和提现暂停，将承担全部损失；中文账号 08:22 同步。截至 09:00 未公布恢复时间。来源：币安、币安中文
- 08:22：币安 CEO Richard Teng 发布推文串，称用户资金仍然安全、提现将在问题解决后恢复，并提醒防范诈骗。来源：Richard Teng
六、市场与行业反应
- 04:05 至 04:40（背景）：美股盘后 Intel、Amazon 大跌，CoinDesk 04:40 将 BTC 跌破 8 万美元归因于科技股财报，当时尚未与币安关联。10 月 30 日另有约 110 亿美元期权到期。BTC 跌幅不能全部归因于本案。来源：媒体与市场调研（CoinDesk、SBS 引彭博）
- 04:50：据 CoinGecko 5 分钟数据，BNB 从 04:15 的 738.90 美元跌至 692.32 美元（-6.3%）。来源：媒体与市场调研
- 04:58：CoinGlass 数据（PANews 转述）显示过去 1 小时全网合约爆仓 6.29 亿美元，其中多单 6.07 亿。来源：媒体与市场调研
- 05:41：BinanceUS 声明未受影响，称自己是独立平台；CZ 06:06 转发。来源：CZ 转发
- 06:13：Solana 借贷协议 Kamino 称未受影响，但出于谨慎暂停 SOL/BTC 市场借款。来源：DegenerateNews 转述
- 06:15：Chainalysis 称正在调查，监控资金在比特币、以太坊、波场及多条 L2 上的流动。来源：Chainalysis
- 06:33：马斯克评论「Everyday is Zeroday」（每天都是零日）。来源：Elon Musk
- 06:44：Aave 称合约未受影响、头寸仍超额抵押，作为预防冻结所有 DAO 运营的 V3 和 V4 市场，暂停新存款和借款，用户仍可提款和还款；0xngmi 称冻结市场约占 Aave TVL 的九成。来源：Aave、DegenerateNews 转述
- 06:54：Cointelegraph 汇总敞口：Wintermute 对币安敞口低于净权益 20%，GSR 低于 5%，Ethena、Lido 无直接敞口。来源：Cointelegraph
- 07:03 至 07:05：Bybit 称未受影响；CEO Ben Zhou 表示与币安站在一起。来源：Ben Zhou
- 07:27 至 07:53：Lookonchain 称攻击者在链上抛售 PEPE、LINK、UNI、ENA；DegenerateNews 称 7.77 万亿枚 PEPE 已全部卖出。来源：Lookonchain、DegenerateNews
- 08:17：CoinDesk 据储备证明报道，Binance 14 在币安 10 月 1 日的储备证明中，被盗资产属于支撑客户余额的储备；约 20.45 万 ETH 被盗后，币安 ETH 储备覆盖率由 100% 降至约 94%。来源：CoinDesk
- 08:26：Chainalysis 估算被盗资产按当时价值约 59.12 亿美元，接近 2025 年 Bybit 案的 4 倍。来源：DegenerateNews 转述
- 08:28：Blockaid CEO Ido Ben-Natan 对 Cointelegraph 称，本案可能源于签名系统被攻破，而非私钥被盗；Blockaid 08:40 的博文则称攻击者「使用被盗的密钥」盗走至少 55 亿美元。来源：Cointelegraph、Blockaid
- 08:38：CoinMarketCap 快照显示 BTC 77,160 美元（24 小时 -4.9%），BNB 684.21 美元（-9.9%），为截止前所见 BNB 最深跌幅。来源：媒体与市场调研（CryptoTicker 引 CMC）
七、截至 09:00 仍未确定的事项
- 攻击者如何取得 Binance 14、Binance 16 的签名能力：私钥泄露、签名系统被攻破还是内部环节出问题，币安尚未说明。
- 约 18,270 枚 BTC 及 XRP、SOL、OP、TRX 链上转出是否全部属于被盗，各方口径不一。
- 币安公布的「约 30 亿美元」冻结额与可查链上冻结（约 28.3 亿美元）之间的差额构成。
- 归因：ZachXBT 08:17 回复网友称「很可能是 Lazarus Group」，属个人判断；截至 09:00，无政府或主流链上分析机构公开归因。
- 充值、提现恢复时间。
