The $6.3B Binance hack was pulled off in just 20 minutes

63亿美元的币安黑客攻击仅用了20分钟 | WIRED

Matt Burgess

安全

2026年10月30日 上午7:36

63亿美元的币安黑客攻击仅用了20分钟

多家加密货币追踪公司表示，臭名昭著的朝鲜黑客组织TraderTraitor可能策划了历史上规模最大的数字盗窃案——价值数十亿美元的加密货币可能已永远流失。

照片插图：Wired员工；Getty Images

保存此故事

在看似有史以来最大的加密货币盗窃案发生后，加密货币公司和调查人员正在竞相冻结并追踪数十亿美元被盗的数字资金。周四下午4点左右（东部时间），黑客开始迅速从加密交易所币安所属的多个区块链钱包中转移约63亿美元的加密货币。

盗窃发生后，币安几乎立即暂停了所有存款和取款服务，作为对其遭受黑客攻击的调查的一部分，并表示正在努力确定此次泄露事件的幕后黑手。该公司与其他加密货币公司表示，到目前为止，他们已经成功冻结了被盗资金的一半左右——实质上阻止了黑客进一步转移资金或试图提现。然而，剩余的大部分加密货币可能无法被冻结。

三家加密货币追踪公司迅速将此次攻击与朝鲜黑客联系起来。“我们认为朝鲜很可能是幕后黑手，”Elliptic公司的首席科学家兼联合创始人Tom Robinson告诉WIRED。“如果朝鲜确实参与了此次攻击，那么这次盗窃将使该政权迄今为止在加密货币领域窃取的资产几乎翻倍。”

据加密货币追踪公司TRM Labs的分析，大部分被盗加密货币是在10月29日大约20分钟内被转移的。根据TRM的分析，属于币安的至少涵盖十个区块链（包括以太坊、比特币、Tron和Solana）的钱包被清空，并发送到由单一攻击者控制的多个地址。“至少在盗窃发生前36小时，准备工作就已经开始，”TRM在其博客文章中表示。该公司称，攻击者的一个钱包在测试期间收到了三次小额提款，随后扩大了操作规模。

“10月29日初期，攻击者部署了攻击的第一段代码，并在两个钱包上进行了测试，”TRM表示。“当天晚些时候，它在第三个钱包上演练了最终版本，然后将测试资金转回自身。在那次演练四小时后，相同的代码被安装在币安的热钱包上。”热钱包是连接互联网的加密货币钱包，允许加密货币交易所处理客户取款。分析师表示，资金是从受影响区块链的热钱包中被抽走的。

此次攻击中使用的技术似乎与朝鲜黑客精英子集（被称为TraderTraitor）之前使用的方法相似。加密货币追踪公司TRM Labs和Chainalysis都表示，他们认为TraderTraitor可能策划了此次攻击，而Robinson表示，Elliptic尚未将此次攻击明确归因于该组织，但发现其活动存在重叠。

Binance和执法部门官员均未提及此次攻击与朝鲜黑客之间的任何可疑联系。近年来，朝鲜黑客多次针对加密货币公司发动攻击，盗取数亿美元的加密货币。多个朝鲜黑客组织可针对该领域公司发动攻击，但TraderTraitor已成为该领域的专家，实施的攻击频率较低但影响较大。

在朝鲜庞大的黑客行动中——这些行动通常旨在为受到严格制裁的高压政权牟利——TraderTraitor近年来因其技术复杂性和针对加密货币及去中心化金融公司的精准性而脱颖而出。去年，FBI将TraderTraitor认定为导致加密货币交易所Bybit遭受15亿美元黑客攻击的幕后黑手。

Binance未回应WIRED关于是否认为朝鲜黑客参与此次大规模盗窃的提问，仅表示将承担所有损失，并正在与执法部门合作调查责任人。

该公司在声明中表示：“初步调查显示，此次安全事件可能涉及一台被入侵的笔记本电脑，但后续调查发现了更多漏洞点。”“这是一次复杂的攻击，我们正在与执法部门密切合作，全力解决。”

安全公司Sophos威胁情报高级总监Rafe Pilling向WIRED表示：“这些黑客在入侵分布式金融组织方面堪称艺术家。”“TraderTraitor似乎专注于这些大型操作。过去，他们曾开发过自己的虚假应用程序，并试图利用这些工具潜入组织。”

TRM和Chainalysis最初将此次攻击与TraderTraitor关联，并表示这些判断基于他们对链上和链下活动的分析。Chainalysis的研究博客称：“最强有力的证据出现在Chainalysis调查人员实时观察到从Binance被盗资金与上个月Bitget漏洞事件中被盗资金混在一起时，而后者已被归因于朝鲜黑客。”

Elliptic的Robinson表示：“Binance称此次攻击始于一名工程师被入侵的笔记本电脑。针对加密货币公司员工是TraderTraitor的标志性手法。”“攻击者通过Tornado Cash为其钱包充资，并像Bybit事件一样提前演练了攻击。”

在攻击发生后，约30亿美元的加密货币最初被冻结，但考虑到并非所有被盗加密货币都能被冻结，攻击者仍有可能带走巨额资金。Chainalysis的研究显示，他们观察到“前所未见的洗钱模式”，数千笔交易的快速处理表明攻击者正在使用“自动化技术来掩盖资金流向”。

Elliptic的Robinson表示，到目前为止，约28亿美元（占被盗总额的44%）已被加密货币公司和交易所冻结，其中几乎所有资金都是稳定币。“剩余的33亿美元主要是比特币、以太坊和XRP，这些资产无法被冻结，”Robinson表示。“只有当这些资金到达交易所或其他服务时才能被阻止。未来几个月将有一些资金被查获，但我预计冻结比例不会大幅上升。”