聊聊币安被盗56亿美金事件
作者：Seven Research
今天起得比较早，四五点就醒了。打开 Twitter 一看，全是币安被盗的消息。
我早上顺着几家安全机构的推文翻了翻，这次被盗的金额确实非常吓人。最早爆出来几个热钱包异常流出的总规模大概有 50 多亿美金（最高口径统计到了 55 亿到 58 亿）；单看以太坊链上，被实锤掏空的几个核心热钱包就在 33 亿到 35 亿美金之间。直接破了去年初 Bybit 被盗 15 亿美金的纪录，算是币圈有史以来最大的一起黑客攻击了。
后面通过各方联合，冻结了差不多接近 30 亿美金。这次稳定币发行方反应倒挺快，事发 40 分钟左右，Tether 就冻了 15.7 亿美金的 USDT，Circle 冻了 8.23 亿美金的 USDC，Ripple 也拦了 2 个亿。但即便如此，黑客还是在十几分钟里把 25 万多枚 ETH（价值差不多 5.7 亿美金）和一大堆没法冻结的代币转走了。
至于被盗原因，目前看大概率是一个权限很大的主私钥泄露了。
安全团队 Blockaid 扒出来的过程挺夸张的。北京时间今天凌晨 4 点 21 分，黑客先从 Tornado Cash 提了点 ETH 当 Gas，然后直接针对币安的核心热钱包“Binance 14”发起了 EIP-7702 授权交易。因为当时热钱包还在正常处理用户的日常提现，黑客不知道实时的 Nonce（交易序列号），干脆用手里拿到的私钥一口气盲签了 50 个连号的交易喷出去，结果真撞中了，把整个热钱包的执行权限直接挂到了他提前写好的恶意合约上。
拿到权限仅仅 3 分钟后（4 点 24 分），黑客一笔交易就从 Binance 14 抽走了 16.7 万枚 ETH、16 亿多枚 USDT 和 60 多种代币。更要命的是，Binance 14 在链上又是另一个智能钱包（Hot Wallet 34）的所有者，到了 4 点 41 分，黑客顺手牵羊又把那个钱包里的 7.8 亿 USDC 给提空了。这种打法根本不是合约漏洞，就是主私钥已经彻底在黑客手里了。
事发后 CZ 也发推承认看着像被黑了。现在币安已经暂停了提现，连带 Binance Alpha 也停了。我早上试着提了一笔，一直卡在那里动弹不得，影响确实挺大的。
我看推特上很多 KOL 好像还蛮乐观，觉得币安家大业大赔得起，但我感觉这是一次非常严重的事故。盘面其实已经很诚实了，BTC 瞬间砸破 79,000 美金，BNB 跌了快 7%，事发后一个小时全网就爆了 6.28 亿美金（6 亿多是多单）。其他更细的技术细节，等我回头用 AI 总结一篇文章再发给大家看。
大家可以看看之前写的一篇文章 币圈头部交易所又被盗 3.5 亿美金，币圈为什么成了朝鲜黑客的“提款机”？朝鲜 Lazarus 又是何方神圣？
而且我觉得大家现在最需要警惕的，还不是币安自己赔不赔得起，而是这事引发的一连串机构反应。
现在币安账上还沉淀着 1440 亿美金的资产，很多机构的钱和业务全绑在上面。其实今天凌晨连锁反应就已经开始了：黑客拿到币之后，第一时间在链上给 Aave 做了授权，明显是想把偷来的几十万枚 ETH 存进去借出干净的稳定币，把烂摊子甩给 DeFi 协议。这直接把 Aave 吓得紧急冻结了以太坊主网的 V3 市场，Solana 上的借贷龙头 Kamino 也跟着暂停了借贷池。而且这次被盗的还有币安自家的生息资产 wBETH，万一黑客在链上硬砸导致脱锚，那些在链上拿 wBETH 循环贷加杠杆的大户和机构会直接被连环清算。
另外，现在圈子里绝大部分做市商和量化机构，大头资金和主保证金账户都在币安。很多机构做的是跨所套利或者对冲，现在币安突然把提现一关，他们的资金链当场就卡死了——万一行情继续剧烈波动，他们没法从币安提钱去补其他地方的保证金，为了防止自己爆仓，只能被迫在其他交易所和链上平仓，强行把现金抽回来。这也是为什么明明被盗的是以太坊系的资产，结果今天 Solana 和一堆山寨币反而跟着崩了。
更别提还有很多二三线的小交易所、理财平台，甚至不少项目方的国库，他们自己没深度，本质上就是把钱归集起来放在币安的机构账户里吃利息或者做对冲。如果币安关提现的时间稍微拉长一点，这些把钱压在币安的机构和小平台立马就会面临挤兑。
之所以想聊这个，是因为我之前在项目方待过，也经历过几次小规模的黑客攻击。
当时主要也是针对社区投喂钓鱼链接。印象最深的一次也是在凌晨四五点，亚洲团队睡得最死的时候，黑客专门针对 Discord 的 Mod 账号进行钓鱼，盗取了权限比较大的账号，然后在社区里发钓鱼链接，最后有一个用户点了受损。
今天四点多醒来看到币安被盗，时间点上也是巧合，而且我还有点钱在里面。
我总感觉最近黑客利用 AI 的能力变强了。当然不是说 AI 直接攻破了密码学，而是像我们普通人都能靠 AI 放大自己的能力，黑客有了 AI 更像是如虎添翼，攻击手段会更强。算上上个月（9 月 24 日）Bitget 刚因为第三方安全软件的 0-day 漏洞在凌晨被盗了 3.8 亿美金，再到今天 Polymarket 也因为第三方服务商被黑暂停交易，短短一个月，头部平台接二连三被穿。
我个人的一个怀疑是，币安或者相关团队内部也在用 AI，在使用的过程中不小心泄露了某些关键信息。很多运营或者开发人员往往缺乏足够的安全意识（这也是在反思我自己），比如图省事把带点环境配置或者权限逻辑的东西直接喂给了 AI，无意间就让黑客的自动化工具抓到了漏洞，作为突破口进行了渗透。
感觉这是一次黑天鹅事件的叠加：刚好昨天谷歌财报爆雷，单季度资本开支烧了 514 亿美金，自由现金流直接干成负 91 亿，股价一天暴跌 10%，蒸发了 5000 亿美金市值，市场对 AI 泡沫的担忧本来就已经拉满了；紧接着今天币安又出这种级别的安全事件，所有的黑天鹅仿佛都赶到一块儿了。
大家最近还是多加小心，在连锁反应还没完全爆出来之前，尤其是把资产放在一些小交易所或者中心化理财里的朋友，尽量保护好自己的资产安全：
能不用交易所就尽量不要放交易所，未来这类事件估计会越来越多。特别是底子薄的二三线小所，谁也不知道他们的底层资金是不是正卡在币安里提不出来，千万别去赌别人的兑付能力。
能用硬件钱包就尽量用硬件钱包。助记词离线放好，平时在链上也别乱签不明不白的授权（现在有了 EIP-7702，乱签一个授权可能整个钱包权限就交出去了）。
能用多签就用多签。不管是个人大资金还是机构的钱，单私钥在现在的攻防环境下太脆弱了，把权限拆开放在不同设备上才稳妥。