神鱼复盘Binance被盗始末：攻击者提前演练2次，预先制定64种代币转移清单

contact@theblockbeats.org (律动BlockBeats)

10 月 30 日，Cobo 联合创始人神鱼在社交媒体上发布视频，以链上视角详细复盘了 Binance 本次被盗案始末。

攻击开端与资产转移

10 月 30 日凌晨 4 时 20 分，一笔包含 50 项授权请求的交易被广播上链。授权方为 Binance 交易平台的一个热钱包，该交易使用了此钱包自身的私钥进行签名。约 3 分多钟后，钱包内资产遭到批量转移。按今早币价估算，三条链上合计被转走资产约 58 亿美元，其中涉及比特币的 14 亿美元资产，Binance 尚未确认是否被盗。

攻击技术路径与事前准备

此次事件涉及 EIP-7702 授权机制。签署此类授权后，钱包将由一段特定程序接管，直至授权撤销。攻击者的程序具有单一指向性，仅认一个控制人且仅执行转移资产。这 50 张授权请求附带了连续的 50 个序号，当序列号与钱包当前状态匹配时即告生效。目前问题指向签名环节，究竟是私钥泄露还是签名系统遭利用，Binance 尚未公布。事前迹象显示，自前天下午起，攻击者曾三次从 Tornado Cash 混币器中提取小额资金作为手续费。在前一晚至凌晨期间，其利用测试钱包进行了两次演练，最后一次演练结束距正式行动尚有 3 个半小时。

资产扫荡与防御博弈

攻击者预先制定了涵盖 64 种代币的转移清单。4 时 24 分，首次批量转移完成，包括 16.7 万枚 ETH、16 亿 USDT 及 60 余种其他代币，仅留下 1 枚 ETH。24 秒后，Binance 第二个热钱包转出 2.8 万枚 ETH，本次系直接使用攻击者私钥签署的转账指令。4 时 41 分，攻击者借助第一个钱包的身份，指令受其调度的 USDC 合约钱包转出 8.23 亿枚 USDC。至早晨 6 时 40 分，攻击者已往返操作四次。

在资产转移的同时，一场冻结与反冻结的博弈同步展开。由于 USDT、USDC 等稳定币发行方具备冻结能力，而 ETH 难以被冻结，攻击者迅速将可冻结资产兑换为不可冻结资产。其中，4.35 亿 USDT 被兑换为 16 万枚 ETH。按最新价格计算，这些 ETH 仅价值 3.64 亿美元，单此一项兑换操作即产生 7000 万美元亏损。

各方冻结措施与链上异动

随着冻结措施落地，Tether 冻结 13.8 亿 USDT，Circle 冻结 8.23 亿 USDC，Ripple 冻结 4054 万 RLUSD 及其他几种代币。在以太坊链上被盗的 37.5 亿美元资产中，已有 24 亿美元被成功冻结。波场（Tron）链上亦被转走 6.3 亿美元，其中 Tether 冻结了 3.8 亿。未被冻结的资产主要为 ETH，截至 7 时 40 分，已有近 46 万枚 ETH 停留于 4 个全新地址，仅有转入记录。几乎同一时间，Binance 的一个比特币热钱包转出 18270 枚 BTC，随后被拆分为 19 份转入 19 个新地址。此举系被盗还是 Binance 紧急转移尚不明确。据报道，链上分析平台 Arkham 已将其标记为黑客关联，但 Binance 暂未确认，查到的公开表态中亦未提及 BTC。

后续警示

直至北京时间今早 6 时 55 分，Binance 亦使用该私钥进行签名，将未被转移的零碎代币转回自有钱包。这表明私钥仍由 Binance 掌控，但相关授权尚未撤销。

从链上数据研判，核心问题出在签名环节，未发现合约漏洞。此次事件为全行业敲响警钟：各家交易平台均需排查自身的签名系统是否存在签出非预期授权的风险。