币安被盗 63 亿美元：攻击流程及被盗资金流向分析
撰文：Beosin
2026 年 10 月 29 日晚（北京时间 30 日凌晨 4 时许），全球最大加密货币交易所币安的多个热钱包出现异常大额转出。事件涉及以太坊、比特币、波场等多条链，截至目前，估算总流出金额约 63 亿美元，数字仍在变动。事发后，币安紧急暂停多网络提现及 Binance Alpha 交易，并声明用户资金完全安全。
Beosin 对此次重大安全事件的攻击流程和主要被盗资金流向进行了分析，结果如下。
一、完整时间线复盘
准备阶段：提前 36 小时布局
10 月 28 日：攻击者发起攻击交易的地址为 0x7c8601d4645b93cea45f71e118a729332e6b5ca0，其资金来源于 Tornado Cash，分三笔提取少量 ETH 作为 gas 费。
10 月 29 日下午：部署了专门的清扫（sweeper）合约，并用测试钱包完成了两次演练。最后一次演练距正式攻击仅 3.5 小时；攻击者预先准备好一份覆盖 64 种代币的转移清单。
攻击阶段：获得 EIP-7702 授权
04:20：一笔交易携带 50 个覆盖连续 nonce 的 EIP-7702 授权签名上链，授权人正是币安 14 热钱包，且签名全部由该钱包自身私钥完成。连续 nonce 盲狙的设计，确保即使钱包 nonce 快速漂移，也总能命中一个有效授权。
https://etherscan.io/tx/0xad99264d5532ae0dd04b2004eebda05f25657e70dacb764f7ac8d4ccd051298b
04:24：开始资金转移。Binance14 单笔转出 16.7 万枚 ETH（约 25 亿美元）+ 16.15 亿 USDT+60 余种代币（含 RLUSD、wBETH、UNI、ENA、PEPE、LINK、AAVE 等），钱包被清空至仅剩 1ETH。
https://etherscan.io/tx/0x53bd38b816c23e74134786c29a8c18d792777998a3b9326047b583100e88e2f3
04:24:47：24 秒后，Binance16 热钱包直接用自身私钥签名，转出 2.8 万枚 ETH 至同一接收地址。
04:41：攻击者借 Binance14 尚未撤销的委托权限，指令其控制的 USDC 合约钱包转出 8.23 亿美元 USDC，后续又有数千万美元流出。
12 分钟内，超 10 个币安热钱包在以太坊、Bitcoin、Tron、Arbitrum、Avalanche、Optimism、Base 等多条链上向同一地址转入资金。
二、被盗资金流向分析
Ethereum
攻击者在 Ethereum 上的资金归集地址为 0x5227f603C1eE34CE3C06eFe6477003BDfCCB2f8c，随后攻击者开始将资金分批分散转移。在转移过程中，USDT 被冻结约 13.8 亿，USDC 被冻结约 8.2 亿。
被盗的 Ethereum 生态代币如 UNI、ETHERFI、EIGEN、PEPE 被攻击者兑换成 ETH 进一步转移。目前资金主要沉淀至：
0x897c80d1a9729e94460e2bd93178bd5215158df3 （78,415.25 ETH）
0xc887af690e0301cd4edbbce8f8d31b4ec65b286a（137,602 ETH）
0x8532fa14acaf483729c449b8458aeddb900543d4（197,460 ETH）
0x79e70d139fc05aa75f75611fdf2680e9952b544a（19,740 ETH）
Bitcoin
Bitcoin 网络被盗 18,270.2 BTC。攻击者正分散转移被盗的 BTC，目前资金主要以 1000 BTC 的规模分布在多个新地址，未有进一步的转移：
bc1q0ts8gaf9ht0rr4u02hr56f8thndqsc4kmkmfv3
bc1qjwdw6vrzq4vf6hckutvx4ucj86awwv99mxnz7w
bc1qxrxujwxfnvz040jw76d26zhjdg5jura7hs968s
bc1qs3aej5tmcdz0vctz8y9rjcxtxg8v5385577s56
bc1qnq6jj9jmlf3945m3l8s0kxnqehrsga300k8t3s
bc1qdfhmlrdvg4tm87zjl0vyf0xflp5ql50q3g88gw
bc1q63qrfrpsg5hh0zzn3kp2xx9vljl7dq7tatsjxp
bc1qs6xnmhar38z44g2za93pv8ygdcwurrh8l87w3v
bc1qm8v88m5fy6kuq9myva2eemwycxqd3e0zcrs2l8
bc1q42flhayrzy3zh8lkyevw8qcjduurt9a35wlsyx
bc1qepc70u3u476vgvg3hfcwjgu4mecxe2uchs4lag
bc1qg3nrzpuvq2pxqx74tcrywr09dc208ze96n3t53
bc1qm2j6v3247khlwzxl7p9vqnfkghcllyhv9wjaat
Tron & Ripple
Tron 网络被成功冻结的 USDT 约 3.8 亿，被盗的 46,394,098 TRX 在分散至多个地址后，正在被攻击者持续转移至新地址。
Ripple 网络被盗 233,461,943.1 XRP，仍沉淀在地址 rK21t6nGLy4MNDqhvy3pGwcLFy25qgfzMx，未有进一步的转移。
截至发稿，事件仍在持续调查当中，攻击漏洞根因、黑客团伙身份、最终流失资产总额尚未完全定论。Beosin 将与行业各方协作，持续追踪分散在不同公链的被盗资金。目前，所有相关地址已被 Beosin 标记并被持续监测。Beosin KYT 和 Trace 将继续监控相关黑客地址的活动并追踪资金流向。