#安全事件

巴西加密货币交易所 Mercado Bitcoin 确认发生安全事件，暂时暂停用户存款和提现业务，同时称客户资产未受影响。此前区块链安全公司 Hypernative 监测到多个区块链网络出现超过 4000 万美元的可疑转账，据当地媒体 BitNotícias 报道，相关异常资金流动可能与此次事件有关。（The Block）

PANews援引Lookonchain消息称，此前花费6297万美元买入27,553枚ETH、被称为“巨鲸”的地址，疑似与一欧盟实体交易所账户被盗事件有关，买入均价约2286美元，相关资金随后经多个平台转移。链上调查员ZachXBT此前称，该欧盟实体疑似从多个中心化交易所账户被盗逾1.06亿美元。

攻击者周四下午在约 20 分钟内从 Binance 热钱包盗取约 64 亿美元，规模超 2025 年 2 月 Bybit 15 亿美元失窃的四倍，两家公司均归因于朝鲜关联的 TraderTraitor。FBI 和 Secret Service 已立案调查，Binance CEO Richard Teng 称公司资金加 SAFU 已拨出 63.4 亿美元覆盖损失。据 QCP 统计，提币重启后净流出已达 36.4 亿美元。

据 Lookonchain 监测，某欧盟实体疑似遭盗取超 1.06 亿美元加密资产，相关地址曾在链上以 6297 万美元买入 27,553 枚 ETH，平均买入价 2,286 美元。链上调查员 ZachXBT 此前称，该实体疑似从多个中心化交易所账户损失资产，资金被以 USDC 和 USDT 形式提走；Lookonchain 的资金流向图将上述买入地址与该事件相关地址相连。

据链上分析师 Ai 姨监测，涉嫌攻击币安的朝鲜黑客转移被盗资产时出现多项失误：将约350万美元多种代币转入NEWT合约地址；未检查流动性池状况，约500万美元PROM代币仅卖出71美元；用MetaMask代付Gas费，可能留下IP等链下日志；向Gate充值约25万美元，Gate已冻结两个相关账户并表示将协助调查。相关分析认为资产种类和经手环节越复杂，攻击者越易留下追踪线索。

深潮 TechFlow 统计称，2017 至 2026 年间与 Lazarus 及朝鲜关联的黑客涉及 37 起加密盗窃案件，估值合计约 118.17 亿美元，从 2017 年 Bithumb 的 700 万美元到 2026 年 10 月币安超 62.6 亿美元热钱包失窃。文章复盘 Ronin Bridge 6.2 亿美元被盗（假 offer 投放间谍软件加被遗忘的 Axie DAO 授权）、Bybit 15 亿美元（渗透服务商 Safe{Wallet} 植入恶意代码）等案例，并援引 CoinDesk 与 CrowdStrike 数据称朝鲜 IT 工人渗透大量加密公司，联合国估算其每年为政权赚取高达 6 亿美元。

Binance 确认周六从用户安全资产基金（SAFU）转出 7,499 枚比特币，用于覆盖周四 63 亿美元黑客攻击造成的损失。截至周一该钱包余额约 7,500 BTC（约 5.83 亿美元），较此前约 15,000 BTC 减半。FBI 周六将攻击归因于朝鲜黑客组织 TraderTraitor。Binance 周日起分阶段恢复提币，称已补足约 95% 受影响资产，正通过市场和场外交易购入剩余流动性较差的代币，资金来源包括公司金库、SAFU 及部分合约保险基金。SAFU 政策规定市值跌破 8 亿美元时回补至 10 亿美元，但未设定事发后补足资金的时限。Binance 周一发布周六储备快照的密码学证明，称快照涵盖比特币、Ether、USDT 等 10 种加密货币的客户持仓至少 1:1 支持，并计划周三再拍快照覆盖更多代币。

链上侦探 ZachXBT 在 Telegram 调查频道称，欧盟境内某未公开实体疑似于 11 月 1 日从多个中心化交易所账户合计损失逾 1.06 亿美元，金额与手法尚未获受害方或第三方证实。他称疑似被盗资金以 USDC、USDT 提领，约 24 小时内经 WellWallet、Kyrrex 等即时兑换服务换成 ETH，再经 Wagyu 换成门罗币 XMR 并跨链转移；他判断行为者高度可能并非 Lazarus Group，身份仍未确认。

币安公告称已完成约95%受影响资产的回填，10月31日储备金证明快照的零知识证明已生成，BTC、ETH、USDT、BNB、SOL、USDC、XRP、USD1、RLUSD 及 ZEC 均获100%足额储备支持。剩余约5%资产多为市值排名前十之外、流动性较低的代币，购入需更长时间。币安计划于11月4日生成新一轮储备金快照并扩大代币覆盖范围，预计需约40至50小时完成零知识证明；下一阶段提现恢复预计明天开放，具体安排待公布。

FBI 指认 Binance 遭 63 亿美元攻击系朝鲜所为，两天内用户从 Binance 提走约 47 亿美元，Binance 称已补回 90% 被盗资产，剩余 10% 因流动性低暂未补齐。霍尔木兹海峡两艘油轮触雷爆炸，ADNOC CEO 称断供以来全球库存已减少近 10 亿桶，柴油库存降至 35 年低位。伊朗称制裁解除前不会重开海峡，石油运输成本占比从 5% 升至 30%。

据 Chainalysis 周日统计，币安 63 亿美元被盗案的黑客在基本清空 Tron 上的临时钱包后，开始把被盗 Solana 代币换成比特币。Lookonchain 称黑客经 Relay 转移了 486,970 枚 SOL（约 4640 万美元），涉及 escaping 冻结的资金；SomaXBT 估计攻击者仍控制约 35 亿美元。FBI 周六将事件归因于朝鲜 TraderTraitor 组织，并联合美国特勤局和 IRS 刑事调查部门要求 THORChain 节点、交易所和 DeFi 服务封锁相关地址交易。Gate 表示已冻结两个关联账户并将配合执法。

据 CoinDesk 报道，XRP Ledger 一项可能让稳定币合作方增发新代币的漏洞修复按计划于周三进行。此前验证者支持短暂下降，导致两周的激活时钟重新计时。原文说明 XRP 本身不受影响。

ZachXBT 于 11 月 2 日发出安全预警，称某欧盟实体疑似于 11 月 1 日从多个中心化交易所账户损失超过 1.06 亿美元加密资产，资金以 USDC 和 USDT 形式被疑似攻击者提走。过去 24 小时内相关地址持续将 USDC 兑换为 ETH，并向 WellWallet、Kyrrex 等即时兑换平台转移资金，同时通过 Wagyu 兑换为 XMR 并在多条区块链之间跨链转移。

链上侦探 ZachXBT 发布社区警报称，某欧盟实体疑似于 11 月 1 日遭攻击，多个中心化交易所账户被盗，损失超过 1.06 亿美元，资金以 USDC 和 USDT 形式被提取。其监测显示，过去 24 小时内攻击者持续将 USDC 兑换为 ETH，转入 WellWallet、Kyrrex 等即时兑换平台，再经 Wagyu 兑换为门罗币（XMR），并利用跨链桥在多条区块链间转移资金。ZachXBT 公布 11 个涉案地址，提醒社区关注资金流向。

链上侦探ZachXBT在Telegram频道发布社区警报称，一家欧盟实体疑似于11月1日从多个中心化交易所账户损失逾1.06亿美元，资金被以USDC和USDT形式提出。其称过去24小时内不法分子大量将USDC兑换为ETH，转入WellWallet、Kyrrex等即时兑换平台，通过Wagyu兑换为XMR并跨链转移至多条链，同时公布了11个涉事地址。

链上侦探 ZachXBT 发布社区警报称，某欧盟实体疑似于 11 月 1 日遭遇攻击，多个中心化交易所账户被盗，损失超过 1.06 亿美元，被盗资金以 USDC 和 USDT 形式提取。其监测显示，过去 24 小时内攻击者持续将 USDC 兑换为 ETH，转入 WellWallet、Kyrrex 等即时兑换平台，再通过 Wagyu 兑换为门罗币（XMR），并利用跨链桥在多条区块链间转移资金。ZachXBT 公布了 11 个涉案地址，提醒社区关注资金流向。

CryptoQuant 分析师 Axel Adler Jr 表示，比特币素有“Uptober”之称的10月连续第二年收跌，今年10月下跌7.2%，去年同期下跌3.8%；此前8月和9月分别上涨25%和6.4%，反弹未能延续。他认为10月29日的币安热钱包资产被盗事件约造成63亿美元损失，除被盗金额外还应关注其对市场信心和流动性的冲击。不过他称市场反应仍相对克制，比特币维持在年度移动均线附近；对比2022年11月FTX崩盘后比特币曾在一周内下跌23%。

区块链分析公司 Elliptic 表示，暂无证据表明参与币安 64 亿美元盗窃案的朝鲜黑客使用 AI 清洗被盗资金。其联合创始人 Tom Robinson 指出，黑客在不到三天内经去中心化交易所、借贷协议和跨链桥转移资金，但重复相同操作、反复使用相同金额、先小额测试再转大额等行为更符合人工编写和监督的预设脚本，而非能自主决策的 AI。黑客仍控制分散在 950 多个钱包中的约 32.8 亿美元，约 28.5 亿美元、占总额 44% 的资产已被冻结或追回。

据深潮 TechFlow 消息，Elliptic 11 月 2 日分析称，币安被盗资金的洗钱活动呈现自动化迹象，但链上数据无法确定其使用的是 AI 智能体还是传统脚本。部分钱包多次跨链桥交易失败，行为更像脚本在未解决问题时重复尝试；攻击者在大额转移前进行小额测试、尝试不同资金转出服务，则可能涉及人工决策。

Joel Valenzuela 撰文称，FBI 公开要求 THORChain 节点运营商审查并拦截最新币安黑客事件相关交易；NEAR Intents 与 Chainflip 已实施拦截，THORChain 与 Maya Protocol 尚未妥协。作者指出 THORChain 节点不足 120 个、市值约 2 亿美元且频繁宕机，可能因非法交易占比升高触发黑名单孤立；近期部署官方前端亦削弱了此前的法律隔离。

链上分析公司 Elliptic 追踪了朝鲜黑客转移被盗 Binance 资金的上千笔转账，发现其中存在失败的兑换和重复交易，这些模式表明黑客依赖脚本而非 AI 代理，目前没有证据显示 AI 参与其中。

PANews援引区块链分析机构Elliptic报告称，截至北京时间11月2日15:30，币安被盗资产中约32.4亿美元仍在相关地址，主要为ETH和BTC，约28.5亿美元已被冻结或扣押。Elliptic表示，洗钱活动在不到四天内涉及11条区块链上的约1.2万个钱包及超过4万笔交易；截至当日14:02，约28枚BTC已通过18次CoinJoin混币交易。该机构认为迄今可能仅有极少资金被变现，链上迹象显示资金转移使用了常规自动化，尚无证据表明AI智能体参与决策。

ChainCatcher 援引 Arkham 监测称，币安黑客地址累计向三个 Binance 充值地址转入约 400 万美元。Arkham 认为这些地址可能属于嵌套服务，即使用币安提供流动性和托管服务的第三方交易所。

据PANews援引Arkham监测，11月2日消息，币安黑客向3个币安充值地址转入约400万美元。Arkham认为这些地址可能属于嵌套服务，即利用币安提供流动性和托管的第三方交易所，地址归属尚属监测方推测。

比特币回落至 77900 美元附近，币安周日分阶段恢复提现后共处理 46.5 亿美元提现和 10.1 亿美元充值，净流出 36.4 亿美元，币安称已覆盖约 95% 的 63 亿美元被盗资金，FBI 将此次盗窃归因于朝鲜 TraderTraitor 组织。美国现货比特币 ETF 周五净流出 6.43 亿美元，创 6 月以来最大单日净流出。加密货币期货 24 小时交易量增长 56% 至 1118 亿美元，但未平仓合约基本持平于 1371 亿美元，爆仓金额增长 77% 至 1.402 亿美元。

据 Arkham 监测，币安黑客向 3 个币安充值地址转入 400 万美元。Arkham 指出，这些地址可能属于嵌套式服务，即使用币安流动性和托管服务的第三方交易平台，因此此次转账并不一定意味着黑客直接向币安交易所充值。

深潮 TechFlow 援引 Arkham 11 月 2 日监测称，Binance 黑客地址累计向三个 Binance 充值地址转入约 400 万美元。Arkham 认为这些地址可能属于嵌套服务，即使用 Binance 提供流动性和托管服务的第三方交易所。

据 Elliptic 11 月 2 日监测，Binance 被盗资金首次进入比特币混币交易，自 11 月 1 日以来约 28 枚 BTC（约 220 万美元）通过 18 笔 CoinJoin 交易混币。这些比特币最初来自 Tron 链上的被盗资金，部分停留地址中的 ETH 被兑换为比特币后流入混币。直接被盗的 18,270 枚 BTC 已分散至 19 个地址，此后尚未移动。Elliptic 称盗窃发生后不到四天，资金流经 11 条区块链上约 1.2 万个钱包，涉及超 4 万笔交易，关联地址仍持有约 32.4 亿美元资产，另有约 28.5 亿美元被冻结或扣押。

Elliptic 发布报告，梳理 10 月 29 日 Binance 被盗 64.3 亿美元加密资产的洗钱过程。四天内资金经约 12,000 个钱包、11 条链和逾 4 万笔交易转移，Tron 上约 7,700 个地址是主要通道，之后跨至少七座桥换成 ETH。发行方共冻结 28.5 亿美元，其中 Circle 在互换前冻结全部 8.23 亿 USDC，Tether 在到账 37 分钟后冻结 USDT，但攻击者此前已在 Uniswap 等平台换出 4.34 亿 USDT。约 32.4 亿美元仍在关联地址，多为 ETH 和 BTC，FBI 已将事件归因于 TraderTraitor。Elliptic 预计攻击者将小额把 ETH 换成比特币，再经 OTC 商用数月套现；截至 11 月 2 日约 28 BTC（220 万美元）已经 Wasabi 式 coinjoin 混币。

BTCPay Server 周日称有报告显示部分实例的热钱包被未授权攻击者扫走，要求商家运行其关机脚本暂时离线。创始人 Nicolas Dorier 表示项目官方公共服务器未被攻击，报告涉及 2.4.2 之前版本，攻击者以管理员身份登录，团队仍在查明方式。项目随后表示调查发现攻击向量针对 2.4.1 及更旧版本，未收到运行最新 2.4.7 版本用户的热钱包被盗报告。三则帖子均未公布损失金额或受影响服务器数量，截至周一上午也未发布正式安全公告。此次资金存放于热钱包，入口疑为管理员登录，与8月泄露 Lightning 节点凭证文件的事件不同，双方未说明两起事件是否相关。

域名注册商 Name.com 周六表示，平台上多个域名于周五晚被不当重定向，意图窃取访客的加密钱包，目前已恢复。Vercel 通报称其关联域名中有 10 个受影响。Flap、Kintsu、Origami Finance 确认自身网站遭 DNS 劫持，但强调智能合约和资金未受影响；Origami 暂停金库，并提示在 UTC 10月31日午夜后连接钱包或签名的用户撤销陌生授权。Blockaid 警告另有九个站点在运行 Step Drainer。Unchained 查到被点名的 12 个域名均注册于 Name.com，记录均显示 10月31日有变更。劫持成因仍有争议：Kintsu 和 Origami 指向 Vercel 侧问题，Vercel 则称是 Name.com 正在调查的接管攻击；Vercel 4月曾确认内部系统遭入侵，但双方均未将两起事件关联。

FBI 在周六发布警报，确认朝鲜黑客组织 TraderTraitor 是 10 月 29 日前后 Binance 超过 60 亿美元虚拟资产失窃案的幕后黑手，并公布数百个相关地址，敦促节点运营商、DeFi 服务和即时兑换平台封禁涉案交易。Binance 周日凌晨起分阶段恢复提现，前九个半小时处理 46.49 亿美元提现和 10.1 亿美元存款，净流出约 36.4 亿美元，占其 1710 亿美元储备资产的 2.1%。CEO Richard Teng 称已补足约 95% 受影响资产，损失将由平台承担。Chainalysis 称黑客已在 Tron 上转移超 5 亿美元，并经 Chainflip、THORChain 等跨链服务流向以太坊、比特币等链。据 Reuters 报道，Binance 称已筹集 60 亿美元用于覆盖损失，Circle 冻结了超 11 亿美元 USDC。

Chainalysis 于 10 月 30 日发布博客并邮件通知受影响客户，称 10 月检测到外部攻击者以代理式攻击技术入侵其系统与内部工具，获取用户 ID、全名、邮箱和组织角色标签等非敏感数据。公司称无迹象显示调查图表、案卷、查询结果或明文密码、MFA 密钥、会话 token 被访问。受影响人数与入侵途径尚未披露，公司已引入第三方安全专家，并称事件与 10 月 29 日 Binance 热钱包被盗无关。

据 b14g 官方公告，11 月 2 日 Core 网络通过硬分叉，从三个攻击者控制的地址追回 68,146,177.22 枚 CORE。10 月 31 日的安全事件共影响约 97,045,563 枚 CORE。追回通过一次性状态调整将资金转移至指定恢复地址，未回滚交易、增发代币或改变 CORE 总供应量。追回代币尚未分配给受影响用户，交易所持有或冻结的资金也尚未返还；b14g 称正与交易所及执法部门协调，并制定分配方案，目前尚无官方索赔流程。

PANews援引Bitcoin双重质押协议b14g的进展通报称，Core网络11月2日执行硬分叉，通过一次性链上状态调整从三个攻击者地址转移并追回68,146,177.22枚CORE，约占10月31日事件中97,045,563枚受影响CORE的70.2%，未回滚交易、增发代币或改变总供应量。追回代币尚未分配给受影响用户，交易所持有或冻结的相关资金也未返还，b14g称仍在核对余额并制定分配方案，目前没有官方索赔流程。

FBI 在 10 月 31 日发布警报，将 10 月 29 日前后超过 60 亿美元的 Binance 被盗事件正式归因于朝鲜黑客组织 TraderTraitor，并公布含 608 个以太坊地址、19 个比特币地址和 1 个 Solana 地址的清单，要求 THORChain、节点运营商、即时兑换和 DeFi 平台等拒绝相关交易。特勤局称调查人员在攻击发生后数分钟内与行业伙伴合作冻结了相当大比例的被盗加密资产。Chainalysis 称被盗约 64 亿美元，已冻结约 28 亿美元，洗钱者已通过逾 1000 个 TRON 地址转移超过 5 亿美元并开始转向 Solana。TRM Labs 和 Chainalysis 此前已分别得出相同归因结论。

2026年10月30日币安9条链上的热钱包被攻破，链上转出超62.6亿美元，FBI宣布朝鲜黑客组织参与其中。深潮 TechFlow 统计称，2017年至2026年间 Lazarus 及朝鲜关联黑客共涉及37起加密盗窃案，估值合计约118.17亿美元。文章复盘 Ronin Bridge 被盗6.2亿美元、Bybit 因多签服务商 Safe{Wallet} 供应链被渗透损失15亿美元等案例，并援引联合国估算称朝鲜IT工人每年为政权赚取最高6亿美元。

11 月 2 日，据韩国金融委员会公告，该委员会就 Binance 被盗事件召集金融监督院、金融安全院、DAXA 及主要虚拟资产经营者召开紧急会议，检查事件对韩国市场的影响。委员会重点检查了经营者的信息系统访问控制、钱包资产转出审批与签名体系及管理员权限管理，要求提高冷钱包资产比例、持续监测资产出入、增加应急人员，并加强异常访问报告和信息共享，同时考虑追加储备金等安全措施。

据韩国媒体Bizwatch报道，韩国金融委员会于11月2日就币安被盗事件紧急召集金融监督院、金融安全院、DAXA及国内主要虚拟资产交易所开会，检查IT系统访问控制、热钱包资产转出审批与签名体系及管理员权限管理，并要求提高冷钱包比例、实时监控资产流入流出、增配应急响应人员和追加计提准备金。此前币安热钱包于10月30日被未授权转出约63亿美元资产。

BTCPay Server 官方 11 月 2 日通报，事件响应调查已发现针对运行 2.4.1 及更早版本实例的攻击路径，2.4.1 版本发布于 2026 年 7 月 23 日。官方表示目前没有可信报告显示运行最新版 2.4.7 的用户遭遇热钱包资金被盗，敦促用户更新软件，受影响用户可向其安全团队提交事件详情及日志。此前 BTCPay Server 曾收到热钱包资金被未经授权攻击者转走的报告，并建议用户在调查期间关停实例。