币安配合执法机构调查：史上最大规模加密货币被盗事件深度解析
在黑客跨多个区块链网络盗取约63亿美元资产的案件发生后，币安（Binance）正与美国联邦调查局（FBI）及美国特勤局等执法机构紧密合作。目前，交易所正在深入调查攻击者如何在未发生私钥明显泄露的情况下，获取了从币安钱包转移资产的有效授权。此次盗窃案已成为已知规模最大的加密货币黑客攻击事件，波及以太坊、比特币、XRP Ledger、Solana、Tron等多个主流网络。
币安方面表示，已冻结约30亿美元的受影响资产，并承诺使用“用户安全基金”（SAFU）及公司自有资金来弥补损失。本次攻击中，以太坊上的动态为观察攻击路径提供了最清晰的窗口：攻击者利用EIP-7702特性，使由币安控制的钱包执行恶意代码。然而，更广泛的 breach 现象更难解释：多个无关区块链上的交易均使用了来自币安钱包的有效签名进行签署。
EIP-7702如何导致“Binance 14”钱包成为资金清理工具？
以太坊的EIP-7702允许传统的Externally Owned Account（EOA，外部拥有账户）临时执行智能合约代码。该功能随2025年5月的Pectra升级引入，旨在实现交易批量处理和代付Gas费等功能，而无需将钱包永久转换为智能合约。在币安遭袭事件中，这一灵活性成为了攻击链的一部分。
攻击者部署了一个恶意的“资金清理合约”（Sweeper Contract），随后提交了50份由标签为“Binance 14”的钱包签名的EIP-7702授权书。每份授权书覆盖一个连续的账户Nonce值，从而在币安继续处理正常交易的同时，赋予攻击者一系列有效的权限范围。以太坊接受了匹配Nonce值为18,914,809的授权。几分钟后，攻击者调用了委托代码，从Binance 14钱包转移了约167,464枚ETH以及数十种代币，其中包括约16亿美元的USDT。由于委托激活后该钱包仍在接收客户存款，攻击者得以稍后扫荡更多资金。该恶意授权状态持续了近四个小时，直到币安撤销了它。
此前，相关分析机构在链上审查中率先识别出由Tornado Cash资助的攻击者、EIP-7702委托机制及清理合约，早于币安官方披露全部63亿美元损失影响的时间点。
投资者启示
EIP-7702仅是以太坊上的执行机制，它并未解释攻击者是如何获得有效币安签名的。更关键的安全问题是：哪个系统被授权生成这些签名，以及攻击者是如何接触到该系统的。
为何攻击者要准备50个有效授权？
Binance 14正在处理频繁的提款请求，这意味着其Nonce值不断变化。如果仅获取绑定单个Nonce值的授权，可能在攻击者提交前就已失效。攻击者似乎通过获取涵盖连续Nonce值的50份签名授权解决了这一问题。只有与钱包下一个可用Nonce匹配的授权才生效，其余49份被忽略。这种准备工作表明，攻击者在实施盗窃前，已能够反复获取有效的币安授权。值得注意的是，以太坊上的活动并非孤立事件。区块链安全公司Blockaid确认，在此次更广泛的事件中，涉及多个由币安控制且参与签名活动的密钥。币安联合首席执行官Richard Teng也表示，调查人员未发现钱包私钥本身泄露的证据。
分析机构审视了“多个有效签名存在”与“币安无私钥泄露”声明之间看似矛盾的现象。如果攻击者 compromised（攻破/渗透）了能够请求合法签名但无需提取底层私钥的基础设施，那么这两项陈述可以同时成立。
运维工程师的笔记本电脑能否解释多链盗窃？
币安初步调查指向一名受感染的DevOps工程师的笔记本电脑。据Teng透露，这次入侵可能使攻击者能够访问服务容器并提交未经授权的提款交易。随后，币安表示调查人员发现了超出笔记本电脑之外的其他突破点，并警告称，此次攻击并非简单的员工权限滥用案例。这一区分至关重要，因为EIP-7702仅存在于以太坊上。攻击者还通过普通签名交易转移了18,270枚比特币、数亿美元的XRP以及其他网络的资产。
TRM Labs认为，跨链模式指向币安签名基础设施受到侵害，而非局限于单一区块链的漏洞。多家分析机构高置信度地将此次盗窃归因于朝鲜的“TraderTraitor”行动（隶属于Lazarus集团），Chainalysis也得出了类似评估。币安尚未公开归因此次攻击，美国政府机构也未正式确认肇事者身份。
投资者启示
多链签名表明这是一起托管基础设施问题，而非单纯的以太坊智能合约漏洞。如果币安的签名系统被诱导正确批准提款，传统意义上“私钥被盗”与“未经授权的交易”之间的界限，在评估运营风险时将变得不再那么清晰有用。
币安能追回多少63亿美元中的资金？
币安表示，通过与稳定币发行商、区块链网络及安全合作伙伴的合作，已冻结约30亿美元的受影响资产。Tether、Circle等发行商可以对中心化代币如USDT和USDC进行黑名单操作，但比特币和以太币等资产无法以相同方式通过发行商冻结。攻击者仍持有大量可透过兑换、桥接和其他洗钱途径移动的加密货币余额。
币安承诺通过SAFU和公司资金覆盖所有损失。其紧急基金是在早期交易所安全事件后设立的，袭击前持有约10亿美元，这意味着企业资产负债表最终可能承担大部分未追回损失的份额。随着执法机构的介入，现在增加了第二条追回渠道。币安正在与国际机构合作，包括FBI和特勤局，调查人员正在追踪钱包，并试图识别仍能中断资金流动的架构或交易对手方。
投资者启示
冻结30亿美元并不意味着币安已经收回了30亿美元。最终的财务影响取决于有多少冻结资产最终被返还、有多少仍受攻击者控制，以及币安必须从SAFU及其自身资产负债表中替换多少金额。
