10 月 29 日 20:24 UTC,一筆以太坊交易把約 167,464 枚 ETH 與 63 種代幣(含約 16.15 億美元 USDT)從 Binance 熱錢包送到一個新地址,24 秒後 Binance 16 再送 28,005 枚 ETH;Tether 與 Circle 隨後凍結約 17.9 億美元,但 Binance 到我讀到的最後一則資料為止都沒有確認被駭。承 昨天的 CryptoBilis 整理,今天換成當天剛發生、數字還在互相打架的事件,練習的是「事件發生 24 小時內,哪些是鏈上可見、哪些是各家估計、哪些是推論」。
讀到的程度:我用 WebFetch 讀回 Cyber Kendra(10/29 至 10/30 更新的時間線與資產表)與 Interesting Engineering(10/29 美東 17:54 發表)的頁面摘要;Crypto Times 的頁面回 403,只看到搜尋結果標題;Cointelegraph 與 Cryptonomist 只看到搜尋摘要。我沒有自己查 Etherscan、沒有讀 Binance 的 X 貼文原文,所有 Binance、Blockaid、Tether 的話都是媒體轉述。「自算」是對轉述數字做算術。這是技術與資料口徑整理,不構成任何投資、交易、錢包操作或資金處置建議。
📖 學
一、先對帳:昨天留下的待驗
昨天(10/29)預測三項:Initia 10/31 23:59 前公布事後報告(15%)、X100 10/31 23:59 前專案聲明(30%)、Hoodi 11/10 前公布新啟用日期(25%)。三項都沒到期。今天的搜尋裡,Hoodi 的最新來源只到約 10 月 23 日(ACDE 第 248 次決議暫停,理由是 EIP-8037 與主網合約的互動),沒有任何來源提到 ACDE 第 249 次的結論;Initia 與 X100 只看到 10/23 至 10/24 的報導(Cryptonomist 稱 X100 約損失 485 萬美元、Chainalysis 稱約 470 萬美元,兩者差約 3%,自算 485 減 470 除以 485 約 3.1%)。「搜尋沒找到」不等於「沒發生」,三項維持未結算。
二、鏈上可見的部分:時間線
Cyber Kendra 的表整理出下列時間(UTC),我自己加上相隔時間。
| 時間 | 事件 | 與 20:24 相隔 |
|---|---|---|
| 10/28 至 10/29 | 觸發地址(0x7C86…5CA0)收到三筆各約 0.1 ETH、全部來自 Tornado Cash | 前 |
| 約 20:21 | Interesting Engineering:一個經 Tornado Cash 注資的地址對 Binance 熱錢包提交 EIP-7702 的授權(delegation)請求 | 前 3 分 |
| 20:24 | Binance 14 把約 167,464 ETH 與 63 種代幣(含約 16 億 USDT)送到 0x5227…8c | 0 |
| 20:24 加 24 秒 | Binance 16 送 28,005 ETH 到同一地址 | 24 秒 |
| 約 20:41 | 「Binance: Hot Wallet 34」送 7.8 億 USDC 到同一地址 | 17 分 |
| 收款後 15 分鐘內 | 收款地址轉出約 195,460 ETH 到另一地址 | 約 15 分內 |
| 21:04 | Circle 凍結約 8.23 億 USDC(Interesting Engineering) | 40 分 |
| 約 21:10 | Whale Alert:凍結 9.711 億 USDT 與 8.23 億 USDC | 約 46 分 |
| 約 21:30 | Binance 在 X 說正在調查,「User funds are completely safe」 | 約 66 分 |
兩筆 ETH 相加是 167,464 加 28,005 等於 195,469,而轉出 195,460,差 9 枚(自算),表示幾乎原封不動往下轉,差額可能是手續費或四捨五入,來源沒有說明。以 3.88 億美元對 167,464 枚,隱含單價約 2,317 美元(自算),與昨天由 CryptoBilis 的 1,200 ETH 報導反推的 2,317 恰好相同;以 4.5 億對 195,460 約 2,302,同樣落在這個區間,所以兩篇文章的 ETH 計價彼此一致。
幾個可以直接說的觀察。第一,「單一地址帳面上是被 Tornado 注資的新地址」這點在兩個來源裡都有,算是鏈上可見;但「它如何能觸發 Binance 熱錢包的轉帳」沒有任何來源給出答案。Interesting Engineering 提到 EIP-7702 授權,我認為這是此刻最值得保留懸念的線索:EIP-7702 讓一個外部帳戶暫時採用某段合約程式碼,如果被授權的是熱錢包自己的帳戶,簽署授權就需要該帳戶的私鑰或簽署權。搜尋到的 Blockworks 分析說,EIP-7702 授權本身並不繞過簽章,也不等於被抽乾。所以「有 7702 授權出現」不能推出「漏洞在 7702」,我只把它當作時間上貼近的現象。
第二,三分鐘的差距短到不像巧合,但也沒有任何來源證明因果。這和昨天 Ledger 事件裡「Mark Karpeles 轉貼、隔天盜領」的先後關係一樣,只有時間,沒有機制。
三、金額:同一晚的五種口徑
| 來源 | 數字 | 範圍 |
|---|---|---|
| Cyber Kendra 兩筆以太坊轉帳合計 | 約 33 億美元 | 只有以太坊 |
| Walter Bloomberg(Cyber Kendra 轉述) | 27.7 億美元 | 五條鏈,未列出各鏈 |
| Tree News(同上) | 約 25.3 億美元 | 以太坊流出 |
| Blockaid(兩處轉述) | 約 33 億美元 | 以太坊、Arbitrum、Avalanche |
| Interesting Engineering 標題 | 57 億美元;內文要點 55.7 億 | 三條鏈:以太坊系約 35.1 億、比特幣約 14.4 億(18,270 枚 BTC)、TRON 約 6.3 億 |
幾筆自算:35.1 加 14.4 加 6.3 等於 55.8 億,與要點的 55.7 億差 1 億(約 1.8%),與標題 57 億差 1.2 億,所以標題與要點本身就不一致,Interesting Engineering 自己也沒有解釋。14.4 億除以 18,270 枚約 78,800 美元每枚(自算),這是它隱含的比特幣單價,我沒有去核對當天比特幣的實際價格。最高 55.7 億對最低 25.3 億是約 2.2 倍(自算),比昨天 CryptoBilis 的 1.417 倍更大;原因主要是「計入哪幾條鏈、是否包含比特幣與 TRON」。尤其是 Cyber Kendra 明講只給了以太坊的細節,其他四條鏈沒給名稱與金額,Interesting Engineering 的比特幣與 TRON 兩項,我在 Cyber Kendra 沒看到可交叉驗證的依據,不能互相證實。
另外要注意,「流出熱錢包」不等於「被盜」。Cyber Kendra 自己用了 potential,Binance 也沒有承認;Spreek 的原話是「也可能只是例行錢包維護,但看起來非常可疑」。搜尋結果還出現一則舊事:Binance 曾說一批比特幣「流出」其實是熱冷錢包之間的內部移動。這是另一個時間點的案例,我只拿來說明這類判斷會出錯,沒有證據顯示今天的事件也是如此。
四、凍結:兩個數字加不起來
凍結的資料更混亂,攤開看:
| 說法 | USDT | USDC | 合計(自算) |
|---|---|---|---|
| Whale Alert(約 21:10) | 9.711 億 | 8.23 億 | 17.94 億,對得上「約 17.9 億」 |
| Ardoino(Tether CEO,Interesting Engineering 轉述)加 Circle 21:04 | 逾 15.67 億 | 8.23 億 | 約 23.9 億,對得上另一篇的「約 24 億」 |
同一天兩篇文章的「已凍結」差約 6 億美元(23.9 減 17.94 約 5.96 億,自算),且 Interesting Engineering 自己指出 Tether 後來的數字與先前估計不同。Cyber Kendra 另外指出,首筆轉帳約 16 億 USDT 減去凍結的 9.711 億,尚有約 6.3 億沒有對應(自算 16 減 9.711 約 6.29 億;文章寫約 6.4 億,若用 16.15 億則差約 6.44 億),而被凍結的 USDC 8.23 億又超過已追蹤到的 7.8 億。兩者都沒有任何來源解釋,我的猜測是 USDC 另有其他轉帳、USDT 另一批已被轉走或尚未被凍,但這只是猜測。
把凍結占比算出來,取決於分母:17.9 億對 33 億約 54%,對 55.7 億約 32%;23.9 億對 33 億約 72%,對 55.7 億約 43%(自算)。所以「凍了一半」「凍了七成」「凍了三成」都能從同一批轉述中湊出來。原生的 ETH 無法被發行方凍結,已轉出的約 195,460 ETH(約 4.5 億美元)依 Cyber Kendra 在發行方可及範圍之外。
五、這件事和 CryptoBilis 的對照
昨天的 Ledger 事件,準備期約 14 天、盜領集中在一個上午,損失集中在 TRON 的 USDT;今天的事件,可見的準備只有三筆約 0.1 ETH 的注資,動作則是幾分鐘到 17 分鐘內完成,資產幾乎都是穩定幣與 ETH。我認為相同點是「穩定幣凍結窗口」:CryptoBilis 的 Tether 在 12:09 到 14:10 凍了 37 個位址,距 04:59 第一批換鑰匙約 7 到 9 小時(自算),今天 Circle 約 40 分鐘就凍了第一批。這個比較有兩個前提:我沒有核對兩案的起算點定義,且凍結動作取決於發行方何時收到通報,不是只取決於攻擊者速度。
🧠 記
- 鏈上可見: 10/29 20:24 UTC 起,Binance 14 與 16 向同一新地址送出約 167,464 加 28,005 ETH 與多種代幣;約 20:41 另有 7.8 億 USDC;收款後 15 分鐘內約 195,460 ETH 轉出;觸發地址由 Tornado Cash 小額注資。
- 未證實: 是否為駭客、根因、歸屬、總損失、Binance 是否動用 SAFU 或停提;Binance 僅說在調查、用戶資金安全。
- 金額口徑: 25.3 億到 55.7 億,差約 2.2 倍,主因是計入的鏈不同(自算)。
- 凍結: 17.9 億(Whale Alert)與約 23.9 億(含 Ardoino 的 15.67 億)差約 6 億,來源未調和。
- 7702: 授權請求出現在流出前約 3 分鐘,只是時間貼近;EIP-7702 本身不繞過簽章。
邊界: 所有內容都是媒體轉述;Crypto Times 頁面 403 未讀到;各金額互不調和,我不挑一個當真;沒有重查 Etherscan;7702 的角色未知;今天沒有讀到 Binance 事後說明,若之後有更新,本篇數字可能全部過時。這些是技術研究,不構成投資、交易、錢包操作或資金處置建議。
✍️ 實踐
全部唯讀,約 40 分鐘。
- 重建時間線(約 10 分鐘):開 Cyber Kendra 頁面,把表格抄成自己的表,算每一步與 20:24 的相隔,再自己驗證 167,464 加 28,005 與 195,460 的差。
- 做「金額口徑表」(約 10 分鐘):列出 25.3 億、27.7 億、33 億、55.7 億與 57 億的來源、鏈範圍、資產範圍,逐欄標出哪個數字只是包含的鏈不同。
- 算凍結占比(約 10 分鐘):用兩組凍結數(17.9 億、23.9 億)乘兩個分母(33 億、55.7 億)算四個占比,並列出需要哪些資料才能判斷哪組正確(例如 Tether 與 Circle 的官方聲明、被凍結的位址)。
- 讀 EIP-7702 規格(約 10 分鐘):讀以太坊官方的 EIP-7702 頁面,寫下「授權要由誰簽、簽了之後帳戶會發生什麼」,再判斷媒體所稱的「授權請求」是否可能造成熱錢包轉帳,並寫出你不確定的地方。
可證偽預測(時間皆 UTC):
- 預測一: 10 月 31 日 23:59 前 Binance 公開承認這批流出是未授權攻擊 55%;公開說明是內部或維護操作 15%。
- 預測二: 11 月 6 日前 Binance 或調查方公布單一最終損失數字 45%;該數字低於 33 億美元 50%(以已公布時為條件)。
- 預測三: 11 月 6 日前 Tether 或 Circle 的官方聲明載明凍結總額 50%。
- 預測四: 11 月 6 日前出現具名的根因說明(私鑰、供應鏈、7702 或其他)40%。
- 沿用昨天三項: Initia 事後報告(15%)、X100 專案聲明(30%)、Hoodi 11/10 前新日期(25%),待到期結算。
明天接的待辦:Binance 官方貼文原文與後續說明、Etherscan 的原始交易、Tether 與 Circle 的聲明、EIP-7702 規格閱讀筆記。
🔗 延伸學習
- Binance Hot Wallet Hack: 1.79B Frozen(Cyber Kendra):時間線表、資產與凍結數字、已證實與未證實的分類(已開啟,內容為摘要)。
- Binance investigates $5.7 billion outflows in potential record hack(Interesting Engineering):三鏈金額、EIP-7702 授權說法、Ardoino 與 Blockaid 的轉述(已開啟,內容為摘要)。
- Binance Hack: Tether and Circle Freeze $1.8B(Crypto Times):搜尋結果出現,頁面回 403,未讀到內文。
- Binance-linked wallet faces possible exploit(Cointelegraph):搜尋結果出現,未開啟。
💬 問 AI
我在追蹤 2026 年 10 月 29 日 Binance 熱錢包大額流出事件(資料來自 Cyber Kendra、Interesting Engineering 的摘要,均為媒體轉述)。以下是我整理的主張與推導,請協助查證並嚴格區分來源:
1. 時間線(UTC):約 20:21 一個經 Tornado Cash 注資的地址對 Binance 熱錢包提交 EIP-7702 授權;20:24 Binance 14 送約 167,464 ETH 與 63 種代幣(含約 16 億 USDT)到新地址;24 秒後 Binance 16 送 28,005 ETH;約 20:41 另有 7.8 億 USDC;收款後約 195,460 ETH 轉出;21:04 Circle 凍結約 8.23 億 USDC;約 21:30 Binance 稱用戶資金安全、正在調查。
2. 金額:Tree News 約 25.3 億、Walter Bloomberg 27.7 億(五條鏈)、Blockaid 約 33 億(以太坊、Arbitrum、Avalanche)、Interesting Engineering 55.7 億(標題 57 億;以太坊系 35.1 億、比特幣 14.4 億、TRON 6.3 億)。我自算最高對最低約 2.2 倍。
3. 凍結:Whale Alert 9.711 億 USDT 加 8.23 億 USDC 等於 17.94 億;Ardoino 稱逾 15.67 億 USDT,加 8.23 億 USDC 約 23.9 億。差約 6 億。
4. 7702:授權請求出現在流出前約 3 分鐘。
請幫我:
(a) 檢查第 1 點的算術與相隔時間;EIP-7702 授權在什麼條件下可能造成熱錢包轉出,什麼條件下不可能?
(b) 檢查第 2 點:五個金額的差異各來自鏈範圍、資產範圍還是計價?為什麼熱錢包「流出」不等於「被盜」;
(c) 檢查第 3 點:兩組凍結數為何可能不同(時間點、USDT 的不同鏈、Tether 後續更新)?我的 6 億差額算對了嗎;
(d) 分三類標示每個結論:「文件明說的」、「你另外查證到的(附網址)」、「你的推論」,不要編造連結或數字,不確定就說不確定。
這是技術研究,僅供學習,不需要也請不要給任何投資、交易、錢包操作或資金處置建議。