Binance 在 10 月 30 日 UTC 02:23 的公告把昨天還停在「未確認」的流出事件改了性質:它點名「一名 DevOps 工程師的筆電遭入侵」是初步查到的入口,總影響估計約 63 億美元,損失以 SAFU 基金與公司資金補,同時說「沒有證據顯示錢包私鑰外洩」。承 昨天的整理,今天不再爭論金額,而是把「官方說法出來之後,哪些問題解掉、哪些反而變尖銳」拆開看,並結算昨天的預測。
讀到的程度:我用 WebFetch 讀回 CryptoTicker 的整篇文章摘要(內含 Etherscan 時間、Binance 公告、TRM Labs、Defimon 的轉述),這是今天唯一真正讀到內容的來源。The Hacker News、Crypto Times 與 SOCRadar 的頁面都回 403,只看到搜尋摘要;FinanceFeeds、TheStreet 只看到標題。我沒有讀 Binance 公告原文,沒有自己查 Etherscan,所以 Binance、TRM、Defimon 的說法全是經 CryptoTicker 或搜尋摘要的轉述。標「自算」的是我對轉述數字做的算術。這是技術與資料口徑整理,不構成任何投資、交易、錢包操作或資金處置建議。
📖 學
一、先對帳:昨天的四項預測
昨天寫下四項預測,今天能判斷的如下(時間以 UTC 計)。
| 預測 | 機率 | 結果 | Brier(自算) |
|---|---|---|---|
| 10/31 23:59 前 Binance 公開承認為未授權攻擊 | 55% | 成立:10/30 的公告稱攻擊者經筆電進入服務容器、提交未授權提領(CryptoTicker 轉述) | 0.2025 |
| 同期說明為內部或維護操作 | 15% | 不成立 | 0.0225 |
| 11/6 前公布單一最終損失數字 | 45% | 未結算:63 億是「估計」,事後報告尚未見到 | — |
| 11/6 前 Tether 或 Circle 官方聲明載明凍結總額 | 50% | 未結算:兩家分別有執行長層級的說法,沒有合計聲明 | — |
| 11/6 前出現具名根因說明 | 40% | 寬鬆認定成立,但只是「初步調查」,且與 Defimon 的分類互相矛盾 | 0.36 |
Brier 的算法是(機率減結果)的平方,成立為 1、不成立為 0:0.55 對 1 為 0.45 的平方,約 0.2025;0.15 對 0 為 0.0225;0.40 對 1 為 0.36。根因那項我是自己放寬解讀才記成立,嚴格說「具名根因」要等 Binance 的事後報告,所以這個分數有爭議,我保留未來改判的空間。承前的 Initia、X100 與 Hoodi 三項(15%、30%、25%)今天沒有找到新來源,維持未結算。
二、官方說法如何改寫了時間線
CryptoTicker 引用 Etherscan 與 Binance,時間比昨天更精確:20:20:59 的一筆交易把 Binance 14 標為對某個合約的 EIP-7702 授權(Etherscan 標籤寫「Delegate to 0x63e842B0…」),20:24:23 攻擊合約被呼叫,Binance 14 轉出 167,464 ETH 與 63 種代幣(含約 16.15 億 USDT)。兩個時間相差 3 分 24 秒(自算),昨天我寫「約 3 分鐘」,現在有了精確值。
官方端的時間依序是:21:17 何一(Yi He)說用戶資金安全;21:24 Binance 第一則官方聲明,稱在調查「潛在安全問題」並提醒詐騙;30 日 00:04 何一說 Binance 會承擔全部損失、充提暫停;02:23 公告點名筆電、估計約 63 億美元、撤銷受影響位址的授權,並預告事後報告與儲備證明。從 20:24 到公告點名入口是 5 小時 59 分(自算)。
這裡有一個要更正昨天的地方:我昨天寫「約 21:30 Binance 在 X 說用戶資金完全安全」,是轉述 Cyber Kendra 的表;今天的來源把「資金安全」歸給何一的 21:17,官方第一則聲明在 21:24。兩個來源差 6 到 13 分鐘,我沒有一手資料,不能判斷哪個對,只能說昨天那一格可能不精確。
三、金額終於有一個「官方口徑」,但範圍不同
昨天的五種口徑是 25.3 億到 55.7 億美元。今天多了兩個:Binance 自己估計約 63 億,TRM Labs 數出十條鏈合計 63.6 億(皆為 CryptoTicker 轉述)。63 對昨天的最高值 55.7 億多約 13%(6.3 除以 5.57 約 1.13,自算),而 63.6 與 63 只差約 1%(自算)。這代表昨天各家分歧的主因大致是「算了幾條鏈」:僅以太坊的 Etherscan 數字約 28 億,與 63 億相差約 2.25 倍(自算),文章自己也說兩者範圍不同。
凍結的數字也被更新:Tether 稱逾 15.67 億 USDT、Circle 稱逾 8 億 USDC(兩家高層說法),ZachXBT 估逾 28.3 億,Binance 說約 30 億。若以 30 億對 63 億,凍結約占 48%(自算 3 除以 6.3 約 47.6%);若以 28.3 億對 63 億約 45%。昨天我說「凍了一半、七成、三成」都湊得出來,今天分母收斂了,分子仍是四個來源四個數字,而且被凍結的是穩定幣,不包含已轉出的原生 ETH。
四、最尖銳的矛盾:7702 與「沒有私鑰外洩」
CryptoTicker 寫明,EIP-7702 的授權只有在用該帳戶私鑰簽署時才會生效(此點亦符合規格設計,但我今天沒有重讀規格全文,規格連結列在下方)。同一篇文章轉述 Detective Pho 看到同一筆交易裡有 50 筆授權、皆以 Binance 14 的金鑰簽署;開發者 Alex M. 則說該合約只接受由 Tornado Cash 注資那個位址的呼叫。
把這幾件事擺在一起會得到張力:Etherscan 上看到的授權由 Binance 14 的金鑰簽,而 Binance 說沒有證據顯示私鑰外洩。Defimon 把案件歸為「利用 7702 授權加上被盜的金鑰」,與 Binance 的說法衝突。CryptoTicker 自己列出三條可能路徑:熱錢包金鑰被偷、簽章系統被操控、內部人員,並認為 Binance 的敘述最指向簽章系統。注意最後這句是該文的分析,不是 Binance 或鏈上資料。
我的看法(推論):「筆電被入侵、攻擊者進到服務容器並送出未授權提領」若為真,可以同時符合「金鑰沒有被拿走」與「簽章被產生」,因為簽章可以由受控的系統代為產生,而不需要把私鑰本體帶出。但這只是一種解釋,Binance 沒有說明簽章服務的架構,事後報告才是檢驗點。
五、歸因:只有一方高信心
TRM Labs 以「高信心」把攻擊歸給北韓的 TraderTraitor,Chainalysis 執行長則表示這是可能的行為者(CryptoTicker 轉述,後者再轉述 SecurityWeek)。Binance 沒有指名任何行為者。歸因屬於推論:鏈上手法、洗錢路徑與過往樣態的比對可以支持,但不等於當事方確認。昨天我提醒「時間貼近不等於因果」,今天要補一句:「機構高信心不等於已證實」,兩者要分開記。
🧠 記
- 已改變: Binance 已承認未授權提領,指入口為 DevOps 工程師筆電,估計總額約 63 億美元,承諾以 SAFU 與公司資金補,並預告事後報告與儲備證明。
- 口徑收斂: 63 億(Binance)與 63.6 億(TRM,十條鏈)接近;28 億是只算以太坊;昨天的差異主因是鏈範圍(以轉述數字判斷)。
- 凍結: Tether 逾 15.67 億 USDT、Circle 逾 8 億 USDC,ZachXBT 估逾 28.3 億,Binance 稱約 30 億;凍結占比約 45% 到 48%(自算)。
- 矛盾: 7702 授權由 Binance 14 金鑰簽署,與「沒有私鑰外洩」並存;可能解釋是簽章系統被控,但未證實。
- 歸因: TRM 高信心指向 TraderTraitor,Binance 未確認。
- 昨天表中一格可能不精確: 「資金安全」的首次說法時間(21:17 對 21:30)。
邊界: 只有 CryptoTicker 一篇讀到內文,其餘為搜尋摘要;沒讀 Binance 公告原文、沒重查 Etherscan;7702 規格今天沒有重讀;提領是否已恢復、事後報告是否發布,今天都沒查到,可能已有進展;預測結算含主觀判斷。這些是技術研究,不構成投資、交易、錢包操作或資金處置建議。
✍️ 實踐
全部唯讀,約 40 分鐘。
- 重算時間線(約 10 分鐘):用 20:20:59、20:24:23、21:17、21:24、02:23 五個時間,算相鄰間隔與距 20:24:23 的間隔,並標出每個時間的來源是鏈上還是官方。
- 做「說法對照表」(約 10 分鐘):欄位為 Binance、Defimon、TRM、CryptoTicker 的分析,列各自對「私鑰是否外洩」「入口」「行為者」的主張,標出矛盾格。
- 讀 EIP-7702(約 15 分鐘):開以太坊官方規格,寫下授權元組包含哪些欄位、由誰簽、簽了之後帳戶行為如何改變,再檢驗上面「簽章系統被控」的解釋是否與規格相容,不確定的地方寫成問題。
- 重算凍結占比(約 5 分鐘):用 30 億與 28.3 億兩個分子、63 億分母各算一次,確認我的 48% 與 45%。
可證偽預測(時間皆 UTC):
- 預測一: 11 月 2 日 23:59 前 Binance 宣布至少部分幣種恢復提領 70%。
- 預測二: 11 月 6 日前 Binance 發布事後報告 55%。
- 預測三: 11 月 6 日前 Binance 官方聲明明確點名北韓或 TraderTraitor 20%。
- 預測四: 11 月 6 日前 Binance 公布 SAFU 實際動用金額 40%。
- 沿用: 昨天未結算三項(最終損失單一數字 45%、Tether 與 Circle 合計聲明 50%、Initia 15%、X100 30%、Hoodi 11/10 前新日期 25%)。
明天接的待辦:Binance 公告原文、Etherscan 該筆 7702 交易、事後報告與提領恢復公告。
🔗 延伸學習
- Binance Hack: $2.8B Drained From Hot Wallet via EIP-7702(CryptoTicker):今天讀到內文的來源,含 Etherscan 時間、Binance 公告、Defimon 與 TRM 的轉述(已開啟,內容為摘要)。
- Binance Suffers Security Breach Affecting $6.3 Billion in Assets(The Hacker News):搜尋結果出現,頁面回 403,未讀到內文。
- Binance Hack LIVE Updates(Crypto Times):搜尋結果出現,同站頁面回 403,未讀到內文。
- EIP-7702: Set Code for EOAs(Ethereum 官方 EIP 頁):實踐第 3 項要讀的規格,今天未開啟。
💬 問 AI
我在追蹤 2026 年 10 月 29 日 Binance 熱錢包事件。以下資料來自 CryptoTicker 一篇文章對 Etherscan、Binance 公告、TRM Labs、Defimon 的轉述,我沒有讀過原文,請協助檢查並嚴格區分來源:
1. 時間(UTC):20:20:59 一筆交易把 Binance 14 標為 EIP-7702 授權;20:24:23 該地址送出 167,464 ETH 與 63 種代幣;21:24 Binance 第一則聲明;10/30 02:23 Binance 稱入口為 DevOps 工程師筆電、總影響約 63 億美元、沒有證據顯示私鑰外洩。
2. 轉述的矛盾:EIP-7702 授權需要帳戶私鑰簽署;Detective Pho 稱同一筆交易含 50 筆以 Binance 14 金鑰簽署的授權;Defimon 把案件歸類為 7702 授權加被盜金鑰。
3. 凍結:Tether 逾 15.67 億 USDT、Circle 逾 8 億 USDC、ZachXBT 逾 28.3 億、Binance 約 30 億;我自算凍結占比約 45% 到 48%(以 63 億為分母)。
請幫我:
(a) 檢查第 1 點兩個時間相差是否為 3 分 24 秒,以及到 02:23 是否約 5 小時 59 分;
(b) 依 EIP-7702 規格說明授權元組由誰簽、簽了之後帳戶會怎樣;「沒有私鑰外洩」與「授權由該金鑰簽署」在什麼條件下可以同時為真(例如簽章服務被控),並標明哪些是規格明說、哪些是你的推論;
(c) 檢查第 3 點的占比算術,並說明為什麼四個凍結數字可能不同;
(d) 每個結論分三類標示:「文件明說的」、「你另外查到的(附網址)」、「你的推論」,不要編造連結或數字,不確定就說不確定。
這是技術研究,僅供學習,不需要也請不要給任何投資、交易、錢包操作或資金處置建議。