币安失窃案：FBI将朝鲜TraderTraitor组织与有史以来最大的加密货币盗窃案联系起来
2026年10月29日晚间，未授权提现开始在十一条区块链上清空币安的热钱包，前后不过数小时。损失估计从约63亿美元——交易所自己的数字——到64.3亿美元不等；经过多日统计，Elliptic的链上核算最终落在后者，这家分析公司称这几乎可以肯定是历史上规模最大的单一起盗窃案。提现当夜即被暂停，这家全球最大的加密货币交易所在随后几天里不断安抚其约3.35亿注册用户：他们的钱从未离开。
创纪录盗窃背后的数字
几乎没有什么先例可供类比。这批赃款是2025年2月Bybit被盗14.6亿美元的四倍多——当时那已是纪录——也是萨达姆·侯赛因2003年从伊拉克中央银行卷走的约10亿美元的六倍多，Elliptic的对比如此呈现。根据FBI的统计口径，The Hacker News清点出十一条受影响的区块链，其中82%的价值集中在以太坊和比特币上。最大的一块在以太坊上：约38亿美元、分布在186种代币中，此外还有价值约14.8亿美元的18270枚BTC。朝鲜，高置信度
10月31日，FBI正式将此次盗窃归因于TraderTraitor——一个亲朝鲜的集群，亦以Jade Sleet和Slow Pisces等代号被追踪——并与美国特勤局及国税局刑事调查局（IRS Criminal Investigation）协同行动。同一批行为者还被指向Bybit和DMM Bitcoin失窃案，以及KelpDAO和Bitget上规模较小的攻击事件。案发数小时内，私营分析机构已指向同一方向：链上侦探ZachXBT称攻击者"很可能是Lazarus"，TRM Labs则发布了"高置信度"评估，认定TraderTraitor是罪魁——按CoinDesk的说法，该单元是Lazarus Group的一个子集群。"我们已补足被盗资产的90%，并承诺覆盖剩余的10%。" ——币安联席CEO Richard Teng，2026年10月31日币安暂停了提现，随后承诺全额承担客户的每一分损失。据NBC News报道，公司拨出了约63.4亿美元自有资金——来自其10亿美元的Secure Asset Fund for Users安全基金、合约保险基金和公司金库——剩下的百分之十主要是不太流动的代币，回购需要更长时间。 提现自11月1日06:00 UTC起分阶段恢复，人们担心的挤兑并未失控。The Block统计，恢复后的前九个半小时内净流出约36.4亿美元——约占管理资产的2%——并援引交易所的说法：在最初的峰值之后，流出量"如预期般趋于稳定"，充值依然可观。据《卫报》报道，消息传出后的数小时内，比特币已先跌5%，至77380美元的六周低点。
钱包是如何被清空的
币安最初的公开解释将入侵入口指向一名DevOps工程师被攻破的笔记本电脑；公司随后改口称这是一次复杂攻击，存在更多突破口，并使用了旨在删除证据的恶意软件。Elliptic的复原显示，攻击者滥用了EIP-7702委托——以太坊2025年Pectra升级引入的特性：一笔载有五十份有效签名授权的交易，把标签为"Binance 14"的钱包控制权委托给一个sweeper合约，三分半钟后该合约将其中的167464枚ETH和63种代币一扫而空。资金是通过币安自己的签名基础设施移动的，而不是被盗私钥——用Elliptic的话说，被攻破的是钱包周边的基础设施和人员，而非密码学本身。洗钱路线
FBI已提前画出了自己的预期。在观察到攻击者将盗取资产主要转换为以太坊之后，该机构预计资金将进一步通过DeFi和即时兑换服务清洗，并已公布了钱包地址供各服务筛查比对。到目前为止，链上记录与已知的剧本一致：稳定币以12%至26%的折损换成ETH和TRX——宁求速度、不计价值；5990万USDT存入Aave以借入ETH；TRX则经由至少六座不同的跨链桥转移。- 几天之内，已有约28.5亿美元在链上被冻结或查封——占盗窃总额的44%，按Elliptic的说法几乎全是稳定币；币安自己的估计约为30亿美元。
- 比特币、XRP Ledger、Solana和NEAR上没有任何资产被冻结，攻击者手中仍握有约32.5亿美元无法冻结的资产，散布在800多个地址中。
- Elliptic已发布一份免费的黑名单，包含8000多个关联地址，供交易所和钱包服务商使用。
- 据信与朝鲜相关的行为者近年来已窃取超过65亿美元的加密货币，Elliptic指出，此案几乎使这一总额翻倍。