一句話總結： 2026 年 10 月 29 日，約 63 億美元從幣安（Binance）的錢包轉出，大部分在約 20 分鐘內完成。沒有任何東西被破解：區塊鏈沒有被攻破，幣安也沒有發現私鑰外洩的證據。它的初步調查結果指向一名 DevOps 工程師遭入侵的筆電，攻擊者藉此接觸到一個受信任、可以提交提領的服務。這些轉帳繞過了正常的審核，走的是合法的管道，所以看起來可能很平常。兩家分析公司懷疑是北韓的 TraderTraitor，但這一點尚未獲得證實。
發生了什麼
「The estimated total impact sits at around $6.3B,」（估計總影響約為 63 億美元。）幣安在 10 月 30 日的安全公告中這麼說。BBC 稱之為「what is thought to be the largest hack in history - worth up to $6.3bn (£4.7bn)」（被認為是史上最大的駭客攻擊，金額高達 63 億美元（47 億英鎊））。
作為對照，BBC 網路安全記者 Joe Tidy 列出了先前的紀錄：「Last year $1.5bn (£1.12bn) was taken from Bybit. Before that it was $600m (£433m) from Poly Network in 2021 and $540m (£412m) from Ronin in 2022.」（去年，Bybit 被盜 15 億美元（11.2 億英鎊）。在此之前，是 2021 年 Poly Network 被盜 6 億美元（4.33 億英鎊），以及 2022 年 Ronin 被盜 5.4 億美元（4.12 億英鎊）。）
速度很快。TRM Labs 表示：「On October 29, 2026, an attacker moved approximately USD 6.36 billion out of Binance wallets on ten blockchains, most of it in about 20 minutes starting at 20:05 UTC」（2026 年 10 月 29 日，一名攻擊者從幣安在十條區塊鏈上的錢包轉走約 63.6 億美元，其中大部分是在 UTC 時間 20:05 起的約 20 分鐘內完成）。正如 TRM 的 Ari Redbord 對 BBC 所說：「That speed is the product of long preparation.」（這種速度是長期準備的結果。）
不是區塊鏈，也不是私鑰
出人意料的是沒被攻破的那部分。BBC 的 Mitchell Labiak 說：「The short version is that the blockchain wasn't hacked. Rather, the exchange on which people trade cryptocurrency was hacked.」（簡單說，被駭的不是區塊鏈，而是人們用來交易加密貨幣的交易所。）
幣安也說：「We have found no evidence of any wallet private key leak.」（我們沒有發現任何錢包私鑰外洩的證據。）
起點可能是一台筆電
幣安的初步答案是：「Binance's initial investigation suggests that the security incident may involve a compromised DevOps engineer's laptop, which allowed an attacker to gain access to a service container and submit unauthorized withdrawal transactions.」（幣安的初步調查顯示，這起資安事件可能涉及一名 DevOps 工程師遭入侵的筆電，讓攻擊者得以進入一個服務容器，並提交未經授權的提領交易。）
也可能不只一台機器。幣安共同執行長 Richard Teng 透過 BBC 表示：「This was not carried out by one person. Our initial investigation suggested that the security incident may have involved a compromised laptop, however our subsequent investigation has uncovered additional points of breach.」（這不是一個人做的。我們的初步調查顯示，這起資安事件可能涉及一台遭入侵的筆電，但後續調查又發現了更多的入侵點。）
幣安沒有公布攻擊者是怎麼進入那個服務的，本文也不做揣測。
為什麼難防
Teng 還說，這些轉帳「did not pass through our normal approval controls」（沒有經過我們正常的審核控管）。
Aikido 的 Mackenzie Jackson 向 BBC 描述了大致的路徑：「From one laptop, an attacker can open one internal system, then another, until they reach a service trusted to send out withdrawals. Those withdrawals travel through a legitimate route, so they can look routine.」（攻擊者可以從一台筆電打開一個內部系統，再打開另一個，直到找到一個受信任、可以送出提領的服務。這些提領走的是合法管道，所以看起來可能很平常。）
BBC 對 Jackson 觀點的整理是：「He says hackers have shifted from going after company infrastructure to going after the machines of the people who run it. Those machines hold the digital keys that unlock a company's systems, so an attacker can act as that engineer.」（他說，駭客已經從攻擊公司的基礎設施，轉向攻擊維運這些設施的人所用的機器。這些機器上存著打開公司系統的數位鑰匙，所以攻擊者可以假冒那名工程師行事。）
是誰：遭到懷疑，尚未證實
TRM Labs 透過 BBC 表示：「Several features of this attack match earlier North Korea-linked heists」（這次攻擊的若干特徵，與先前和北韓有關的竊案相符）。其中之一就是 Bybit。FBI 指出：「North Korea was responsible for the theft of approximately $1.5 billion USD in virtual assets from cryptocurrency exchange, Bybit, on or about February 21, 2025.」（北韓應為 2025 年 2 月 21 日前後從加密貨幣交易所 Bybit 竊取約 15 億美元虛擬資產一事負責。）
對於幣安這起事件，兩家分析公司點出了嫌疑對象。TRM Labs：「TRM attributes the attack to TraderTraitor, North Korea's elite hacking unit, based on robust on and off-chain intelligence. We make this judgment with high confidence.」（根據可靠的鏈上與鏈下情報，TRM 將這次攻擊歸因於北韓的菁英駭客部隊 TraderTraitor。我們對這項判斷有很高的把握。）Chainalysis：「Chainalysis investigators assess the $6.4 billion hack of Binance … to be the work of North Korean cybercrime group TraderTraitor.」（Chainalysis 的調查人員評估，幣安 64 億美元遭駭一案……是北韓網路犯罪集團 TraderTraitor 所為。）
但 Elliptic 指出：「No government or law enforcement agency has confirmed attribution, and Binance has not commented on who was responsible.」（沒有任何政府或執法機關確認歸因，幣安也沒有就誰該負責發表評論。）BBC 也說：「We don't yet know who was behind the attack」（我們還不知道誰是這次攻擊的幕後黑手）。所以：遭到懷疑，尚未證實。
之後發生了什麼
幣安「temporarily suspended withdrawals while security checks are completed」（在完成安全檢查期間暫停提領），並表示：「Binance will cover all losses from the SAFU fund and the company's funds. User funds are safe.」（幣安將以 SAFU 基金和公司資金彌補全部損失。用戶資金是安全的。）它還公告：「We have worked with blockchain partners to freeze affected assets, with ~$3 billion frozen on-chain so far.」（我們已與區塊鏈合作夥伴一起凍結受影響的資產，目前鏈上已凍結約 30 億美元。）
時間很關鍵。竊取只花了幾分鐘，洗錢卻要好幾週。Chainalysis：「Following major theft events between 2022-2025, stolen funds follow a structured, multi-wave laundering pathway that unfolds over approximately 45 days」（在 2022–2025 年間的重大竊案之後，失竊資金會沿著一條有組織、分多波進行的洗錢路徑流轉，整個過程持續約 45 天）。說到規模：「North Korean hackers stole $2.02 billion in cryptocurrency in 2025, a 51% year-over-year increase」（2025 年，北韓駭客竊取了價值 20.2 億美元的加密貨幣，年增 51%）（Chainalysis）。
而追回資金很慢。關於 Bybit，事發 18 個月後，Decrypt 報導「around $48.4 million has been recovered and about $30.5 million frozen across more than 28 exchanges and custodians」（在超過 28 家交易所和託管機構中，約 4840 萬美元已被追回，約 3050 萬美元遭凍結）。也就是 15 億美元裡大約追回了 3%（我們自己算的：4840 萬美元 ÷ 15 億美元）。
補救方法
- 在發出請求的系統之外審核。 FBI 建議，在移轉公司任何金融資產之前，「Require multiple factors of authentication and approvals from several different unconnected networks」（要求多因素驗證，並要求來自數個互不相連網路的審核）。
- 拆分誰能簽什麼。 TRM Labs：「Signing infrastructure and approval paths should be separated by chain and wallet tier.」（簽章基礎設施和審核路徑應按鏈和錢包層級分開。）
- 鎖住靠近資金的機器。 「For companies with access to large quantities of cryptocurrency, the FBI recommends blocking devices connected to the company's network」（對於能動用大量加密貨幣的公司，FBI 建議禁止連上公司網路的裝置）下載或執行任何未經核准的程式。
最大的竊案並不破解加密技術；它們接管的是受信任來移轉資金的那套流程，而這套流程要經過人，以及人的筆電。
來源
- Binance，Security Incident Update，2026 年 10 月 30 日
- TRM Labs，North Korea steals $6.36 billion from Binance in the largest hack in history，2026 年 10 月 29 日
- Chainalysis，Binance exploit: latest findings and response，2026 年 10 月 30 日
- Elliptic，Binance: the largest hack in history，2026 年 10 月 30 日
- BBC News，North Korea thought to be behind $6.3bn crypto hack, as firm begins recovering some funds（直播頁面），2026 年 10 月 30 日
- Chainalysis，Crypto hacking and stolen funds 2026，2025 年 12 月
- Decrypt，Bybit sues North Korea over $1.5B hack, wins order freezing assets，2026 年 8 月 10 日
- FBI，PSA 250226（Bybit），2025 年 2 月 26 日
- FBI，PSA 240903: North Korea Aggressively Targeting Crypto Industry with Well-Disguised Social Engineering Attacks，2024 年 9 月 3 日
影片以程式碼製作動畫，腳本在 AI 協助下撰寫；上面每個數字都對照來源查證過。示意的部分：感染逐漸占滿筆電螢幕的畫面、一跳一跳的路徑，以及交易紀錄。本文說明的是風險和補救方法，不是攻擊的具體步驟。影片為英文。影片用 Shotloop 製作：我做的免費 Mac 應用程式，用程式碼做科普短片，一個鏡頭一個鏡頭地修改。