一句话总结： 2026 年 10 月 29 日，约 63 亿美元从币安（Binance）的钱包转出，大部分在约 20 分钟内完成。没有任何东西被破解：区块链没有被攻破，币安也没有发现私钥泄露的证据。它的初步调查结果指向一名 DevOps 工程师被入侵的笔记本电脑，攻击者由此接触到一个被信任可以提交提现的服务。这些转账绕过了正常的审批，走的是合法的通道，所以看上去可能很平常。两家分析公司怀疑是朝鲜的 TraderTraitor，但这一点尚未得到证实。
发生了什么
"The estimated total impact sits at around $6.3B,"（估计总影响约为 63 亿美元。）币安在 10 月 30 日的安全通报中这样说。BBC 称之为"what is thought to be the largest hack in history - worth up to $6.3bn (£4.7bn)"（被认为是史上最大的黑客攻击，金额高达 63 亿美元（47 亿英镑））。
作为对比，BBC 网络安全记者 Joe Tidy 列出了此前的纪录："Last year $1.5bn (£1.12bn) was taken from Bybit. Before that it was $600m (£433m) from Poly Network in 2021 and $540m (£412m) from Ronin in 2022."（去年，Bybit 被盗 15 亿美元（11.2 亿英镑）。在此之前，是 2021 年 Poly Network 被盗 6 亿美元（4.33 亿英镑），以及 2022 年 Ronin 被盗 5.4 亿美元（4.12 亿英镑）。）
速度很快。TRM Labs 说："On October 29, 2026, an attacker moved approximately USD 6.36 billion out of Binance wallets on ten blockchains, most of it in about 20 minutes starting at 20:05 UTC"（2026 年 10 月 29 日，一名攻击者从币安在十条区块链上的钱包转走了约 63.6 亿美元，其中大部分是在 UTC 时间 20:05 起的约 20 分钟内完成的）。正如 TRM 的 Ari Redbord 对 BBC 所说："That speed is the product of long preparation."（这种速度是长期准备的结果。）
不是区块链，也不是私钥
出人意料的是没被攻破的那部分。BBC 的 Mitchell Labiak 说："The short version is that the blockchain wasn't hacked. Rather, the exchange on which people trade cryptocurrency was hacked."（简单说，被黑的不是区块链，而是人们用来交易加密货币的交易所。）
币安也说："We have found no evidence of any wallet private key leak."（我们没有发现任何钱包私钥泄露的证据。）
起点可能是一台笔记本电脑
币安的初步答案是："Binance's initial investigation suggests that the security incident may involve a compromised DevOps engineer's laptop, which allowed an attacker to gain access to a service container and submit unauthorized withdrawal transactions."（币安的初步调查显示，这起安全事件可能涉及一名 DevOps 工程师被入侵的笔记本电脑，攻击者借此进入一个服务容器，并提交了未经授权的提现交易。）
也可能不止一台机器。币安联席 CEO Richard Teng 通过 BBC 表示："This was not carried out by one person. Our initial investigation suggested that the security incident may have involved a compromised laptop, however our subsequent investigation has uncovered additional points of breach."（这不是一个人干的。我们的初步调查显示，这起安全事件可能涉及一台被入侵的笔记本电脑，但后续调查又发现了更多的入侵点。）
币安没有公布攻击者是怎样进入那个服务的，本文也不做猜测。
为什么难防
Teng 还说，这些转账"did not pass through our normal approval controls"（没有经过我们正常的审批控制）。
Aikido 的 Mackenzie Jackson 向 BBC 描述了大致的路径："From one laptop, an attacker can open one internal system, then another, until they reach a service trusted to send out withdrawals. Those withdrawals travel through a legitimate route, so they can look routine."（攻击者可以从一台笔记本电脑打开一个内部系统，再打开另一个，直到找到一个被信任可以发出提现的服务。这些提现走的是合法通道，所以看上去可能很平常。）
BBC 对 Jackson 观点的概括是："He says hackers have shifted from going after company infrastructure to going after the machines of the people who run it. Those machines hold the digital keys that unlock a company's systems, so an attacker can act as that engineer."（他说，黑客已经从攻击公司的基础设施，转向攻击运维这些设施的人所用的机器。这些机器上存着打开公司系统的数字钥匙，所以攻击者可以冒充那名工程师行事。）
是谁：被怀疑，未证实
TRM Labs 通过 BBC 表示："Several features of this attack match earlier North Korea-linked heists"（这次攻击的若干特征，与此前和朝鲜有关的盗窃案相吻合）。其中之一就是 Bybit。FBI 称："North Korea was responsible for the theft of approximately $1.5 billion USD in virtual assets from cryptocurrency exchange, Bybit, on or about February 21, 2025."（朝鲜应对 2025 年 2 月 21 日前后从加密货币交易所 Bybit 盗取约 15 亿美元虚拟资产一事负责。）
对于币安这起事件，两家分析公司点出了嫌疑对象。TRM Labs："TRM attributes the attack to TraderTraitor, North Korea's elite hacking unit, based on robust on and off-chain intelligence. We make this judgment with high confidence."（基于可靠的链上和链下情报，TRM 将这次攻击归因于朝鲜的精英黑客部队 TraderTraitor。我们对这一判断有很高的把握。）Chainalysis："Chainalysis investigators assess the $6.4 billion hack of Binance … to be the work of North Korean cybercrime group TraderTraitor."（Chainalysis 的调查人员评估认为，币安 64 亿美元被盗一案……是朝鲜网络犯罪组织 TraderTraitor 所为。）
但 Elliptic 指出："No government or law enforcement agency has confirmed attribution, and Binance has not commented on who was responsible."（没有任何政府或执法机构确认归因，币安也没有就谁该负责发表评论。）BBC 也说："We don't yet know who was behind the attack"（我们还不知道谁是这次攻击的幕后黑手）。所以：被怀疑，未证实。
之后发生了什么
币安"temporarily suspended withdrawals while security checks are completed"（在完成安全检查期间暂停了提现），并表示："Binance will cover all losses from the SAFU fund and the company's funds. User funds are safe."（币安将用 SAFU 基金和公司资金弥补全部损失。用户资金是安全的。）它还通报："We have worked with blockchain partners to freeze affected assets, with ~$3 billion frozen on-chain so far."（我们已与区块链合作伙伴一起冻结受影响的资产，目前链上已冻结约 30 亿美元。）
时间很关键。盗窃只用了几分钟，洗钱却要几周。Chainalysis："Following major theft events between 2022-2025, stolen funds follow a structured, multi-wave laundering pathway that unfolds over approximately 45 days"（在 2022–2025 年间的重大盗窃事件之后，被盗资金会沿着一条有组织、分多波进行的洗钱路径流转，整个过程持续约 45 天）。说到规模："North Korean hackers stole $2.02 billion in cryptocurrency in 2025, a 51% year-over-year increase"（2025 年，朝鲜黑客盗取了价值 20.2 亿美元的加密货币，同比增长 51%）（Chainalysis）。
而追回资金很慢。关于 Bybit，事发 18 个月后，Decrypt 报道"around $48.4 million has been recovered and about $30.5 million frozen across more than 28 exchanges and custodians"（在超过 28 家交易所和托管机构中，约 4840 万美元已被追回，约 3050 万美元被冻结）。也就是 15 亿美元里大约追回了 3%（我们自己算的：4840 万美元 ÷ 15 亿美元）。
补救办法
- 在发起请求的系统之外审批。 FBI 建议，在转移公司任何金融资产之前，"Require multiple factors of authentication and approvals from several different unconnected networks"（要求多因素认证，并要求来自多个互不相连的网络的审批）。
- 拆分谁能签什么。 TRM Labs："Signing infrastructure and approval paths should be separated by chain and wallet tier."（签名基础设施和审批路径应按链和钱包层级分开。）
- 锁定靠近资金的机器。 "For companies with access to large quantities of cryptocurrency, the FBI recommends blocking devices connected to the company's network"（对于能动用大量加密货币的公司，FBI 建议禁止连接到公司网络的设备）下载或运行任何未经批准的程序。
最大的盗窃案并不破解加密技术；它们接管的是被信任来转移资金的那套流程，而这套流程要经过人，以及人的笔记本电脑。
来源
- Binance，Security Incident Update，2026 年 10 月 30 日
- TRM Labs，North Korea steals $6.36 billion from Binance in the largest hack in history，2026 年 10 月 29 日
- Chainalysis，Binance exploit: latest findings and response，2026 年 10 月 30 日
- Elliptic，Binance: the largest hack in history，2026 年 10 月 30 日
- BBC News，North Korea thought to be behind $6.3bn crypto hack, as firm begins recovering some funds（直播页面），2026 年 10 月 30 日
- Chainalysis，Crypto hacking and stolen funds 2026，2025 年 12 月
- Decrypt，Bybit sues North Korea over $1.5B hack, wins order freezing assets，2026 年 8 月 10 日
- FBI，PSA 250226（Bybit），2025 年 2 月 26 日
- FBI，PSA 240903: North Korea Aggressively Targeting Crypto Industry with Well-Disguised Social Engineering Attacks，2024 年 9 月 3 日
视频用代码制作动画，脚本在 AI 辅助下撰写；上面每个数字都对照来源核实过。示意部分：感染蔓延占满笔记本屏幕的画面、一跳一跳的路径，以及交易日志。本文讲的是风险和补救办法，不是攻击的具体步骤。视频为英文。视频用 Shotloop 制作：我做的免费 Mac 应用，用代码做科普短视频，一个镜头一个镜头地改。