币安热钱包被盗事件链上追踪研究报告

核心摘要

10 月 30 日凌晨，币安在 XRP Ledger、以太坊、波场、Arbitrum、比特币等多条链上的热钱包相继被转空，官方预计总影响约 63 亿美元，是 2025 年 2 月 Bybit 案（14.6 亿美元）的 4 倍多，刷新加密行业单起被盗纪录。币安初步调查指向一名 DevOps 工程师的笔记本电脑被攻破，攻击者借此访问服务容器并提交了未经授权的提现。

从热钱包失守到 Tether 冻结首个攻击者地址，中间隔了 37 分钟。冻结令此后沿资金链逐级追赶，最惊险的一跳只差 36 秒。各方合计冻结约 30 亿美元，Arbitrum 安全委员会以链级权限从攻击者地址转走约 3,050 万美元资产；但截至 20:00，攻击者仍控制约 50.56 万枚 ETH 与约 6.31 亿枚 TRX，合计约 13.4 亿美元，这部分资产没有任何发行方可以冻结。

一 事件概览：多链热钱包在 25 分钟内相继失守

1.1 事件经过

据 TRM Labs 与 Arkham 统计，最早被转走的是 XRP Ledger 上约 3 亿美元的 XRP，时间为 10 月 30 日 04:05 至 04:09（北京时间，下同）。04:20:00，币安波场热钱包向一个新建地址转出 1 万枚 TRX，价值约 3,500 美元；72 秒后，该热钱包向同一地址转出 4,638 万枚 TRX；又过 93 秒，6.13 亿枚 USDT 随之流出。最初那 1 万枚 TRX 是攻击者的试探性转账，用于确认已经取得该钱包的转账权限。

几乎同一时间，以太坊上的币安热钱包 Binance 14 被改为由攻击合约控制。04:24:23，攻击者用一笔交易将 16.15 亿 USDT、16.7 万枚 ETH 及 60 余种代币全部转入新地址；24 秒后，Binance 16 被转走 28,005.6 枚 ETH 和 5,574 万 USDT；04:30:34，Arbitrum 上一个疑似币安热钱包的地址转出 7,456 万枚 ARB；04:41 起，币安 USDC 热钱包分两笔流出 8.23 亿 USDC。Arkham 统计，除 XRP 外，攻击者在 9 条链上通过 141 次转账转移约 60 亿美元，其中 49 亿美元在头 14 分钟内到达，最大一笔单笔交易约 25.3 亿美元。

04:32，链上分析师 Spreek 在 X 上发出首条预警。05:15，币安创始人赵长鹏（CZ）发帖确认遭到黑客攻击；05:29，币安官方发布声明，随后暂停提现。10:25，币安公布初步调查结果，预计总影响约 63 亿美元，已冻结约 30 亿美元，损失由 SAFU 基金和公司资金承担。

1.2 损失与冻结口径

各机构统计的时间点、覆盖链和计价时点不同，数字不能直接相加或相减。63 亿减去 30 亿得到的 33 亿美元，只是两个近似值之差，既不等于币安的最终净损失，也不等于攻击者当前持有的资产。

表 1 各方公布的损失与冻结数字

数据来源：币安官方公告、TRM Labs、Arkham、Chainalysis（经路透社）、Watcher.Guru、德尔泰链上核对。

1.3 事件时间线

表 2 事件关键节点（北京时间，截至 20:00）

数据来源：以太坊、波场、Arbitrum 链上记录；币安、TRM Labs、Arkham、Chainalysis、路透社公开信息。

二 攻击路径：从一台笔记本到 EIP-7702 委托

2.1 官方调查：入口是一台工程师电脑

币安 10:25 的初步说明称，事件可能源于一名 DevOps 工程师的笔记本电脑被攻破，攻击者借此访问了一个服务容器，并提交了未经授权的提款交易；目前未发现钱包私钥泄露的证据。14:02，币安进一步表示，员工电脑遭入侵只是攻击起点，单凭攻破一台设备或利用某位工程师的权限无法完成资金转移，实际涉及更复杂的攻击过程，调查尚未将责任归于任何个人；安全团队正在沿被入侵的电脑追查完整攻击路径，完整的根因报告将随后发布。

2.2 提前约 18 小时的布置

链上记录显示，攻击者为此准备了不止一天。攻击触发地址 0x7C86…5CA0 的启动资金来自混币器 Tornado Cash，10 月 29 日 10:28 就已部署第一个合约，当晚 21:51 至 22:24 又对两个合约做了四次调用测试，距离正式动手提前约 18 小时。

2.3 EIP-7702：50 个预签授权，只有 1 个生效

在以太坊上，攻击者用到了 2025 年 5 月 Pectra 升级引入的 EIP-7702 机制。该机制允许普通钱包地址通过签名授权，把账户执行逻辑指向一个智能合约，此后对该地址的调用都按合约代码执行，原本用于批量交易、代付手续费等场景。

04:20:59，攻击触发地址 0x7C86 向 Binance 14 提交了一笔 type-4 交易，交易内塞入 50 个授权，委托目标都是合约 0x63e8…6fAe，签名均可还原为 Binance 14，nonce 从 18,914,824 依次递减至 18,914,775。按协议规则，只有 nonce 与账户当时 nonce 一致的授权才会生效。同一区块里 Binance 14 刚用掉 nonce 18,914,808，因此只有 nonce 为 18,914,809 的那一个授权生效。3 分 24 秒后，攻击合约调用 sweep 函数，开始清扫热钱包。

这组授权说明攻击者在动手前拿到了 Binance 14 对一整段未来 nonce 的签名，用来应对热钱包高频交易造成的 nonce 漂移。签名有效只能说明对应密钥参与了签名，无法从链上区分私钥泄露、签名服务被滥用还是审批流程被操纵，这一点需要币安内部日志才能闭合。慢雾创始人余弦（Cos）也指出，EIP-7702 只是方便攻击者批量清扫热钱包上的代币，机制本身没有问题。

08:10:35，Binance 14 以自身地址发出一笔 type-4 交易，将委托目标改为零地址，撤销了攻击合约的控制权，距授权生效 3 小时 49 分。撤销委托只能阻止后续调用，已经转走的资产和此前的代币授权不会因此恢复。

表 3 Binance 14 的委托与撤销

数据来源：以太坊链上记录（Blockscout）。完整交易哈希见附录。

2.4 一笔交易转走 64 种代币

04:24:23 的 sweep 调用中列明 64 个代币合约地址。这笔交易将 Binance 14 上的 16.15 亿 USDT、6,260 万 RLUSD、29,934 枚 WBETH、11,372 枚 XAUT（Tether 黄金）、619 万 UNI、2,776 万 USD1、1.98 亿 ENA、7.175 万亿 PEPE、226 万 LINK、12.8 万 AAVE 等资产，连同 16.7 万枚 ETH，一次性转入攻击者主地址 0x5227…2f8c。该主地址此前没有任何交易记录。

2.5 归集仍在运行，攻击者两度返场

攻击发生后一个多小时内，Binance 14 并未被完全切断。05:55，链上研究员 Conor Grogan 指出，币安的充值归集仍在运行，新充值的资产会被持续归集到热钱包，攻击者随即再次转走。05:04:23，Binance 14 再被转走 392 万 USDT 和 1,699.9 枚 ETH；05:44:11，又被转走 2.004 亿 USDT 和 369.8 枚 ETH，均进入攻击者主地址。

其中 2 亿 USDT 到账时，攻击者主地址已于 05:01:35 被 Tether 列入黑名单，这笔资金入账即被锁定。06:06:23，Tether 将 Binance 14 本身也列入黑名单，币安自己的热钱包与攻击者地址一同进入冻结名单。

三 37 分钟窗口期：冻结生效前的三步操作

04:24 资金被转走，05:01:35 Tether 冻结攻击者主地址，05:04:59 Circle 冻结同一地址的 USDC。37 分钟里，7.29 亿 USDT 被折价抛售、抵押借贷和接力转移，换成了没有发行方可以冻结的 ETH 与 TRX。Chainalysis 18:27 发布的调查也印证了这一点：攻击者在约 20 分钟内把 3.25 亿美元被盗稳定币换成价值 2.85 亿美元的 ETH，随后将另外 1.75 亿美元稳定币转往中转钱包，试图赶在冻结前完成转移。

第一步：折价抛售 3.25 亿 USDT

04:30:11，主地址将 5 亿 USDT 转给抛售地址 A（0x9749…C762）。4 分钟后，该地址开始分批出货，9 笔 USDT 分别进入 5 个成交合约，对应的 ETH 由 UniswapX 订单结算合约（V2DutchOrderReactor）和另一个订单结算合约分批支付。04:34 至 04:49 的 15 分钟内，3.25 亿 USDT 全部卖出，换回 122,316 枚 ETH。

攻击者在大幅让价出货。按当时 2,315 美元的 ETH 价格计算，3.25 亿 USDT 理论上可换得约 14 万枚 ETH，实际少换约 1.8 万枚。加上另外两批直接在 Uniswap 等资金池砸盘的 USDT，攻击者在冻结前共卖出约 4.35 亿 USDT，换回约 16 万枚 ETH，较市价少换约 2.7 万枚，差价约 6,000 万美元，部分批次的实际成交成本超过每枚 3,000 美元。剩余的 1.75 亿 USDT 于 04:59:11 由抛售地址 A 转给下一个中转地址，2 分 24 秒后，抛售地址 A 被冻结。

第二步：以赃款作抵押，从 Aave 借出 19,762 枚 ETH

04:33:23，主地址将 2 亿 USDT 转给抛售地址 B（0x0Ddf…697E），该地址先在 Uniswap 等资金池卖出 1,000 万 USDT，换得 3,552 枚 ETH，随后将剩余 1.9 亿 USDT 与这批 ETH 一并转给 0x8d53…639A。

德尔泰追踪发现，0x8d53 并未继续卖币。04:57:59 和 05:00:11，该地址分两笔将 6,000 万 USDT 存入借贷协议 Aave v3 作为抵押，并于 04:59:11 和 05:00:59 通过 Aave 的 WETH 借款网关先后借出 3,271 枚和 16,491 枚 ETH，合计 19,762 枚，目前仍有约 19,762.5 枚 WETH 的浮动利率借款未偿还。05:01:59，0x8d53 将剩余 1.3 亿 USDT 转给下一个地址，48 秒后被 Tether 冻结，此前 12 秒，23,314.5 枚 ETH 已经先行转出。

USDT 可以被发行方冻结，ETH 没有发行方可以冻结。把注定会被冻结的 USDT 抵押出去，换出一笔无法冻结的 ETH，即使抵押品事后被锁定，借出的 ETH 也已转到攻击者手中。币安联合创始人何一 18:27 表示，Aave 中抵押的 6,000 万 USDT 不在完全冻结范围内，攻击者实际拿走约 4,600 万美元的 ETH，这部分抵押物通过执法程序解锁后，还能多追回约 1,400 万美元。Aave 的风险服务商 LlamaRisk 披露后，Aave 也冻结了相关市场的新增借款。

第三步：与冻结令逐秒赛跑的资金接力

05:01:35 起，Tether 沿资金链逐级冻结下游地址。德尔泰比对 Tether 合约的黑名单事件发现，多个地址的最后一笔转出只比冻结早几十秒：

表 4 最后一笔转出与被 Tether 冻结的时间对照

数据来源：以太坊链上记录，Tether 合约 AddedBlackList 事件（Blockscout）。

在这条接力链上，接力抛售地址 1（0x77ED…c3eb）和接力抛售地址 2 又各自在 Uniswap 等资金池卖出约 5,000 万 USDT，所得 ETH 随 USDT 一路向下传递。到末端地址 0xb171 时，3,000 万 USDT 未能及时转出而被冻结，但同一批次的 57,891.8 枚 ETH 已在 05:35:59 转入新的存放地址。

各方公布的冻结金额不一致，主要源于统计时间不同：05:15 赵长鹏引用的是 9.71 亿 USDT，05:25 Paolo 公布的是 15.67 亿 USDT。按链上余额统计，以太坊 3 个地址合计冻结 13.80 亿 USDT，波场 2 个地址合计 3.79 亿 USDT，共 17.59 亿 USDT，其中包括 05:44 转入已冻结主地址的 2 亿 USDT。

四 Arbitrum 罕见出手：链级权限转走 3,050 万美元

ARB 和 Arbitrum 上的 ETH 都没有发行方可以冻结，这 3,050 万美元被转走，靠的是 Arbitrum 安全委员会的链级权限。

04:30:34，Arbitrum 上一个累计发出超过 850 万笔交易的地址 0xB38e…891D，向攻击者主地址 0x5227…2f8c 转出 74,559,805 枚 ARB。攻击者在 Arbitrum 上使用的是与以太坊完全相同的主地址。05:29，主地址在以太坊上给 0x3E2b…32d5 转去 0.5 枚 ETH，后者两分钟后通过 MetaBridge 跨链，在 Arbitrum 上备好了手续费；05:36:30，7,456 万枚 ARB 被转入 0x3E2b。

08:18:20，这 7,456 万枚 ARB 从 0x3E2b 转入 Arbitrum 安全委员会指定的冻结地址。Arbitrum 链上记录显示，这笔交易的发送方是攻击者地址本身，交易类型却是 Arbitrum 特有的 0x65，即无需该地址私钥签名的交易类型。攻击者没有签过这笔转账，资产已经离开了他的钱包。08:19，Arbitrum 官方确认，安全委员会已转移该地址上的 74,559,805 枚 ARB 和 8,425 枚 ETH，这些资金只能经安全委员会进一步行动或 Arbitrum DAO 投票才能动用，两者合计约 3,050 万美元。

以太坊主网没有类似机制，攻击者在主网上的 ETH 只能靠追踪资金最终流向的交易所和场外渠道去拦截。链上治理直接处置用户地址中的资产，这一先例此后也会持续引发讨论。

五 资金现状：13.4 亿美元停在哪里（截至 20:00）

表 5 攻击者仍控制的主要资产

价格：ETH 2,233 美元、TRX 0.3405 美元（CoinGecko，20:00 前后）。主地址另有约 2,782 万 USD1、1.26 万 XAUT、1,907 PAXG、345 万 FDUSD（合计约 6,100 万美元），发行方具备冻结能力，未计入。

5.1 以太坊：资金向 6 个存放地址集中

表 6 以太坊存放地址余额（截至 20:00）

数据来源：以太坊链上记录（Blockscout）。

11:00 之后，以太坊上的资金继续向存放地址归集。13:15，攻击者主地址把 17,260 枚 ETH（约 3,882 万美元）一次转入新地址 0x03b0…20ea，Arkham 当时提示其可能流向 Tornado Cash，截至 20:00 这笔 ETH 没有任何转出。13:28 至 13:35，原 LINK 抛售地址（11,560.82 枚）、USDe/WBTC 抛售地址（2,856.9 枚）和 PEPE 抛售地址把 ETH 全部并入存放地址⑤；14:17 至 14:20，地址 0xA97b…8d10 在 Uniswap 上连续抛售剩余代币，14:36 把换得的 7,647 枚 ETH 并入存放地址④。

存放地址①②③合计 413,477 枚 ETH，自入账起没有一笔转出。午后这几个地址持续收到大量零额和极小额转账，属于第三方的链上留言与地址投毒。大额 ETH 变现通常要经过混币器、跨链桥或场外渠道，这几个地址的第一笔转出，将是判断追回难度的关键信号。

5.2 波场：冻结前 2.34 亿 USDT 换成 6.38 亿枚 TRX

04:22:45，6.13 亿 USDT 从币安波场热钱包转入攻击者收款地址 TG5i…zsGi。04:45 和 04:56，该地址分两笔将 3 亿 USDT 转给分流地址 TPBk…KN4。分流地址随后在 24 分钟内，将 1.99 亿 USDT 分 13 笔转入一个波场去中心化交易所合约，另将 3,300 万和 200 万 USDT 转入两个兑换合约，换得的 TRX 于 04:56:12 和 05:42:42 两次转入新地址 TSpe5…yZ8A，合计 638,190,941 枚。

Tether 在波场的冻结同样慢了一步。05:09:12 冻结收款地址时，地址内仍有 3.13 亿 USDT；05:16:18，分流地址将最后 6,599 万 USDT 转给 TCzB…Y62，5 分钟后该地址被冻结；05:20:57 分流地址本身被冻结时，账上的 USDT 已经全部转出。08:06:09，收款地址上剩余的 4,638 万枚 TRX 被整笔转入一个 3 秒前才激活的新地址 TRBd…PRki。

5.3 18:15 之后：6.38 亿枚 TRX 全部离开存放地址

德尔泰追踪发现，持有 6.38 亿枚 TRX、此前一直未动的 TSpe5 地址，在 18:15 至 18:20 的 5 分钟内分 5 笔转出全部余额，现仅剩约 37 枚 TRX。其中 1.2 亿枚先进入一个中转地址，18:20:48 再转入拆分地址 TRBd；其余 4 笔共 5.182 亿枚分别停在 4 个新地址，截至 20:00 没有继续转出。

表 7 TSpe5 的 5 笔转出（北京时间）

数据来源：波场链上记录（TronGrid）。完整地址与交易哈希见附录。

5.4 TRBd：拆分、SunSwap 兑换与 USDT0 跨链回流

TRBd 自 10:19 起持续拆分，截至 20:00 已分 145 笔转出 5,373 万枚 TRX，18:20 收到 1.2 亿枚后余额回升至约 1.13 亿枚，拆分仍在进行。被拆出的 TRX 先进入 13 个一级拆分地址和 41 个拆分中转地址，这些地址大多在 10:19 之后才新建。

截至 18:10，其中约 1,174 万枚 TRX 在 SunSwap 上换成 USDT，再由 14 个跨链发起地址通过 USDT0 的跨链合约分 27 笔转回以太坊，合计 4,043,953 USDT；到达以太坊的 9 个回流地址收到 USDT 后随即在 DEX 换成 ETH。另有少量 TRX 和 USDT 流向疑似闪兑、场外承兑与兑换服务：5 个疑似 TRX→USDT 闪兑地址在 10 月 12 日同一分钟内激活，其中 1 个在 17 天内向币安充值约 371 万美元；疑似场外承兑地址 TZG47 现持约 692 万 USDT，311 天内向 Bitget 充值约 4,887 万美元；此外还有 Changehero（混合 KYC 兑换服务）和 NEAR Intents 跨链热钱包。

这条路径对冻结方并非全无机会：经 USDT0 跨链的是 Tether 可冻结的 USDT，闪兑与承兑地址又与币安、Bitget 等交易所存在充值往来。Chainalysis 18:09 也观察到，攻击者正在用自动化手段在短时间内执行数千笔交易，反复在地址之间循环资金，常常把资金送回序列中较早出现的地址。慢雾 MistTrack 则发现，被盗 TRX 在转移中经 Bitget Wallet 跨链兑换流入一个曾被 Phemex 黑客使用过的地址，Bitget Wallet 随后表示已将识别出的涉案地址列入黑名单并限制相关服务。

六 外部响应、归因与市场影响

6.1 冻结与协同处置

表 8 各方冻结与处置情况

数据来源：各方 X 官方账号、吴说、路透社公开信息。

6.2 攻击者归因

TRM Labs 以较高置信度将此次攻击归于与朝鲜相关的 TraderTraitor。链上侦探 ZachXBT 判断攻击者为朝鲜 Lazarus 旗下的 TraderTraitor，并发现当日中午，本次被盗资金与上月 Bitget 3.88 亿美元被盗赃款经 THORChain 汇入同一地址后发生混合，两起事件很可能由同一攻击者实施。Lookonchain 也认为，币安、Bybit 与 Bitget 三起被盗背后可能都与 Lazarus 有关。上述均为研究机构与链上分析人士的判断，尚无执法机构的正式认定。据路透社 19:45 报道，币安正与包括 FBI 和美国特勤局在内的全球执法机构合作。

6.3 币安的应对与用户安排

币安在 06:33 暂停提现，08:13 一度暂停存款。12:36，币安宣布充值已恢复正常，提现预计在 48 小时内恢复；19:24，币安客服更新为预计在 45 小时内恢复，并表示待处理的提现已被取消，用户可通过 P2P、法币提现或交易处理资金。

赔付方面，CZ 10:23 表示用户资金安全无虞，何一 11:51 回应称会追到底。19:03，币安披露已预留超过 63.4 亿美元公司资金用于弥补损失，其中约 50 亿美元已以受影响的相同代币形式持有，其余正通过公开市场和场外交易买入；何一 19:07 表示，正在通过场外和场内交易买入完全匹配数量的被盗山寨币。18:55，币安宣布已开始为用户回填受影响的资产。修复完成后，币安将发布更新的储备证明。

6.4 市场影响

事件发生后，加密市场明显回撤。截至 20:00，BTC 报 77,394 美元，24 小时下跌 3.5%，盘中一度跌至 7.7 万美元附近；ETH 报 2,233 美元，下跌 4.0%，一度跌破 2,200 美元；BNB 报 699 美元，下跌 5.4%。印度交易所 CoinDCX 以一家全球流动性提供商受影响为由，将期货业务临时调整为只减仓模式。Ballet 创始人 Bobby Lee 接受彭博社采访时表示，被盗的比特币大概率已无法追回。CZ 则提到，当日传统金融市场同样大幅下跌，市场波动不应全部归因于此次攻击。

价格数据来源：CoinGecko，20:00 前后报价，仅反映截止时点。

七 公告之外：投毒、留言与清仓式抛售

7.1 攻击者地址同样遭遇地址投毒

Spreek 首发预警附带的截图中，攻击者主地址的交易记录里出现了一笔来自 0x9749F766…C762 的转账。真正的抛售地址 A 是 0x9749292D…C762，两者开头和结尾完全相同，只有中间字符不同。攻击者 04:29 向抛售地址 A 转入 0.5 枚 ETH 作为手续费，不到一分钟，仿冒地址的转账就已出现。链上还出现了一个显示名称为 USDT 的假代币，伪造出主地址向另一个仿冒的 0x9749…c762 地址转出 5 亿枚 USDT 的记录，数额与真实转账完全一致。

7.2 二十余条链上留言

被盗后的几个小时内，攻击者主地址陆续收到约二十条链上留言，内容包括直接索要 5 万美元、引用圣经经文、推广各类代币，也有人留下 Funds are UNSAFU 一句，调侃币安过去常用的 Funds are SAFU 口号。截至 20:00，币安尚未在链上向攻击者喊话或公布白帽赏金。

7.3 山寨币清仓式抛售

06:48，Lookonchain 提醒攻击者正在链上卖出 PEPE、UNI、LINK 等代币换取 ETH。两个多小时后，这些代币已全部卖完，7.77 万亿枚 PEPE 换得约 14,049 枚 ETH，PEPE 价格随之下跌 12.33%；33.8 亿枚 RSR 在 08:53 至 09:08 间全部兑换为 1,856 枚 ETH。08:08 起，主地址又在 Uniswap 上抛售 ZAMA、FET、PENDLE、CRV、SHIB、EIGEN、LDO 等 30 余种长尾代币，午后剩余代币继续由 0xA97b 等地址卖出并归集到存放地址。

八 德尔泰观察

本次各方的响应速度已经相当快：Tether 37 分钟内出手，17 分钟内在以太坊上连续冻结 8 个地址；Arbitrum 安全委员会在 4 小时内从攻击者地址转走 3,050 万美元，合计冻结约 30 亿美元。即便如此，仍有 7.29 亿 USDT 在冻结生效前被换成 ETH 和 TRX，截至 20:00 仍有约 13.4 亿美元资产没有任何机构能够冻结，且波场一侧已在 18:15 后全面动身。币安用户、提现暂停期间急于转移资产的投资者，以及自行保管资产的持币人，需要注意以下几点。

1. 提现恢复前后，警惕各类钓鱼诈骗

交易所遭攻击、提现暂停、官方承诺赔付，这三个条件叠加，正是诈骗团伙最常利用的时机。未来几天，以币安赔付登记、SAFU 补偿领取、资产迁移验证为名的链接、短信和私信可能大量出现，部分还会冒充币安客服或安全团队主动联系用户。任何要求连接钱包、输入助记词、签名授权或先行转账验证的信息，均应视为诈骗。

2. 每次转账前，逐位核对完整地址

坐拥数十亿美元赃款的攻击者，在被盗后几分钟内同样成为地址投毒的目标。提现恢复后，用户集中转出资产时，交易记录中同样可能混入首尾相同的仿冒地址。转账前应逐位核对完整地址，避免直接从历史记录中复制；大额转账先做小额测试，确认到账后再转出余额。

3. 冻结要抢在兑换之前，追踪要盯住回流节点

USDT、USDC 被盗后存在冻结机会，但窗口期以分钟计算；一旦被换成 ETH、TRX、BTC 等没有发行方的资产，冻结途径基本失效。本案波场资金在拆分后又经 SunSwap 换回 USDT、通过 USDT0 跨回以太坊，并流向与交易所有充值往来的闪兑和承兑地址，这些节点重新出现了可冻结资产和可协查的交易所账户。个人用户遭遇被盗后，应第一时间保存交易哈希和相关钱包地址，委托专业机构并报案，尽快启动链上追踪，在资金被兑换、混币或跨链之前，以规范的调查报告向稳定币发行方和相关交易所申请冻结。德尔泰可提供链上追踪、资金流向分析与证据报告等服务。

冻结键按得再快，也快不过一个提前演练了 18 小时的攻击者；能把损失追回来的，是盯住每一个回流节点的耐心。

如需案件咨询或合作沟通，可通过官方 X 账号 @delta_team_hk、官网 deltacapitalhk.com 或公众号后台留言联系我们。

附录 关键地址与交易

表 9 关键地址（完整）

表 10 关键交易

声明

本文为 [德尔泰 Delta] 原创或编译。未经授权，禁止转载或摘编。如需转载，请后台留言联系我们。

本报告根据公开信息和链上数据整理，链上数据截至 2026 年 10 月 30 日 20:00（北京时间），此后资金可能继续变动；以太坊、波场与 Arbitrum 为德尔泰逐笔核对范围，比特币网络约 1.8 万枚 BTC 及 XRP 等其他链的资金去向引用第三方统计，未纳入 13.4 亿美元的统计；波场拆分、兑换与跨链回流的详细路径数据截至 18:10；资产价格按 20:00 前后 CoinGecko 报价计算；Arbitrum 转出地址 0xB38e…891D 的身份为德尔泰根据链上行为所作判断；攻击者身份为 TRM Labs、ZachXBT 等机构与分析人士的判断，尚无执法机构认定；兑换池、成交合约、Aave、SunSwap、USDT0 及各类兑换服务为公开协议或服务，仅表示资金经过，不代表相关方参与；EIP-7702 授权的链上分析只能说明签名与执行情况，无法据此认定私钥是否泄露；事件原因、损失金额与赔付安排以币安及相关方正式披露为准；文中地址标签为德尔泰根据链上行为所作的描述，不构成对任何个人或机构的认定；本报告不构成任何投资建议、交易建议或收益承诺。

资料来源

Binance 官方 X（@binance、@binancezh、@BinanceHelpDesk）、CZ（@cz_binance）、何一（@heyibinance）、Tether CEO Paolo Ardoino（@paoloardoino）、Circle CEO Jeremy Allaire（@jerallaire）、Ripple 高管 Jack McDonald（@_JackMcDonald_）、Arbitrum 官方（@arbitrum）、ZachXBT（@zachxbt）、余弦（@evilcos）、Arkham（@arkham）、Chainalysis（@chainalysis）、Lookonchain（@lookonchain）、Spreek（@spreekaway）、Conor Grogan（@jconorgrogan）、Watcher.Guru（@WatcherGuru）、吴说（@wublockchain12）、Ai 姨（@ai_9684xtpa）、慢雾 MistTrack；TRM Labs 事件分析；路透社、彭博社报道；Aave 治理论坛 LlamaRisk 披露；GCSA 全球网络安全联盟独立取证报告；以太坊链上数据（Blockscout，含 Tether、Circle 合约黑名单事件）、波场链上数据（TronGrid）、Arbitrum 链上数据（Arbitrum One RPC）；价格数据（CoinGecko）。

关于我们

德尔泰是一家专注于区块链法证分析、链上追踪、SOW/SOF/KYT分析以及合规咨询沟通的安全专业机构。

团队由持证法律专家与资深链上数据工程师组成，为全球有需求的客户提供平台账户解限支持、被盗被骗资产追踪与追回、链上调查与证据报告、案件材料与跨境协作、钱包恢复与安全支持（后台留言获取专业支持）。

Delta&Capital: Restoring Liquidity, Preserving Value.

德尔泰：修复流动性，保全资产价值。