如果银行金库在半小时内被搬空，门锁却没有明显损坏，调查者首先会问：小偷拿到了钥匙，还是控制了放行系统？Binance 正面对类似难题。10月29日，攻击者从其多个钱包快速转走加密资产。TRM Labs 估算损失约为63.6亿美元；但《华尔街日报》目前只确认至少17亿美元被转走，称总额可能更高。因此，63亿美元仍是估算，而非已经完全核定的损失。若这一估算成立，它可能成为史上规模最大的加密资产盗窃案。
更重要的是，钱被转走只是第一幕。Binance 随后暂停充值和提现；交易所、稳定币发行商、链上分析公司与执法机构开始追踪和冻结资金。Bloomberg 报道称，事件也已引起 FBI 审查。
钱是怎么出去的？
主要盗币过程只持续了约20至30分钟，波及10条区块链。这里的难点在于，区块链交易一旦完成，通常不能像银行卡转账那样由银行直接撤销。攻击者还可以借助跨链桥——让资产在不同区块链之间转移的协议——拆分和转换资金，给追踪增加难度。
目前，完整攻击路径尚未确认。Yahoo Finance 转述的初步调查怀疑，一名 DevOps 工程师的笔记本电脑先被攻破。DevOps 工程师负责连接软件开发与系统运行；如果其设备上的权限被盗，攻击者可能由此进入负责批准提现的基础设施，并提交未经授权的转账。
据 TRM 分析，以太坊上的部分攻击还利用了 EIP-7702。这个功能允许普通钱包把部分操作交给智能合约代码执行。TRM 称，攻击者借助50份事先签署的授权，让恶意合约控制一个 Binance 热钱包，并反复转走后来进入的钱。
热钱包是连接网络、方便日常收付款的钱包，速度快，但暴露面也更大；冷钱包则离线保存密钥，操作慢一些，通常更安全。值得注意的是，Binance 表示目前没有证据显示钱包私钥泄露。私钥可以理解为控制链上资产的最高权限凭证。这意味着问题可能不在“钥匙被复制”，而在批准交易的整套流程被人借道使用。不过，这仍是单一报道转述的初步判断，Binance 尚未确认完整路径。
“朝鲜黑客”是谁的判断？
TRM Labs 将攻击归因于 TraderTraitor；Yahoo Finance 称 Chainalysis 也作出相同判断。TraderTraitor 是美国政府和安全研究机构用于指称一组被认为与朝鲜有关、长期针对加密行业的攻击活动的名称。它是一条归因线索，不等于司法机关或政府已经完成最终认定，也不应直接与其他朝鲜黑客组织名称混用。
这套判断并非没有前例。2025年，Bybit 在一次看似例行的冷钱包转账中损失约15亿美元。FBI 后来将事件归因于朝鲜，并警告赃币正被拆散到数千个地址、跨链兑换。那次事件说明，加密劫案的第二幕往往不是立即抓到攻击者，而是各方与洗钱速度赛跑。
冻结30亿美元，等于追回了吗？
Binance 称约30亿美元受影响资产已被冻结；另一种说法是已冻结被盗资金的44%。如果以63亿美元计算，44%约为27.7亿美元。两者可能因为估值时点、统计范围或四舍五入不同而出现差异，目前不能简单视为同一个精确数字。
“冻结”也不等于资金已经回到 Binance。部分稳定币发行方可以把特定地址列入黑名单，让其中的相应代币无法继续转移；中心化交易所也能冻结自己平台内的账户。FT 报道称，Tether 和 Circle 已冻结价值数十亿美元的相关稳定币。但这种办法只对可控制的代币和平台有效，不能普遍撤销已经完成的区块链交易。
Binance 承诺用 SAFU 与公司资金承担全部客户损失，并称用户资金安全。SAFU 是 Secure Asset Fund for Users 的缩写，简单说，就是从交易手续费中预留的用户应急基金。它曾在2019年 Binance 热钱包被盗7,000枚比特币、当时约值4,100万美元后用于覆盖损失。不过，这一次的规模远大于2019年；“将覆盖全部损失”目前仍是交易所承诺，不代表赔付已经完成。
为什么这件事不只属于币圈？
这起事件把三种风险压在了一起：一家大型交易所的内部安全是否失守，跨越多条区块链的赃款能否及时拦截，以及国家背景攻击者的归因能否经得起进一步取证。它也暴露出加密金融的矛盾：资产可以在全球范围内高速流动，但追踪、冻结和司法认定仍要依赖许多机构协作。
局限与未知
- 损失究竟是至少17亿美元、约60亿美元，还是TRM估算的63.6亿美元，仍待核定。
- 工程师笔记本、EIP-7702和50份预签名授权等细节来自初步调查及TRM分析，完整攻击路径尚未确认。
- 朝鲜及TraderTraitor归因目前主要来自链上分析机构，不等于政府或司法机关的最终结论。