幣安於 2026 年 10 月 29 日遭駭客攻擊，損失約 63 億美元，為史上最大加密貨幣竊案。事件經過、幣安回應與使用者因應指南。
2026 年 10 月 29 日（週四），全球最大加密貨幣交易所幣安遭遇有紀錄以來最大的加密貨幣竊案。根據區塊鏈分析公司 TRM Labs，資金於 20:05 UTC 開始從幣安熱錢包流出，大部分竊取在約 20 分鐘內完成。23:05 UTC 前後又出現第二波。
最早的公開跡象來自看到幣安錢包資金外流的使用者與鏈上觀察者。幣安向 TechCrunch 表示，已注意到有關潛在安全問題的報告，並在發生安全事件後作為預防措施，暫停多個網路的提領。隨後在調查期間，全平台的入金與提領皆遭暫停。
據美聯社報導，FBI 於 10 月 31 日（週六）將此次攻擊歸咎於北韓駭客，並將其與名為 TraderTraitor 的組織連結——該組織也是 2025 年 2 月 15 億美元 Bybit 竊案的幕後黑手。TRM Labs 與 Chainalysis 先前已將攻擊歸因於 TraderTraitor，TRM 表示其判斷具有「高度信心」。
幣安估計總損失約 63 億美元。獨立機構的估算相近但不完全一致：據 CNBC 報導，TRM Labs 估計約 63.6 億美元（以每筆轉帳當下價格計算），Chainalysis 估計約 64 億美元。
TRM 依鏈別統計的明細：
由於被盜資產中有很大一部分是穩定幣，發行商得以迅速行動。幣安表示約 30 億美元已在鏈上遭凍結。TRM 統計，截至 10 月 30 日 00:30 UTC 約有 27 億美元遭凍結，主要由 Tether（約 17.7 億 USDT）與 Circle（約 8.25 億 USDC）執行，Ripple、World Liberty Financial 與 Arbitrum 安全委員會也凍結了部分資金。比特幣與以太幣沒有能凍結它們的發行方，因此這些資產仍在攻擊者手中。凍結不等於追回：TRM 的 Ari Redbord 向 CNBC 表示，要取回遭凍結的資金需要另外的法律程序。
幣安尚未公布根本原因，以下細節可能在其公布後有所變動。
據 Decrypt 報導，幣安在首次更新中表示，一名 DevOps 工程師的筆電遭入侵，可能讓攻擊者得以存取用於提交提領請求的服務容器，並稱「未發現任何錢包私鑰外洩的證據」。一天後，幣安表示「後續調查發現了更多入侵點」。共同執行長 Richard Teng 補充，攻擊者「並非只使用了一名工程師的權限」，這也「不是一次『一鍵完成』的操作」。
據調查人員指出，攻擊者在以太坊上利用了 EIP-7702——這是 Pectra 升級引入的功能，允許一般錢包暫時執行智慧合約程式碼。根據 Hypernative 的分析，攻擊者取得一項有效授權，於 20:20 UTC 將幣安一個主要熱錢包（標記為 Binance 14）委派給其控制的「清掃」合約，再以單次呼叫轉走約 167,464 ETH 與 63 種代幣。幣安於 10 月 30 日 00:10 UTC 撤銷了該委派。在其餘 9 條鏈上，資金是透過一般簽名轉帳流出；TRM 認為，這顯示遭攻破的是幣安的熱錢包簽名基礎設施，而非某個智慧合約漏洞。
TRM 也發現，攻擊準備至少提前 36 小時開始：攻擊者的操作錢包於 10 月 28 日透過 Tornado Cash 取得資金，「清掃」程式碼在用於攻擊幣安之前，已在其他錢包上測試並演練過。
幣安的說法在一點上始終一致：損失不由客戶承擔。
「總之，你的資金是安全的，我們會承擔每一筆損失。」——幣安共同執行長 Richard Teng，於 X 平台
幣安表示將以 SAFU 緊急基金與公司自有資金彌補損失，並於 10 月 30 日宣布為此準備了 63.4 億美元。Teng 於 10 月 31 日表示，90% 的被盜資產已補足。據 CNBC 報導，截至 11 月 1 日，幣安稱已涵蓋約 95%，剩餘 5% 為流動性較低、需要更長時間購入的代幣。
Teng 也表示，調查「並未將責任歸咎於任何個人」，並承諾「在調查完成、每項事實都經過查證後，發布詳細的事後技術報告」。
不必交出託管權也能交易
幣安於 11 月 1 日（週日）06:00 UTC 起分階段恢復提領。截至 12:36 UTC，包含 15 個網路與資產的第一階段已上線，其餘仍在測試中。The Block 報導，當時仍在測試的網路包括 Cardano、Chainlink、Hyperliquid、Litecoin 與 NEAR。
幣安表示，恢復後前 9 個半小時處理了 46.5 億美元提領與 10.1 億美元入金，淨流出約 36.4 億美元，占其 10 月 28 日儲備金證明所列 1,710 億美元資產的 2.1%。幣安稱，在初期激增後，提領量「如預期般趨於穩定」。第三方數據有所出入：DefiLlama 儀表板顯示的淨流出更高，幣安對此提出異議。
幣安表示將發布以 10 月 31 日快照為基礎、採用零知識證明計算的最新儲備金證明。截至本文發布，該報告尚未公布，這也是評估幣安遭駭後資產負債狀況最主要的未解問題。
從目前資訊來看，幣安似乎有能力吸收這筆損失。Fundstrat 的 Sean Farrell 向 CNBC 表示，此次攻擊似乎不會造成實質的償付能力風險；恢復提領後回報的淨流出約為資產的 2%。幣安也沒有要求使用者分擔損失。
懸而未決的是安全問題，而非償付能力。根本原因尚未公布，最初的說法已被修正，而根據 TRM 截至 10 月 30 日的統計，約 24 億美元的 ETH 與 BTC 仍在攻擊者錢包中。幣安是否「安全」，取決於事後報告揭露的內容，以及改善措施能否經得起考驗。
這次遭駭並不是加密貨幣本身的失敗，也沒有人應該幸災樂禍。一支具國家背景的團隊花了數天時間，針對業界資源最充足的資安體系之一策劃攻擊，而幣安的因應到目前為止保護了使用者。這一點值得肯定。
但它揭示了一個結構性事實。當你把資產放在中心化交易所，你持有的是對交易所的債權，而不是幣本身。你的安全取決於交易所的熱錢包、簽名系統、員工裝置與資產負債表。這一次，幣安的資產負債表足以彌補 63 億美元。2025 年，Bybit 彌補了 15 億美元的損失。兩次事件中，在交易所處理事故期間，客戶都無法移動自己的資金。
自我託管拿掉了這一層。使用非託管錢包時，你的資金不在任何交易所熱錢包裡，也不存在一次攻擊就能掏空的共用資金池。這並非沒有風險：你必須自行負責私鑰與裝置安全，針對交易所員工的釣魚手法同樣會針對個人，鏈上平台也有自身的智慧合約與跨鏈橋風險。但沒有任何交易所能暫停你的提領，交易所簽名系統遭攻破，也碰不到只有你持有的私鑰。
Dexly 是建構在 Hyperliquid 上的非託管交易 App。你用自己掌控的錢包交易永續合約與現貨，Dexly 從不託管你的資金。立即前往 dexly.trade 體驗。
風險警告： 交易永續合約涉及重大虧損風險。請僅以您能承受損失的資金進行交易。Dexly 是非託管介面；您需自行負責管理資金和交易決策。
不必交出託管權也能交易