币安63亿被盗资金流向与黑客地址全披露

作者：Beosin

2026年10月29日晚（北京时间30日凌晨4时许），全球最大加密货币交易所币安的多个热钱包出现异常大额转出。事件涉及以太坊、比特币、波场等多条链，截至目前，估算总流出金额约63亿美元，数字仍在变动。事发后，币安紧急暂停多网络提现及 Binance Alpha交易，并声明用户资金完全安全。

Beosin对此次重大安全事件的攻击流程和主要被盗资金流向进行了分析，结果如下。

一、完整时间线复盘

10月28日：攻击者发起攻击交易的地址为0x7c8601d4645b93cea45f71e118a729332e6b5ca0，其资金来源于Tornado Cash，分三笔提取少量ETH作为gas费。

10月29日下午：部署了专门的清扫（sweeper）合约，并用测试钱包完成了两次演练。最后一次演练距正式攻击仅3.5小时；攻击者预先准备好一份覆盖64种代币的转移清单。

04:20：一笔交易携带50个覆盖连续nonce的EIP-7702授权签名上链，授权人正是币安14热钱包，且签名全部由该钱包自身私钥完成。连续nonce盲狙的设计，确保即使钱包nonce快速漂移，也总能命中一个有效授权。

04:24：开始资金转移。Binance14单笔转出16.7万枚ETH（约25亿美元）+ 16.15亿USDT+60余种代币（含RLUSD、wBETH、UNI、ENA、PEPE、LINK、AAVE 等），钱包被清空至仅剩1ETH。

04:24:47：24秒后，Binance16热钱包直接用自身私钥签名，转出2.8万枚 ETH至同一接收地址。

04:41：攻击者借Binance14尚未撤销的委托权限，指令其控制的USDC 合约钱包转出8.23亿美元USDC，后续又有数千万美元流出。

12分钟内，超10个币安热钱包在以太坊、Bitcoin、Tron、Arbitrum、Avalanche、Optimism、Base 等多条链上向同一地址转入资金。

攻击者在Ethereum上的资金归集地址为 0x5227f603C1eE34CE3C06eFe6477003BDfCCB2f8c，随后攻击者开始将资金分批分散转移。在转移过程中，USDT被冻结约13.8亿，USDC被冻结约8.2亿。

被盗的Ethereum生态代币如UNI、ETHERFI、EIGEN、PEPE被攻击者兑换成ETH进一步转移。目前资金主要沉淀至：

0x897c80d1a9729e94460e2bd93178bd5215158df3 （78,415.25 ETH）

0xc887af690e0301cd4edbbce8f8d31b4ec65b286a（137,602 ETH）

0x8532fa14acaf483729c449b8458aeddb900543d4（197,460 ETH）

0x79e70d139fc05aa75f75611fdf2680e9952b544a（19,740 ETH）

Bitcoin网络被盗18,270.2 BTC。攻击者正分散转移被盗的BTC，目前资金主要以1000 BTC的规模分布在多个新地址，未有进一步的转移：

bc1q0ts8gaf9ht0rr4u02hr56f8thndqsc4kmkmfv3

bc1qjwdw6vrzq4vf6hckutvx4ucj86awwv99mxnz7w

bc1qxrxujwxfnvz040jw76d26zhjdg5jura7hs968s

bc1qs3aej5tmcdz0vctz8y9rjcxtxg8v5385577s56

bc1qnq6jj9jmlf3945m3l8s0kxnqehrsga300k8t3s

bc1qdfhmlrdvg4tm87zjl0vyf0xflp5ql50q3g88gw

bc1q63qrfrpsg5hh0zzn3kp2xx9vljl7dq7tatsjxp

bc1qs6xnmhar38z44g2za93pv8ygdcwurrh8l87w3v

bc1qm8v88m5fy6kuq9myva2eemwycxqd3e0zcrs2l8

bc1q42flhayrzy3zh8lkyevw8qcjduurt9a35wlsyx

bc1qepc70u3u476vgvg3hfcwjgu4mecxe2uchs4lag

bc1qg3nrzpuvq2pxqx74tcrywr09dc208ze96n3t53

bc1qm2j6v3247khlwzxl7p9vqnfkghcllyhv9wjaat

Tron网络被成功冻结的USDT约3.8亿，被盗的46,394,098 TRX在分散至多个地址后，正在被攻击者持续转移至新地址。

Ripple网络被盗233,461,943.1 XRP，仍沉淀在地址rK21t6nGLy4MNDqhvy3pGwcLFy25qgfzMx，未有进一步的转移。

截至发稿，事件仍在持续调查当中，攻击漏洞根因、黑客团伙身份、最终流失资产总额尚未完全定论。Beosin将与行业各方协作，持续追踪分散在不同公链的被盗资金。目前，所有相关地址已被Beosin标记并被持续监测。Beosin KYT和Trace将继续监控相关黑客地址的活动并追踪资金流向。