Binance遭入侵:黑客从四座Arbitrum热钱包转走7460万枚ARB

12分钟内四座热钱包失守

链上数据显示,在首次转出发生后的12分钟内,Binance在Layer 2网络Arbitrum (ARB)上运营的四座热钱包向攻击者转出了7460万枚ARB和8426枚ETH。这笔转移只是加密货币史上已记录的最大失窃案的一个分支:2026年10月29日,攻击者清空了Binance横跨以太坊、Arbitrum、Avalanche、Optimism、比特币网络和Tron的热钱包,按Blockaid技术复盘中的公开链上统计,涉案金额至少63亿美元。攻击的核心目标是Binance 14(0x28C6c06298d514Db089934071355E5743bf21d60),该交易所规模最大、活跃度最高的以太坊热钱包之一。转出发生前几分钟,持有泄露私钥副本的攻击者签署了一笔EIP-7702授权,将Binance 14委派给一个恶意清扫合约。EIP-7702是以太坊的一项标准,允许普通外部账户在签名授权被打包进区块后执行合约代码;该委派绑定账户nonce,直到同一把私钥签署替代授权才会失效。这份授权以Type-4交易(0xad9926...)的形式到达,携带50份预签名授权,覆盖18,914,775至18,914,824的连续nonce,构成一次针对仍在处理用户实时提现的地址的盲签批量操作。49份因nonce不匹配而落空,1份成功生效,而Binance自身的提现交易仍在持续流出。UTC时间20:24:23,也就是委派生效后3分24秒,攻击者触发了清扫(0x53bd38...)。单笔交易将167,464枚ETH、16.15亿枚USDT和约60种其他代币转移到此前从未使用过的归集地址(0x5227f603C1eE34CE3C06eFe6477003BDfCCB2f8c),Binance 14只剩1枚象征性的ETH。按当时Arbitrum(ARB)价格所处的市场水平估算,这批资产价值约25亿美元。

一份合约、四条链、两轮清扫

准备工作至少持续了一天。攻击者的操作地址(0x7C8601d4645b93cea45F71e118A729332e6B5CA0)从10月28日起分三笔从Tornado Cash提取测试资金,随后在三座自家钱包上以2至6美元的小额转账演练了完整的委派加清扫流程。15:59,其部署了未经验证的清扫合约(0x63e842B054Bd624a465454D533C33F573e9c6fAe,部署交易0x97408e...),合约将操作者指定为唯一授权调用方,内置可清空所有列出代币及原生ETH的清扫函数,并附带一个转发函数。Blockaid的监控系统在清扫发生后2分钟内标记了这起盗窃,早于任何公开或社交渠道的披露;其自动化引擎在11内确认了泄露私钥的委派。随后资金扩散到四条链上:首次转出后24秒,Binance 16(0xDFd529...)支付了28,005.6枚ETH、5570万枚USDT、2590万枚RLUSD和84.5枚WBTC(0x51f263...);Optimism上的Binance 55转出4420万枚OP;四座Arbitrum (ARB)钱包转出各自的7460万枚ARB和8426枚ETH;四座Avalanche钱包转出181万枚AVAX和841万枚USDT。这些钱包均不带合约代码:每笔转账都是钱包自身私钥签署的普通交易,混入Binance的日常提现流之中。与此同时,Binance 14上的委派仍处于挂载状态。20:41:23,攻击者利用该委派从由Circle管理的智能账户Binance Hot Wallet 34(0xdc102d...)中转走7.8亿枚USDC,随后又转走4300万枚;21:44的第二轮清扫(0x55ba4d...)卷走2亿枚USDT新入金存款及另外13种代币。Tether和Circle在归集地址冻结了约18亿美元,其中Tether首席执行官Paolo Ardoino表示其公司冻结的USDT超过15亿;两小时内冻结总额约达24亿美元。原生ETH、AVAX、OP和ARB不在发行方控制范围内,案件总规模则是2025年2月Bybit约15亿美元损失的三倍以上。

发行方冻结的止步之处

ARB这一部分正好显示了中心化冻结的止步之处。Tether和Circle可以追回自家代币,但ARB、ETH、OP和AVAX没有发行方开关可拉,这就是被盗的7460万枚ARB一直留在攻击者手中、直到协议治理介入的原因:COINOTAG此前的报道记录,Arbitrum的安全委员会冻结了与该攻击相关的7460万枚ARB,随后又将这些代币转移至托管地址。这只覆盖其中一部分资产,而且委派机制不会因更换私钥而自动愈合:链上授权绑定的是地址本身,只有泄露的私钥签署新的授权、把委派重置为零地址,才会解除。Blockaid的报告指出,恶意委派在UTC时间22:00仍然生效,因此任何进入Binance 14的入金,在没有新签名的情况下仍可能被清扫。被盗的这一批规模也与定于11月15日进行的9314万枚ARB解锁相近。