Binance 遭駭事件始末：攻擊如何發生、資金追回與用戶安全

Binance 遭駭事件始末：攻擊如何發生、資金追回與用戶安全

根據 Binance 最新的初步調查結果，這起 Binance 遭駭事件是於2026/10/29針對交易所熱錢包基礎設施發動的攻擊，約有63.4億美元數位資產受到影響。該公司在11/03的說明中指出，這是一場持續數月的攻擊行動，涉及惡意軟體、假招聘，以及內部系統遭入侵。Binance 表示將承擔財務影響，目前已補足約98%受影響的 token 資產，並持續進行追回工作。然而，補足資產並不代表所有遭竊資產都已追回。

我們認為，這起事件的核心教訓不僅在於保護私鑰。攻擊者若取得要求簽名的權限，或建立在內部系統關閉後仍然有效的權限，就可能造成重大損失。因此，要理解這起事件，必須分別探討三個問題：攻擊者如何取得存取權、這項存取權如何轉變為交易授權，以及有哪些證據能證明資金已追回。

Binance 遭駭事件有哪些最新資訊？

自首次發布安全公告以來，事件說明已有重大進展。早期報導聚焦於一名工程師的筆記型電腦可能遭入侵。Binance 在11/03發布的說明則描述了更廣泛的攻擊過程，包括軟體供應鏈暴露、社交工程，以及對內部錢包基礎設施的存取。

Reuters 報導指出，該公司的初步調查如今將 6 月遭竄改的開發者工具、9 月的惡意招聘作業，以及其後透過內部 AI 工具取得的存取權，與10/29發生的竊盜事件連結起來。

這改變了讀者解讀舊報導的方式。「一台遭入侵的筆電導致這起駭客攻擊」並未完整反映最新說明。裝置遭入侵可能提供入侵入口，但還需要其他環節失效，才能解釋攻擊者如何進入能授權大額轉帳的系統。

這份說明仍是 Binance 對事件的初步調查結果，應與已完成的獨立鑑識審查區別看待。新增細節讓公開資訊更加完整，但並不能證明所有促成事件的原因都已查明。

讀者若要比較不同進展，可參考這篇文章審閱的最新公司說明：Binance News 經核實的初步調查結果摘要。

攻擊過程是如何發展的？

據報導，這起事件的發展過程顯示，與某人進行看似可信的互動，或使用熟悉的軟體工具，都不足以證明安全無虞。

Binance 在11/03的簡報中表示，攻擊者花了數月逐步建立存取權。CoinDesk 對該簡報的報導整理出以下時間線。

最後一欄是我們對已公開事件過程的分析，並非針對未披露的控制措施提出額外指控。

檢視事件時，應追蹤每個環節的轉變。偵測到一台裝置中有惡意軟體，與確認相關憑證、工作階段或可連線系統是否仍然暴露，是兩回事。同樣地，更換裝置也不能自動證明原始入侵造成的所有影響都已排除。

對一般用戶而言，相關教訓很實際：視訊面試、專業人士個人資料，以及看似合理的作業，都不能證明可執行程式碼安全無虞。請勿在管理金融帳戶的裝置上使用來源不明的軟體。

沒有確認私鑰外洩，資金為何仍能轉移？

區塊鏈簽名有效，並不能證明資產所有者有意進行該筆交易。

Binance 在10/30的更新中表示，沒有發現錢包私鑰外洩的證據。然而，區塊鏈研究人員仍觀察到帶有有效簽名的轉帳。這兩項說法並不必然矛盾。

至少有兩種不同的安全失效情況需要考量。攻擊者可能取得祕密金鑰資料並自行簽名；另一種可能是，攻擊者濫用有權產生簽名的系統，而底層祕密仍受到保護。

第二種情況類似於取得付款核准服務的存取權，卻沒有提取該服務所使用的祕密資料。保護祕密資料依然至關重要，但送往該服務的請求也必須經過授權，並接受交易層級的控管。

TRM Labs 評估，跨鏈活動顯示熱錢包簽名基礎設施可能遭到入侵。這是根據其觀察所作的研究評估，不能取代交易所完整的鑑識調查結果。

這項區別很重要，因為「沒有私鑰外洩的證據」不代表「資金操作權限未遭入侵」，它只說明調查中的一個部分。

以太幣 (ETH) 權限在事件中扮演什麼角色？

這起事件也涉及記錄在鏈上的權限，而不只是對 Binance 系統內部的存取。

Binance 最新說明指出，攻擊者利用 EIP-7702，賦予惡意合約對熱錢包的執行權限。EIP-7702 規格說明了一種機制，透過已簽署的授權，讓帳戶能執行委派的程式碼。

其中一個重要影響是權限具有持續性。即使內部服務停止接受請求，先前建立的鏈上權限仍可能存在。

Binance 表示，停用提領功能並不會自動使這些授權失效。其摘要指出，最後一筆未經授權的轉帳發生於10/2923:56 UTC，而受影響的委派權限則於10/3000:10 UTC移除。

這些時間點呈現了不同的控制措施。停止面向用戶的提領服務、限制簽名器存取，以及清除鏈上權限，並不是同一件事。

這並不能證明所有使用相同功能的錢包都遭到入侵。事件涉及的是這次攻擊所利用的權限和存取。用戶不應將特定的攻擊途徑，解讀為區塊鏈上的所有帳戶都面臨相同風險。

提領暫停後，為什麼轉帳仍能繼續？

暫停提領是一種營運控管措施，實際效果取決於它能阻擋哪些途徑。

以下架構有助於解釋，為什麼停止一般客戶請求，仍可能無法阻止已掌握其他形式權限的攻擊者。

這是一個用於解釋的模型，並非對 Binance 所有內部元件的完整重建。

這個架構的價值在於讓控制措施可以衡量。「我們已關閉提領」應搭配未經授權的簽名途徑和既有權限相關證據一併評估。

對用戶而言，這也能區分交易所基礎設施事件與個人登入帳戶遭入侵。更改密碼有助於保護帳戶，但無法撤銷交易所控制錢包所持有的權限。機構層級的補救措施與個人帳戶安全管理，處理的是不同風險。

有多少資金遭竊、遭凍結及已補足？

有幾項數字分別描述事件的不同面向，不應把它們加總成同一個追回金額。

下表說明11/03審閱的來源中，各項主要數字的含義。

較早的聲明以約63億美元描述影響金額，並以約30億美元描述遭凍結的資產。不同的觀察時間、資產價格和核對方式都可能影響這些數字。審閱的來源並未提供所有已發布估算之間的完整對照。

同樣地，較早的追回進度更新提到90%或95%的補足比例。較新的初步調查結果則採用98%，並提及較早的日期。讀者應保留各項聲明的發布日期和所指日期，而不要推算出出版資料未能證明的平順每日進度。

為什麼補足資產不等於追回遭竊資金？

補足資產是使用替代資源恢復客戶餘額的資產支持；追回則是透過追蹤、介入、合作或其他授權程序，取回遭竊財產。

這兩項工作可以同時進行。

假設發生 100 單位的竊盜。如果平台購買 98 單位的替代資產，即使原本遭竊的資產一單位也沒有返還，平台仍已補足 98 單位。如果調查人員另行凍結 40 單位遭竊資產，也不能把兩者加總成追回 138 單位。

這兩種衡量方式回答的是不同問題。替代資產關乎平台履行義務的能力；遭凍結資產則關乎攻擊者能否轉移涉嫌犯罪所得。

Binance 先前的更新指出，受影響資產是透過市場和場外交易管道取得。這表示補足資產需要取得正確種類和數量的資產，而不是只配置一筆醒目的美元金額。

對客戶而言，實際證據包括餘額的資產支持以及服務的可用性；對調查人員而言，證據則包括遭竊資產的保管狀態和處置方式。兩條進度都不應被用來暗示另一項工作已經完成。

實際上，「凍結」代表什麼？

凍結可以阻止資產繼續轉移，但不代表所有權或操作控制權已回到原持有人手中。

例如，Circle 公開的封鎖名單指引指出，在特定情況下，地址可能被限制發送或接收受支援的 stablecoin。這與撤銷已完成的轉帳不同。

Arbitrum 的處理方式則提供了另一個具體例子。其安全委員會的10/30緊急行動公告表示，與漏洞利用有關的資產已轉入保管地址，若要進一步移動，須經 ArbitrumDAO 治理投票。

這是有意義的控制措施，但本身並不能證明資產已完整返還 Binance。

因此，有用的追回紀錄不能只有「地址已凍結」的公告，還應指出資產種類、數量、觀察時間、目前控制方、解除限制的條件，以及任何最終返還的證據。

同樣的邏輯也適用於以美元報價的遭凍結 token。價格變動可能改變其公布價值，但不會改變 token 數量。精確的更新應說明究竟是哪項衡量數值發生變化。

為什麼追蹤資金可能得出誤導性總額？

遭竊資產可能多次轉移，但每次轉移都不代表又發生了一起新的竊盜。

Bitquery 在11/03發布的調查，描述了其追蹤到的資金流向、兌換和後續持有狀況。其觀察期間和鏈上涵蓋範圍與 TRM 先前的報告不同，說明研究數據必須明確界定範圍。

讀者首先應確認，一個數字衡量的是初始轉出金額、交易活動、目前持有量，還是受限制的資產。

借貸活動又增加了另一層複雜性。LlamaRisk 在10/30的回應記錄了一個與攻擊者有關的部位，該部位存入約6,000万美元的 stablecoin 作為抵押品，並借入當時價值約4,460万美元的資產。

借入金額不應自動加到 Binance 最初遭竊的金額上，因為該部位同時包含資產與債務。

簡單舉例來說，某人持有 100 單位，其中 60 單位用作抵押並借入 40 單位。其總資產看起來可能達到 140 單位，但仍有 40 單位的債務。這些資產反覆轉移，可能產生更大的交易活動總額，卻不會增加最初遭竊的金額。

因此，可信的調查會核對資產、負債與轉帳，而不是把所有可見交易一概相加。

Binance 用戶的帳戶餘額有損失嗎？

Binance 表示將自行承擔財務影響，而不會把損失轉嫁給用戶。這項承諾仍應搭配後續證據一併評估。

帳戶餘額、支持該餘額的資產，以及提領服務是否可用，是三件不同的事。平台可以維持客戶帳本，同時補足資產並恢復營運服務。

因此，餘額沒有變動不能證明平台資產未遭竊；反過來說，平台層級的竊盜事件也不能證明每位用戶的個人憑證都遭到入侵。

若交易所從中央資產池補足支持資產，這個流程未必會以單獨的補償入帳項目出現在每位客戶的帳戶中。用戶應遵循官方指示，不要因為餘額未變，就假設自己需要向外部提出申索。

如果你發現陌生的訂單、提領或裝置，應將其視為特定的帳戶安全警訊並聯絡官方客服。未經調查前，不要自動認定這些情況與基礎設施事件有關。

Binance 提領服務已全面恢復嗎？

審閱到的最新營運公告描述的是逐步恢復，而不是所有提領途徑一律重新開放。

第 6 號恢復更新安排自11/03 04:00 UTC起，逐步開放更多資產和網路的提領。公告指示用戶在所選提領介面或官方網路狀態頁面確認是否可用。

請直接確認你打算使用的提領途徑。如果你已提交請求，請分別確認發送端狀態、區塊鏈交易結果，以及接收平台是否已入帳。

本節僅討論事件在營運層面的影響。成功完成一筆提領可作為該筆交易的有用證據，但不能證明技術調查已經完成。

同樣地，若某個途徑仍受限制，應根據其目前顯示的訊息進行查證。單憑此點並不能證明發生了新的竊盜事件。

更新後的儲備證明顯示了什麼？

Binance 在11/02的更新中表示，10/31快照的零知識證明已完成，持有涵蓋資產的用戶可以進行驗證。

解讀結果前，請先確認快照時間和涵蓋範圍。針對特定時點指定餘額的證明，與持續確認所有資產和義務並不相同。

PCAOB 的投資人公告也提醒，儲備證明相關委任不等同於財務報表審計。其範圍可能無法回答有關負債、資產可用性和內部控制的重要問題。

就這起事件而言，儲備驗證和技術審查提供的是互補證據。前者關乎特定財務快照；後者則必須說明未經授權的權限如何產生，以及相關途徑如何受到控制。

兩者都不應被當成另一者的替代品。

用戶現在應檢查什麼？

先從自己的資訊著手。直接開啟官方服務，檢查帳戶活動、提領紀錄和安全通知。

如果發現不熟悉的項目，請記下交易或活動參考編號，並透過官方介面聯絡客服。同時保護你的電子郵件帳戶，因為帳戶復原和安全確認流程可能會用到電子郵件。

若打算轉帳，請在提交前確認收款資訊。核對資產、網路、地址、必要識別資訊和實際到帳金額。不要只因為另一條途徑暫時受限，就匆忙改用不熟悉的途徑。

對自託管而言，裝置安全和簽名審查尤其重要。硬體裝置並不代表每一項待核准的操作都適當；你仍須了解目的地址和所涉及的權限。

對平台託管而言，應分別檢視帳戶控管措施和公開證據。良好的個人身分驗證與健全的機構錢包控管各有不同作用；負責任的用戶應了解兩者。

提防假冒的補償與追回協助

公開事件發生後，往往會讓冒充者有機可乘。

Binance 的安全警告提到，有人可能會聲稱能加快提領、販售優先處理服務、協助申領補償，或要求將資產轉入所謂的受保護錢包。用戶不應向主動聯絡自己的陌生人付款以解鎖存取權。

請區分官方交易流程中顯示的費用，以及私人提出的追回款項要求。若有人要求你連接另一個錢包，或授權支出資產，僅為查詢交易所帳戶狀態，也應提高警覺。

若收到與 WEEX 有關的聯絡訊息，請使用WEEX 聯絡方式驗證工具查核受支援的聯絡方式。此工具可驗證與 WEEX 有關的管道，但不能驗證其他平台的代表身分。

看似可信的訊息仍然只是一則訊息。凡涉及資金或憑證的要求，採取行動前都應自行前往官方管道確認。

WEEX 用戶如何應用這些安全教訓？

WEEX 用戶可以透過安全設定查看可用的防護功能，包括通行密鑰、驗證選項、防網路釣魚碼和裝置管理。

請根據帳戶實際提供的選項選擇設定。不要把未經驗證的頁面或一般示意圖，解讀成你的個人安全設定報告。

如需了解更多平台資訊，WEEX 信任中心匯集了儲備、保護基金、安全和驗證相關資源。請逐一了解各項資料的範圍和條件，不要把醒目的數字當成保證。

這起事件不足以證明任何託管模式在所有情況下都安全。平台託管讓機構系統承擔重大責任；自託管則讓持有人對金鑰、裝置、備份和交易決策負起重大責任。

做出合適選擇的第一步，是了解這些責任以及可用來評估它們的證據。

WEEX 編輯觀點

Binance 最新調查結果顯示，單靠一台裝置、一個損失標題或一項追回比例，無法完整理解一起安全事件。

最重要的安全問題，是攻擊者的存取權如何變成轉移資產的權限，以及這些權限在控制事件期間有哪些部分仍然有效。最重要的財務區別，則是補足客戶資產支持與追回遭竊財產並不相同。

Binance 公布的資產補足和追回工作都是重要進展，應搭配獨立審查、具體的補救證據和營運恢復狀況一併評估，並為每項主張標明其範圍和日期。

對用戶而言，實際的應對方式是查證：檢查帳戶、透過官方管道操作、了解轉帳指示，並拒絕陌生人提供的捷徑。

常見問題

1. Binance 遭駭事件何時發生？

未經授權的資金轉出發生於2026/10/29。Binance 的初步調查結果指出，攻擊者在此前數月已進行準備工作並入侵相關系統。

2. Binance 遭駭事件是如何發生的？

Binance 描述了一場多階段攻擊行動，涉及惡意下載、假招聘、裝置遭入侵，以及透過內部存取進入錢包簽名基礎設施。獨立審查仍然重要。

3. Binance 已追回所有遭竊資金了嗎？

最新說明表示，約98%的受影響 token 資產已獲補足，這與追回原本遭竊的資產並不相同。遭凍結或攔截的資金也須另外處理。

4. 這起事件代表每位用戶的密碼都遭竊了嗎？

不是。平台錢包基礎設施遭入侵，並不能證明每位客戶的登入憑證都已外洩。若帳戶出現可疑活動，請針對該帳戶進行調查。

5. 用戶需要支付費用才能領取補償嗎？

不要支付陌生人要求的補償費、優先處理費或提領解鎖費。請遵循官方平台提供的指示，必要時直接聯絡客服。