幣安 63 億美元遭駭事件，是目前已知規模最大的加密貨幣交易所失竊案。幣安在 11 月 3 日於 X 平台發布〈29 October Binance Security Incident: Initial Findings and Response Update〉，首度公開攻擊時間線與駭客手法，美國聯邦調查局（FBI）則認定幕後是北韓。以下依時間順序整理這起事件的來龍去脈。
10 月 29 日晚間，五分鐘內被轉走大量 XRP
依幣安公布的報告，攻擊發生在 2026 年 10 月 29 日。駭客利用內部錢包簽署服務的未授權存取，在正常提領流程之外發起交易。20:05 至 20:09 UTC 之間，五個幣安熱錢包把 2.3346 億枚 XRP 轉往駭客控制的地址；Solana 與 Optimism 上的熱錢包也分別被轉走約 97.05 萬枚 SOL 與 4,420 萬枚 OP。幣安收到大額轉帳警示後展開調查，期間又有 18,270 枚 BTC 被轉出。
幣安表示，受影響的數位資產約 63.4 億美元，這也是外界稱為「63 億美元」的由來。TechCrunch 與 CBS 新聞 皆以此規模報導這起事件。
EIP-7702 讓暫停提領也擋不住資金外流
這起事件最特別的地方，在於駭客動用了以太坊的 EIP-7702 授權機制。EIP-7702 允許帳戶把部分執行權限委派給智能合約，而不必交出私鑰；根據幣安的說明，駭客透過簽署服務送出 50 筆簽署交易來操控帳戶 nonce，並替幣安熱錢包建立惡意委派授權，讓攻擊者控制的智能合約取得部分執行權。
這代表幣安即使立刻暫停提領、並與合作夥伴凍結相關代幣，已經寫在鏈上的授權仍會獨立運作，不受交易所提領系統約束。再加上熱錢包採用多方安全運算（MPC），沒有單一私鑰可以立即撤銷這些授權，幣安團隊只好另外設計一套專門程序來逐一撤銷，耗時較長。最後一筆未授權轉帳是 2,961.9 枚 ETH，在 23:56 UTC 於鏈上完成；10 月 30 日 00:10 UTC，幣安把 Binance14 熱錢包授權改指向零地址，清除 EIP-7702 的委派程式碼，之後未再觀察到新的異常轉帳。幣安透過凍結與攔截，保住約 28.5 億美元資產（待對帳，且受市價波動影響）。
從 6 月到 10 月，駭客花了數個月佈局
幣安強調，這不是單一漏洞或單純的釣魚信，而是多階段攻擊。報告把佈局過程拆成幾個節點：
6 月，錢包 DevOps 的 A 工程師為了安裝一款熱門 AI 程式設計工具，在搜尋引擎上找到並下載了遭竄改的 Homebrew 安裝程式。幣安資安團隊當時偵測到異常，已更換裝置並輪換相關憑證，但 A 工程師與錢包基礎設施團隊同事的身分，已經暴露在駭客眼前。
9 月，軟體工程師 B 在求職平台上被自稱「專案總監」的人聯繫，對方看中他檔案裡的幣安經歷，安排了第一輪由「人資」進行的視訊面試，再約第二輪與一間虛構公司的「執行長」面談。第一輪面試中，對方還分享了一個帶有個人照片與影片的社群帳號來取得信任，幣安形容這比以往見過的社交工程更精細。第二輪在一款常見聊天軟體上進行，臨近結束時，B 工程師被要求把一份「作業」下載到公司電腦，其中的惡意程式碼在環境設定過程中就開始執行，並以替換 pyenv 元件的方式與外部伺服器連線。幣安指出，這是一個當時端點防護工具未能偵測到的 0-day 惡意程式，且駭客還清除了入侵痕跡。
10 月 20 日，駭客利用 B 工程師已被入侵的電腦，透過公司內部 AI 工具作為跳板，進一步控制 A 工程師與另一位錢包軟體工程師 C，並發現 A 工程師電腦上存有可部署容器的權杖。10 月 29 日 17:15 至 19:56，攻擊者登入 C 工程師的電腦，用 A 工程師被竊取的憑證部署容器並觸發惡意腳本，最終在約十分鐘後開始轉走資產。幣安另外提到，2026 年全年已偵測並阻擋 57 起疑似北韓關聯的攻擊嘗試，手法包括假面試、偽裝成開發工具的惡意軟體、遭污染的套件與瀏覽器擴充功能，以及假視訊會議程式。
FBI 點名北韓 TraderTraitor
FBI 在 10 月 31 日發布公告，認定北韓為這起價值逾 60 億美元虛擬資產失竊案的幕後黑手。CBS 新聞引述聲明指出，涉案的是名為 TraderTraitor 的駭客組織，也就是 2025 年 2 月造成 Bybit 15 億美元損失的同一批人。FBI 表示，攻擊者已把資產換成以太幣，預期接下來會透過 DeFi 與即時兌換服務洗錢，並呼籲民間業者封鎖與相關地址的交易。據The Block引述 SomaXBT 的說法，到 11 月 1 日已有約 2.42 億美元經由波場（Tron）洗出，這個數字未經幣安或 FBI 證實。
幣安自掏腰包補洞，11 月 1 日分階段恢復提領
幣安聲明會自行吸收損失，不會轉嫁給用戶，並表示已預留超過 100% 所需資金；截至 10 月 31 日，受影響代幣資產已有 98% 補回，並可在其準備金證明頁面驗證，剩餘流動性較低的資產仍在採購中。提領則從 11 月 1 日 06:00 UTC 開始分階段恢復，到 12:36 UTC 第一階段的 15 個網路與資產已全數開放。
恢復初期出現擠兌式的提領潮。依TechCrunch引述幣安數據，6:00 到 15:30 UTC 約 9.5 小時內，提領 46 億美元、存入 10 億美元，淨流出 36 億美元，占其管理資產的 2.1%。The Block則引述 DeFiLlama 資料，指出 24 小時淨流出已降至約 32.9 億美元，較約 70 億美元的高點下降逾五成；幣安與外部追蹤平台的統計口徑不同，數字有落差。幣安也在 11 月 2 日完成含 10 種資產的零知識證明準備金快照，並預告 11 月 3 日起續開更多網路與資產的提領。
仍待釐清的部分
幣安強調這只是初步報告，調查仍在進行，並將聘請獨立資安公司覆核，部分技術細節為避免被再利用而不公開。後續的重點在於獨立覆核結果、被凍結的 28.5 億美元能追回多少，以及 FBI 提到的洗錢路徑能否被截斷。幣安同時宣布會擴大投資 AI 偵測、端點防護與開發環境安全，並著手籌設針對區塊鏈環境 AI 安全的研究基金。
這份報告最值得業界注意的是，攻擊並非直接攻破密碼學或智能合約，而是從一場假面試、一個被竄改的開發工具與一套內部 AI 工具，一路走進錢包簽署系統。對任何把 AI 工具接上內部權限的公司來說，這都是一個具體的警訊。
