2026 年 10 月 29 日 20:24 UTC，被 Etherscan 标注为 Binance 14 的热钱包向一个此前并不存在的新地址转出 167,464 枚 ETH，同时带走包括约 16 亿美元 USDT 在内的 63 种代币。24 秒后 Binance 16 追加 28,005 枚 ETH；到 20:59，Binance Hot Wallet 34 的 7.8 亿与 4,300 万枚 USDC 也进了同一个口袋。链上追踪服务 Hyperdash 统计的异常流出约 56 亿美元，币安当晚暂停提现，创始人赵长鹏在 X 上确认”看起来币安确实被黑了”。
事件概述：40 分钟扫走 60 多种代币
流出分散在多个网络：以太坊约 35.28 亿美元、比特币约 14.49 亿美元、波场约 6.28 亿美元。被卷走的资产包括约 16 亿 USDT、8 亿 USDC、6,260 万 RLUSD、约 4.5 亿美元的 ETH，以及 619 万枚 UNI 与 226 万枚 LINK。接收地址在收款后 15 分钟内又把 195,460 枚 ETH 转往另一个全新地址。发起转账的钱包本身没有长期历史，只在 10 月 28 日至 29 日通过混币服务 Tornado Cash 收到三笔约 0.1 ETH 的 gas 充值——先把油钱洗进来再动手，是很典型的准备动作。
技术细节：50 条授权，只有一条对上
Blockaid 的法证分析把入口指向 EIP-7702。该特性随 2025 年 5 月的 Pectra 升级引入，允许普通账户钱包授权一份智能合约代自己执行指令，本意是让老钱包用上账户抽象能力。调查人员在 Binance 14 上找到一笔约 16:20（美东时间）提交的委托交易，其中打包了 50 条授权以覆盖不同的交易计数器（nonce），实际只有一条匹配；约 3 分钟后钱包资产被整体扫出。当天更早时候攻击者已部署相关合约，资金来自 Tornado Cash。
关键在于 EIP-7702 需要有效授权才生效，问题不在特性本身，而在授权是怎么签出来的。私钥泄露、诱骗有权限的签名者批准恶意指令、签名基础设施某一段被攻破，三种可能目前都未被证实；而 EIP-7702 也解释不了比特币与波场两端的转出。
影响评估：史上最大，冻结压住了净损失
按总估值算，这已超过 2025 年 2 月 Bybit 约 15 亿美元的纪录。但稳定币发行方的响应压住了实际损失：Tether 冻结超过 15.67 亿枚 USDT，Circle 冻结 8.23 亿枚 USDC，合计超过 23 亿美元；Aave 同步冻结借贷市场，防止攻击者用赃款借出无法冻结的资产。剩下约 35 亿美元的 ETH 与其他代币不在发行方黑名单覆盖范围内。市场端，比特币一度跌至 78,852 美元，以太坊下探 2,240 美元，一小时内全网清算约 6.28 亿美元，其中 6.06 亿为多头。币安尚未公布经独立核实的损失数字，也未说明提现何时恢复、SAFU 应急基金是否动用。
修复建议：托管方要盯的四件事
- 清点 EIP-7702 委托。逐个热钱包查询 delegation 记录，确认有无来源不明的委托与多次覆盖授权。委托一经生效即长期有效，必须显式撤销。
- 签名链路分段隔离。签名机不应同时具备外网访问权限；对 nonce、目标合约、授权范围做白名单比对，非预期 nonce 直接拒绝——本次 50 条授权里 49 条是烟雾弹，逐条人工确认挡不住。
- 把 gas 来源当告警。由混币器出资的新地址为热钱包发起交易，本身就是强信号，应进监控规则而不是留给事后复盘。
- 稳定币冻结做成预案。与发行方的联络通道、冻结申请材料、执法对接人提前备好，本次能在数十分钟内锁住 23 亿美元，靠的是这条链路早已跑通。