10 月 30 日，Cobo 联合创始人神鱼发布视频，从链上数据完整还原币安本次资产被盗全流程。这起横跨多条公链、总规模接近 58 亿美元的安全事件，并非临时突袭，而是攻击者经过 48 小时筹备、两次完整演练、预先拟定代币转移清单后，借助 EIP-7702 授权机制完成的精准攻击，核心漏洞指向交易所签名系统，而非合约代码本身。

一、攻击时间线：凌晨发起授权，三分钟开启资产扫荡

整场攻击在凌晨短短几十分钟内完成，节奏高度紧凑。 10 月 30 日凌晨 4 点 20 分，一笔包含 50 项连续序号授权请求的交易被广播上链，交易签名来自币安热钱包自身私钥。仅仅 3 分多钟之后，黑客启动批量转账，开始清空钱包资产。

按当日币价核算，以太坊、波场等多条链合计被盗资产约 58 亿美元，其中 14 亿美元比特币资产转出存疑，币安尚未确认该笔 BTC 属于被盗还是平台紧急资产转移。

4 点 24 分，首轮批量转账落地，黑客一次性转走 16.7 万枚 ETH、16 亿 USDT 以及其余 60 余种代币，钱包内仅剩余 1 枚 ETH；24 秒后，第二个币安热钱包被攻破，转出 2.8 万枚 ETH，该笔转账直接使用攻击者私钥签名；4 点 41 分，黑客依托第一个钱包的授权身份，调度 USDC 合约钱包转出 8.23 亿枚 USDC。截至清晨 6 点 40 分，黑客反复往返操作共计四次，完成多轮资产转移。

二、攻击前置筹备：两次全流程演练，提前备好 64 种代币转移清单

链上痕迹清晰证明，攻击者的准备工作早在事发前两天就已启动，全程步步为营。 早在 10 月 28 日下午，攻击者就分三次从 Tornado Cash 混币器提取小额资金，用来支付合约部署与交易手续费，完成资金准备。10 月 29 日晚间至攻击发起前，黑客利用测试钱包完整开展两轮实战演练，最后一轮演练结束距离正式行动仅剩 3 个半小时，验证整套授权与转账流程无误后才正式动手。

为做到一键清空钱包，黑客提前制作好覆盖 64 种代币的转移清单，确保不会遗漏任何资产。本次攻击的核心武器，是以太坊 EIP-7702 授权机制：钱包签署授权后，账户控制权会临时交给一段程序，直至手动撤销授权。黑客编写的恶意合约具备极强针对性，仅绑定单一控制人，只执行资产转移这一项指令。50 条授权附带连续序列号，一旦序列号与钱包账户状态匹配，授权即刻生效。

目前事故根源仍停留在签名环节：究竟是热钱包私钥直接泄露，还是签名系统被恶意利用，币安官方尚未给出定论。但有一个关键细节：清晨 6 点 55 分，币安依然可以用同一把私钥签名，把剩余零碎代币转回自有地址，说明私钥仍在平台掌控之中，只是此前签发的恶意授权还没有被撤销。

三、攻防博弈：黑客紧急置换资产，稳定币发行方火速冻结

资产转移的同时，一场冻结与反冻结的博弈同步上演。 USDT、USDC 等稳定币具备发行方一键冻结能力，而 ETH 等原生代币无法被冻结。为规避资产被拦截，黑客第一时间将可冻结的稳定币兑换成 ETH。其中仅 4.35 亿 USDT 就被兑换为 16 万枚 ETH，这笔兑换直接造成 7000 万美元账面亏损，黑客宁愿承受损失也要保住资产不被冻结。

各大稳定币发行方迅速启动应急处置：Tether 冻结 13.8 亿 USDT，Circle 冻结 8.23 亿 USDC，Ripple 冻结 4054 万枚 RLUSD 及其他代币。

未被冻结的资产几乎全部是 ETH。截至当日 7 点 40 分，近 46 万枚 ETH 被转入 4 个全新空白地址，只有转入记录，暂无转出动作。与此同时，币安一个比特币热钱包转出 18270 枚 BTC，资金被拆分为 19 笔转入 19 个新地址。Arkham 已将该笔交易标记为黑客关联资金，但币安始终没有对 BTC 异动做出官方回应。

四、行业警示：风险不在合约，而在签名授权管控

神鱼在复盘最后着重强调，本次事件没有发现智能合约漏洞，所有风险全部集中在签名环节。黑客没有攻破钱包私钥保险柜，而是诱导签名系统签下了非预期的 EIP-7702 授权委托书，把账户临时控制权拱手交出。

这起加密史上规模最大的资产失窃案，为全行业敲响警钟：各大交易所必须全面排查签名基础设施，严防系统被诱导签署超出业务范围的代理授权；针对 EIP-7702 这类账户委托新机制，必须建立独立的授权审批流程，严格管控批量授权交易，避免一笔签名就把整个热钱包的资产控制权对外委托。

下一步，市场将持续关注币安对签名漏洞的最终定性、恶意授权的撤销进度，以及剩余未冻结 ETH 资产的链上追踪进展。