这场被称为人类历史上最大盗窃案最令人震惊的细节在于：密码学完全按设计运作。2026年10月29日晚间，没有任何人破解出主私钥。相反，一名攻击者据称通过一台被入侵的DevOps工程师笔记本电脑进入内部服务容器，并指示币安的签名基础设施自我清空。

在大约20分钟内，63亿美元从包括比特币、以太坊、Solana和XRP在内的10条区块链上消失。这一事件超越了2025年2月朝鲜Lazarus Group从Bybit抽走近15亿美元所创下的严峻纪录。币安事件报道见此：https://technext24.com/news/hackers-steal-6-3-bn-from-binance-crypto-heist/

随着链上警报在X平台蔓延，币安联合创始人赵长鹏（CZ）在一条措辞异常克制的帖子中首次公开承认：“用户资金安全！看起来确实是币安遭遇了黑客攻击。感谢Tether（约9.71亿美元）和Circle（约8.23亿美元）的快速冻结。”该帖子见 https://x.com/cz_binance/status/2113029289155178716?a=_Um3FD_EavLoFhA6AWU\u0026s=19。

几分钟后，赵长鹏补充道：“我已不再管理Binance (.com)，但作为股东，我预计所有用户资金将获得全额补偿。”

截至10月30日星期五，约30亿美元被盗稳定币和代币已在链上被冻结——不到被盗总额的一半。FBI和TRM Labs已高度确信将此案与朝鲜的TraderTraitor组织关联。

此次攻击发生时，市场刚刚消化了14.9亿美元被清算的杠杆头寸，比特币跌破78,000美元。币安CEO Richard Teng在视频讲话中作出回应，承诺提供63.4亿美元的公司资金兜底。

“我们承诺通过公司资金覆盖所有被黑客攻击造成的损失。您的资产是安全的，”Teng表示，并坚称此次抽走资金仅涉及公司热钱包。“我们从不使用任何客户资金，因此客户资金未受影响。”

然而，将币安被盗视为加密行业的一次孤立失败，会忽略更宏观的格局。10月29日的资金抽离只是为期31天的全球网络安全崩溃的终章。在整个被称为“黑十月”的时期，保护Web服务器、银行和数字资产基础设施的防御边界同时失效。

PHP2Shell：基础层的裂缝

在币安钱包被抽空七天前，赵长鹏在X上发布的一条警告如今看来颇具先见之明。“你可以说我偏执，但未来几天访问任何网站时请格外小心，因为一些网站管理员的安全补丁并不总是及时更新，”他在10月21日写道，指的是PHP编程语言中两个新披露的漏洞。相关报道见 https://technext24.com/policy-and-tech/nigeria-php2shell-cybersecurity-response/。

第二天，他补充了一条工程界公理：“没有任何加密钱包是100%安全的。没有任何软件没有漏洞。没有任何技术是100%安全的。”他的第二条帖子见 https://x.com/cz_binance/status/2113462904435642556?a=jQb9RLbCOmUH6MqtmH8\u0026s=19。

引发赵长鹏警觉的漏洞被称为PHP2Shell，编号为CVE-2026-109618和CVE-2026-109619。这一对释放后使用（use-after-free）内存漏洞的CVSS v4.0严重性评级为关键的9.2分，影响从5.4版到8.5.11版所有默认安装的PHP核心运行时。

PHP支撑着全球约70%的互联网服务器端基础设施。这些漏洞允许未经身份验证的攻击者执行远程代码并泄露服务器内存——包括会话令牌、TLS私钥和数据库密码——甚至在网站应用代码运行之前就已发生。

据称攻击利用始于10月17日前后，比PHP Group于10月21日发布紧急补丁早了四天。补丁版本为8.5.12、8.4.27、8.3.36和8.2.35，受影响服务器的运营者需要安装这些版本来消除暴露风险。Cloudflare CTO Dane Knecht随即报告“早期攻击已经出现”，并警告称Web应用防火墙只是权宜之计。

“这对黑客来说是一座金矿，”Malwarebytes全球诈骗与AI研究主管Shahak Shalev表示。“他们可以劫持真实网站，利用网站声誉进行钓鱼并向用户提供恶意软件，且是通过可信渠道分发。机会无穷无尽。”

加密交易所和现代金融科技公司通常使用Go、Rust或TypeScript构建核心系统。然而，Halborn的安全研究人员指出，PHP仍被广泛用于围绕这些系统的营销网站、支持门户和后台管理面板。其中许多服务含有有效的API密钥和webhook密钥。

随着这一底层Web基础设施承压，威胁行为者在整个十月期间在全球各大洲收集凭证并入侵各类机构。

在南非，病理检测巨头Ampath Laboratories遭到ByteToBreach勒索软件组织攻击。同一威胁行为者今年早些时候曾针对尼日利亚机构，包括Sterling Bank和企业事务委员会（CAC）。ByteToBreach声称已窃取8000万份患者记录。

攻击者还将目标对准传统金融和零售企业。在韩国，黑客在月中之前使用一款中国AI工具入侵16家金融公司，窃取68,000条记录。随后他们攻击了Daishin Securities（泄露38,490条记录）、Mirae Asset，并在10月28日攻击了加密交易所Bithumb的内部群件系统。

在意大利，欺诈者使用三分钟的AI生成的律师声音克隆，诱骗Fideuram（意大利联合圣保罗银行私人银行部门）高管将1.08亿美元转入海外账户。在日本，IT巨头GMO Internet在 外汇和云服务器遭入侵后面临5000万美元的勒索要求。零售巨头MUJI泄露了2726万条客户记录，国泰航空则因供应商漏洞损失53,000条订票记录。

在币安遇袭之前，数字资产行业已发生多起事件。硬件钱包制造商Ledger于10月12日披露，隐藏在通过第三方经销商CryptoBilis出售的设备中的恶意LTE eSIM植入体已抽走8600万美元用户资金。

10月20日，竞争对手钱包制造商Keystone表示，在第三方追踪漏洞泄露25,964条买家记录和一个制造验证密钥后，其不得不销毁18,835台未售出设备。到10月28至29日，Coinbase确认客户数据经由分析供应商Amplitude遭到暴露。预测市场Polymarket在英国监控供应商DebugBear的脚本被劫持、从700多个账户抽走265万美元后，暂停了国际交易。

三大结构性转变

三大结构性变化有助于解释为何安全失效在2026年10月同时出现在全球体系中。

第一，工作流颠覆正日益取代直接的密钥窃取。正如赵长鹏在10月21日所写：“AI无需破解比特币的密码学就能造成破坏；泄露的数据已经足以助长更多钓鱼和社会工程攻击。”

在币安，攻击者据称并未窃取私钥。他们入侵了一名工程师的工作站，进入一个负责发起提款请求的服务容器，并利用了签名层对该容器的隐式信任。获得访问权限后，他们利用以太坊的EIP-7702特性——一种让普通区块链账户获得类智能合约可编程性的协议能力——在几分钟内自动化完成了跨链资金抽离。

第二，攻击型AI实现自主化。在十月期间，网络犯罪集团部署了基于商用大语言模型构建的智能体AI平台——能够在极少人工监督下串联多步骤任务的自主系统——用于扫描未打补丁的PHP2Shell服务器、通过ConnectWise备份自动化接管Active Directory，并以快于人工团队修补速度攻击拉丁美洲和亚洲的400多家金融机构。

第三，第三方供应商周边防线崩溃。Polymarket的DebugBear脚本和Coinbase的Amplitude追踪器都是被用于触及受影响公司的外部工具。Railway和LiteLLM的云凭证泄露也体现了同样的弱点：企业反复因添加到其技术栈中的工具而遭攻陷。

黑十月证明，当一台未打补丁的PHP服务器、一个被投毒的供应商脚本或一台被入侵的工程师笔记本电脑就能指示金库自我清空时，数十亿美元的储备基金和军用级冷存储都无法保护一个生态系统。