三家区块链分析公司已将本周 Binance 遭遇的黑客攻击归因于朝鲜，其中规模最大的两家——TRM Labs 与 Chainalysis——指认朝鲜黑客组织 TraderTraitor 为幕后黑手，并均称这是有记录以来规模最大的加密货币盗窃案。

TRM Labs 表示，其归因基于“可靠的链上与链下情报”，“具有高度置信度”。该公司估计失窃金额约为 63.6 亿美元，资金从 Binance 在 10 条区块链上的钱包转出，其中大部分在周四美国东部时间下午 4:05 开始的约 20 分钟内转移完毕。TRM 指出，这一金额约为 2025 年 2 月 15 亿美元 Bybit 黑客事件 的四倍，FBI 曾将后者归因于同一组织。

Chainalysis 估计总金额约为 64 亿美元，并表示最有力的证据来自其调查人员实时观察到从 Binance 窃取的资金与上个月 Bitget 攻击事件 的赃款发生混同，后者已被归因于朝鲜攻击者。Chainalysis 一位发言人 对 CNN 表示，该公司“高度确信”朝鲜是此次黑客事件的幕后黑手。

总部位于新加坡的 Pangolin Intelligence 也对 CNN 表示，基于“分析本次黑客事件相关的链上活动，并将其与此前已知事件收集的信息进行关联”，其认为涉案的是一个朝鲜黑客单位。朝鲜此前曾否认黑客攻击指控。

攻击是如何实施的

TRM 与 Chainalysis 均表示，攻击者的操作钱包通过加密货币混币器 Tornado Cash 获得资金。TRM 称，这一特征以及其他特点——包括在盗窃发生前很久就已开始的布局准备——与此前的朝鲜关联攻击（如 Bybit 黑客事件和 4 月的 KelpDAO 攻击）相吻合。

据 TRM 称，在以太坊上，攻击者利用 EIP-7702 委托——这是以太坊 Pectra 升级 中引入的一项功能，允许普通钱包运行智能合约代码——将一个 Binance 热钱包（联网钱包）变为受其控制的“清扫器”（sweeper），并事先准备好了 50 个预签名授权。清扫器会自动将发送至某个地址的任何资金转出。Binance 在其他九条链上的钱包则通过普通签名转账将资金发送给攻击者。TRM 评估认为，这表明 Binance 的热钱包签名基础设施遭到入侵。

Binance 表示，调查始于一名工程师的笔记本电脑被入侵，但此后又发现了“更多入侵点。” Bybit 攻击同样始于单台被入侵的设备：朝鲜黑客在入侵钱包服务商 Safe 一名开发人员的电脑后，在 Safe 的基础设施中植入了恶意代码，Decrypt 当时曾报道。

快速洗钱，冻结规模不断攀升

攻击者迅速对其无法保留的资金进行洗白。Chainalysis 表示，正在观察到“前所未见的洗钱模式”，短时间内出现数千笔交易，表明攻击者利用自动化手段在多个地址之间反复流转资金。

据 TRM 称，攻击者还向做市商出售 USDT，并在借贷协议 Aave 上以 USDT 抵押借出 ETH，以赶在各发行方冻结之前转移资产。攻击者目前持有超过 420,000 枚 ETH 和 18,270 枚 BTC——约 24 亿美元，任何发行方均无法触及，因为 ETH 和 BTC 均不存在能够实施冻结的发行公司。

TRM 表示，Tether、Circle、Ripple 和 World Liberty Financial 已冻结约 26.7 亿美元稳定币，Arbitrum 安全委员会冻结了 8,426 枚 ETH 和 7,460 万枚 ARB。据 Binance 统计，冻结总额约为 30 亿美元。

Binance 承诺弥补用户损失

Binance 已开始为用户追回受影响的资产，并继续与执法部门、发行方、区块链情报公司及行业合作伙伴合作，追踪、冻结并追回更多资金。

Binance has begun recovering affected assets for users and continues to work with law enforcement, issuers, blockchain intelligence firms and industry partners to trace, freeze and recover additional funds. The company has already publicly committed to cover losses through… pic.twitter.com/UqtBd37Fpj

— Binance (@binance) October 30, 2026

Binance 在周五的更新中表示，已预留超过 63.4 亿美元公司资金以应对此次事件，其中 50 亿美元已经以被盗的确切代币形式持有。其余部分正通过市场和场外渠道购入，Binance 表示，这一过程“可能耗时较长，因为部分代币的流动性可能较低”。上述数字不包括已冻结的资产。随着调查的继续，这些采购能够以多快的速度完成、入侵的全部范围有多大，以及是否还能冻结或追回更多被盗资金，仍是悬而未决的问题。

“我们将共渡难关，”Binance 表示。

长期的对手

朝鲜黑客长期以来一直针对该交易所。2025 年 8 月，Binance 首席安全官 Jimmy Su 对 Decrypt 表示，朝鲜攻击者每天都在试图混入 Binance 工作，并称他们是加密货币公司面临的唯一最大威胁。

就在盗窃事件开始的前一天周三，美国财政部因朝鲜 IT 人员计划转移了数百万美元加密货币，制裁了 10 名个人和一家实体。