币安被黑：发生了什么，现在该怎么做，什么才能真正保护你

如果你在币安持有资金，请先从媒体报道中一直被模糊的一个区别开始。按照币安目前的说法，2026年10月29日的盗窃发生在其系统内部。就目前已公布的一切信息而言，你选的密码、你用的2FA方式、你这一侧的任何设置都与此无关，也都无法阻止它：币安的说法是，未经授权的提币是从其系统内部提交的。对你的危险在黑客事件之后才开始，而且在你这一侧：退款骗局、假冒客服人员、恶意的"理赔门户"，以及大型泄露事件之后常见的木马化应用。本文梳理已发生的事、仍未知的事，并按每项防护措施实际能阻止的威胁逐一说明。截至本文撰写时，提币处于暂停状态，币安预计在其04:36 UTC更新后的48小时内恢复。本文所有内容反映的是2026年10月30日06:40 UTC时的情况。

币安究竟发生了什么？

TRM Labs 估计约有63.6亿美元跨十条区块链流出币安，其中大部分在10月29日20:05 UTC开始的约20分钟内转移，随后在23:05 UTC前后出现第二波。以太坊约占37.9亿美元，比特币为18,270 BTC，约合14.7亿美元。Chainalysis 给出的被盗时点数字是59.12亿美元，其联合创始人随后谈到约64亿美元，并认为很可能涉及 TraderTraitor。按 TRM 的计算，这约为2025年2月 Bybit 被盗15亿美元的四倍。

到21:29 UTC，币安表示"已注意到有关潜在安全问题的报告"，并警告用户不要相信非官方链接或索要账户信息的请求。它暂停了提币，并在10月30日约02:25 UTC的主要声明中表示，估计总影响"约在63亿美元左右"，迄今约30亿美元已在链上冻结。据币安称，其初步调查显示事件可能涉及一名 DevOps 工程师的笔记本电脑被攻破，使攻击者得以进入一个服务容器并提交未经授权的提币交易。币安表示"没有发现任何钱包私钥泄露的证据"，事件"源于多重因素"。它承诺发布包含根本原因的全面报告。币安还表示将在修复完成后发布更新的储备金证明（Proof of Reserves）。

据 TRM 称，资金来自热钱包，即交易所保持联网以便快速签署提币的钱包。TRM 的评估是，"最有可能的解释"是攻击者在测试钱包上演练之后，让币安的热钱包签名系统签署了交易。TRM 将此次攻击"以高度置信"归因于朝鲜的 TraderTraitor 组织，Chainalysis 的联合创始人也指向 TraderTraitor。两者都是分析机构的评估。FBI 曾将 Bybit 被盗事件归因于同一组织，但尚无任何政府就本次事件发表声明。

币安表示将从 SAFU 基金和公司资金中承担全部损失，并称"用户资金是安全的"。这些是币安自己作出的承诺。作为参照，CoinDesk 报道 SAFU 持有约10亿美元的比特币，设立于2018年；据 DefiLlama 的数据，币安在被黑前持有约1440亿美元资产，意味着此次盗窃约占资产的4%。据 PTC News 报道，Binance.US 据称未受影响。

哪些仍未得到证实？

相当多。请把以下各项当作悬而未决的问题，而不是已成定论的事实。

• 根本原因。笔记本电脑的解释是币安的初步推测，而币安自己也说涉及多重因素。一台被攻破的电脑能否解释跨十条链的签名，尚未得到确认。
• 最终损失。币安、TRM 和 Chainalysis 的数字各不相同，且仍在变动。
• 能追回多少。冻结是指 Tether 这样的发行方，或在一个案例中某条链的安全委员会，阻止被盗代币在链上流动；归还是指钱回到原处，而目前尚无归还的报告。TRM 估计发行方冻结了约26.7亿美元，其中 Tether 冻结了约17.7亿 USDT，Circle 冻结了8.25亿 USDC。但 TRM 也估计超过420,000 ETH 和18,270 BTC，约24亿美元，"超出任何发行方的控制范围"。CoinDesk 报道这些比特币被分拆到19个无人能冻结的钱包中，截至04:23 UTC没有任何一个转移过币。即使每一枚被冻结的代币都能追回，仍会剩下约33亿美元，而 SAFU 的约10亿美元只能覆盖其中不到三分之一，币安表示其余部分由公司资金承担。
• 归因。TRM 和 Chainalysis 指向 TraderTraitor；尚无任何政府就本次事件发表声明。
• 用户与数据。没有任何币安声明给出受影响用户的数量、称有账户被单独攻破，或对个人数据作出任何方向的说明。
• 时间。币安在04:36 UTC表示，在提币服务的安全改造完成期间，预计提币"将在48小时内恢复"。
• 充值。币安自己的措辞存在明显矛盾。其00:13 UTC和约02:25 UTC的声明称充值和提币已暂时暂停。其04:36 UTC更新则称"充值不受影响，继续正常运行。"币安没有解释其中的差异。

如果你使用币安，现在应该立即做什么？

这些步骤没有一项能够预防这次黑客事件。但它们每一项都能减少攻击者或骗子从现在起对你能做的事。

1. 只使用官方渠道。币安要求用户只依赖币安官方渠道获取更新。在相信任何链接、邮箱地址、电话号码或社交账号之前，先把它粘贴到 Binance Verify 里核查。币安的安全提示说明它绝不会给你打电话，也不会在 WhatsApp 或其他社交媒体上给你发消息。设置防钓鱼码，让真正的币安邮件带有只有你知道的短语。
2. 把每一条退款、理赔或解锁消息都当作骗局。据币安称，它不会通过非官方渠道主动联系用户提供赠品或解锁账户的方法，也绝不会通过私下通信索取资金。所谓的资金追回服务不过是穿着西装的同一个陷阱。正如 Revoke.cash 所说："不存在任何需要你的助记词的合法恢复流程。"绝不要向任何承诺追回资金的人预付费用。
3. 审查你的 API 密钥。如果你曾连接过交易机器人或投资组合追踪器，检查这些密钥。币安的 API 指南建议对所有密钥启用 IP 白名单，并避免在单个密钥上开启全部权限。没有 IP 白名单的密钥无法发起提币，不活跃且未加白名单的密钥会在30天后被删除。删除任何你不认识的密钥。
4. 开启提币白名单。据币安介绍，启用后你只能向白名单上的地址提币，添加地址需要2FA，修改白名单可能使提币暂停24、48或72小时。Whitelist Withdrawal Limit 还会对新添加的地址额外延迟。这个等待期正是意义所在：如果有人进入你的账户，它为你争取时间。
5. 检查你的设备和登录历史。币安保留登录尝试的日志。检查它，并移除任何你不认识的设备或会话。
6. 老老实实处理密码和2FA。币安的声明没有要求用户更改密码，对个人数据也没有任何方向的说明。但如果你在其他网站重复使用该密码、点击过关于此次黑客事件的消息中的任何链接，或曾向任何人读出过验证码，无论如何都要更改。并升级你的第二因素：币安支持通行密钥或身份验证器应用"作为短信验证的替代方式"。它们并不等同，下文会解释。

这类黑客事件之后会出现哪些骗局？

知名泄露事件后的几个小时是假冒者最忙碌的时刻，因为恐惧让人点击。Chainalysis 报告称，与2024年相比，假冒骗局在2025年增长了超过1400%，平均单笔被骗金额从2024年的782美元升至2025年的2,764美元。预计会出现以下几种形态：

• 退款邮件。"在截止日期前领取你的赔偿。"链接指向一个假登录页面，实时窃取你的密码和2FA验证码。
• 客服来电。有人自称币安安全团队，说你的账户有风险，并引导你完成"验证"。币安说明它绝不会给你打电话。
• 追回专家。在你损失资金后，一位热心的陌生人提出收费帮你追踪，或索要你的助记词来"同步"你的钱包。两种要求的结局是一样的。
• 解锁服务。在提币暂停期间，预计会有人兜售提前取出资金的特殊通道。币安表示它不会通过非官方渠道提供解锁账户的方法。

为什么制造紧迫感会奏效？因为正如 FTC 所指出的，加密货币支付通常不可逆转，而且你很可能发现没有人能介入帮助追回被盗钱包中的资金。骗子只需要一笔签名的交易，一次就够。

一般而言，如何保护加密货币的安全？

先从权衡说起。把币放在交易所会让你暴露于像这次这样的交易所侧入侵，作为交换，平台可能承诺全额赔付，正如币安所做的那样。自己持有密钥则把交易所完全排除在外，但把剩下的每一项风险都放到你身上。Chainalysis 统计2025年有158,000起个人钱包被攻破事件和80,000名独立受害者，个人被盗金额达7.13亿美元，低于2024年15亿美元的峰值。没有任何交易所式的承诺会赔付这些损失。我们不是在告诉你把钱放在哪里；我们是在告诉你，风险会跟着钱走。

无论你选择哪种组合，这些习惯都站得住脚：

• 了解硬件钱包真正做什么。它把私钥保存在一台独立设备上并在那里签署交易，这样被攻破的电脑永远不会持有私钥，但你仍然必须在它的屏幕上读清你批准的内容。
• 让助记词保持离线。写在纸上或金属上，绝不拍照，绝不输入任何网站，绝不分享。任何向你索要助记词的人都是在拿走你的钱包，无论他们把这个过程叫什么。
• 优先使用通行密钥和硬件密钥而不是验证码。通行密钥与真实网站绑定：根据 WebAuthn 标准，凭据限定于单一依赖方，无法被仿冒域名使用。身份验证器应用不错，但一个逼真的钓鱼页面可以实时转发它的验证码。短信是最弱的选项：NIST 的指南将短信和语音验证列为受限方式。它还直白地写道："密码不具备抗钓鱼能力。"
• 在任何支持的交易所设置提币地址白名单，这样仅凭被盗的登录凭据无法改变你的币的去向。
• 撤销旧的代币授权。如果你使用 DeFi，授权"允许智能合约代表你支配你的代币"，而且据 Revoke.cash 称，它们会无限期保持有效。用 Revoke.cash 或 Etherscan 的代币授权页面检查它们，并砍掉你不再需要的授权。
• 为交易所账户使用一个单独的邮箱地址，一个你在其他任何地方都不用的邮箱，这样某个无关服务的泄露不会把你的加密货币登录信息送到攻击者手里。
• 只从官方来源下载钱包应用。对分析机构点名的那个组织来说，这不是假设。CISA 的 TraderTraitor 公告描述了针对加密货币公司员工的鱼叉式钓鱼消息，这些消息"模仿招聘活动并提供高薪职位"，并促使受害者在 Windows 或 macOS 上下载木马化的加密货币应用。同一套打法指向个人时，就是一个假的钱包更新。

关于从密码管理器到更新纪律的更广泛基础知识，请参阅我们的在线安全中心和2026年10月网络安全周综述。

哪种防护能阻止哪种威胁？

这张表值得保存。先读交易所侧那一列。

看看交易所侧那一列。面对交易所侧入侵，几乎每一行都是"否"，因为按照币安目前的说法，攻击在其系统内部进行。唯一的"是"是自己持有这些币，而那一行有它自己的代价：Chainalysis 统计的2025年158,000起钱包被攻破事件发生在个人钱包里，而不是交易所。没有哪一行能赢下每一列。这就是为什么明智的做法是分层防护，而不是只挑一样。

VPN 究竟在哪些方面有帮助？

VPN 位于那张表的一列之中，并涉及第二列。Le VPN 加密你的设备与 VPN 服务器之间的流量，这意味着同一家咖啡馆或机场网络上的人无法读取你的流量，你的 ISP 也看不到你使用哪些服务。如果你曾在家以外查看交易所或钱包，这一点很重要；参见我们的公共Wi-Fi安全指南。Threat Protection（Windows 和 Android 上的 Block Online Threats）是当前应用中的一个开关，它增加基于 DNS 的已知恶意域名拦截，可以阻止你访问已被标记的钓鱼网站，不过一个小时前才注册的页面可能还不在任何名单上。Data Breach Scanner 包含在有效服务中，它将你 Le VPN 账户上的邮箱地址与已知泄露进行比对，一旦发现就会给你发邮件。

而这是 VPN 做不到的。它不能阻止已经在你设备上的恶意软件。它无法拦截尚无人标记的钓鱼页面。它对这次入侵毫无作用，因为按照币安的说法，事件发生在币安系统内部。它不会改变交易所的服务条款，也不会改变交易所面向哪些国家。而且从新的 IP 地址连接可能触发交易所的额外安全检查，所以要有多一步验证的心理准备。关于这个工具在加密货币配置中的位置，请阅读我们关于 VPN 与加密货币安全的文章。

在币安发布事后分析报告之前，关于这次黑客事件的事实来自其官方账号和具名的分析机构。其他任何通过邮件、电话、私信或弹窗就此事联系你的人，都是想从你身上得到点什么。