從幣安被駭與復原過程學到什麼？

幣安在發生63億美元盜竊案後已開始恢復存取，動用自身儲備來替換客戶資產。其復原過程提供了關於交易所如何核准交易、在危機期間如何溝通，以及如何證明客戶能夠取回資金的經驗教訓。

幣安在報告已替換約95%受其10月29日63億美元駭客攻擊影響的資產後，已擴大提款範圍。

幣安11月3日的公告安排了自UTC 04:00起展開另一階段提款，個別資產在安全與就緒檢查後開放。存款仍保持開放，該交易所並重申其承擔財務損失的承諾。

因此，客戶面臨了兩種不同的復原流程。幣安一直在尋找替代加密貨幣來支撐其餘額，而調查人員與業界合作夥伴則一直試圖追回攻擊者取走的資產。

恢復提款存取涉及第三項任務：確認發送這些資產的系統能夠安全運作。帳戶餘額、儲備快照與完成提款各自回答了關於交易所狀況的不同問題。

幣安駭客案的範圍超出一名員工的筆記型電腦

幣安最初暗示，一名工程師遭入侵的筆記型電腦可能提供了入侵點。在其10月30日的事件更新中，該公司表示調查人員已發現更多入侵點，同時報告當時尚無證據顯示錢包私鑰已外洩。

其公布的說法將熱錢包遭入侵的時間定在10月29日UTC約20:05。該交易所表示已控制受影響的基礎設施、撤銷授權並導入進一步控制措施，同時調查人員正努力釐清事件順序。

竊取金鑰與取得使用簽署系統的權限之間的區別，是調查的核心。即使企業從未打算授權該筆轉帳，交易仍可能帶有密碼學上有效的簽章。

TRM Labs的鏈上調查追蹤了橫跨10條區塊鏈的轉帳，並在資產被取走時估值約為63.6億美元。其研究人員評估，跨鏈活動指向幣安熱錢包簽署基礎設施遭到入侵。

根據TRM的說法，以太坊活動涉及50筆預先授權以及一份可從幣安錢包掃走資產的合約。其他鏈則顯示為普通的已簽署轉帳，因此僅限於以太坊錢包功能的解釋將無法說明部分盜竊行為。

教訓不僅在於簽署金鑰的儲存方式，也在於圍繞該金鑰的權限。企業必須決定哪些系統可以請求簽章、哪些請求需要另行核准，以及如何在異常轉帳到達區塊鏈之前加以阻止。

NIST的零信任架構將存取視為必須針對所涉資源進行驗證與授權的事項。身處公司網路內或使用公司擁有的裝置，本身並不能建立信任。

應用於交易所時，該原則將工程師的日常存取權限與轉移客戶資產的權限區分開來。員工可能需要維護基礎設施，但無需對提款指令、生產憑證或交易審批擁有不受限制的存取權限。

幣安完整的技術報告將需要解釋這些界線在攻擊期間如何運作。迄今公布的證據支持了對簽名流程的質疑，但並未建立該公司內部控制的完整圖譜。

FBI 於 10 月 31 日將該盜竊歸因於北韓的 TraderTraitor 活動，並表示被盜資產主要正被兌換為以太幣。據美聯社 11 月 3 日報導，北韓否認參與。

該局要求交易所、DeFi 服務、基礎設施營運商及其他公司封鎖與已識別洗錢地址相關的交易。其請求針對的是入侵後被盜資產的轉移，這與幣安對初始入侵途徑的調查是分開的。

幣安如何處理危機與恢復

幣安的回應結合了提款限制、替代購買、配合資產凍結以及一系列公開恢復通知。每項措施針對不同的即時問題，而時間順序讓客戶能夠將公告與後續行動進行對比。

正如 crypto.news 先前報導，幣安預留了公司資源超過 63.4 億美元，並表示截至 10 月 30 日已有約 50 億美元以匹配的加密貨幣形式持有。其目標是分階段重啟提款，但須經安全檢查。

匹配資產是該承諾的一部分。持有特定代幣的客戶應獲得該代幣，而交易所可用資源的美元價值僅是其購買替代品能力的中間衡量指標。

10 月 31 日的補充通知將覆蓋率定為 90%。幣安指定 SAFU、其期貨保險基金的一部分以及公司金庫作為資金來源。

該公司表示，已識別的 10 種主要資產已獲得全額支持，而該組之外流動性較低的代幣則需要更長時間才能購得。購買正透過市場和場外交易渠道進行。

截至 11 月 1 日，幣安報告了 95% 的替代完成率，並在初始恢復階段重新開放了比特幣提款。首個公布的時程涵蓋 15 個網路中的選定資產，而非交易所上架的所有代幣。

使用幣安報告的事件開始時間及其最早排定的 11 月 1 日重啟時間，間隔約為 57 小時 55 分鐘。該計算衡量的是到計畫重啟開始的時間，而非每位客戶受到限制的持續時間。

提款權限隨後透過個別網路和資產組合逐步擴大。在某個網路上可用的代幣在另一個網路上可能仍不可用，因此相關的營運衡量指標是客戶所需的特定提款路徑。

11 月 1 日的通知表示，前一週記錄的需求影響了重啟順序。它警告流量可能導致延遲，並告知用戶查看其所選資產和網路的狀態。

其 11 月 3 日的擴展遵循了相同的方式。幣安表示，所列路徑將在檢查後逐步重新開放，推出期間仍可能出現暫時延遲。

在該層級進行溝通對客戶而言，比交易所範圍內宣布提款已恢復更有用。客戶需要知道其資產能否離開、透過哪個網路，以及已提交的請求是否已完成。

NIST 的事件應變指引將偵測、應變與復原置於組織持續的風險管理之中。恢復服務是事件處理的一部分，同時還包括降低再次發生事件的機率以及改善應變流程。

幣安的公告提供了替換與重新開放里程碑的記錄。評估其遏制入侵的有效程度還需要技術時間線，包括何時偵測到未經授權的存取、哪些權限被停用，以及恢復的系統如何被驗證。

替換資產與追回被盜資金是不同的帳目

凍結與替換購買都能保護客戶，但若無進一步說明，它們不應被歸入單一的復原總額。前者限制攻擊者對某項資產的存取；後者則提供資產以履行對客戶的負債。

設想一個簡化的交易所，在 100 枚代幣被盜後仍欠客戶 100 枚代幣。如果該交易所購買 100 枚替換品，即使調查人員尚未歸還任何原始代幣，它也能恢復客戶的資產支撐。

假設被盜代幣中有 40 枚隨後被凍結。客戶的資產支撐仍為 100 枚代幣；不會變成 140 枚。被凍結的 40 枚代表最終有權接收它們的一方可能獲得的復原。

如果這 40 枚在客戶已獲全額補償後被合法歸還給交易所，它們可以抵銷交易所的部分損失。同樣的代幣不能同時被計為替換資產和額外的客戶補償。

幣安表示，截至 10 月 30 日，透過與執法部門、發行方及其他合作夥伴的合作，已凍結約 30 億美元。其資產替換計劃則另行推進，使用公司資源購買缺失的加密貨幣。

這些數字具有不同的日期、估值假設和目的。因此，所報告的凍結總額應被描述為在所述時點被凍結的金額，而替換進度則描述交易所為恢復資產支撐所做的工作。

將 95% 應用於四捨五入後的 63 億美元事件估計值，得出 59.85 億美元，在該估值下剩餘 3.15 億美元。這是說明性的算術，並非對確切未結採購帳單或逐代幣短缺的披露。

盜竊發生後價格會變動，而每種代幣所欠的數量不會自動隨其美元價格而改變。在某一估值下價值 3.15 億美元的剩餘代幣組合，日後收購時可能花費不同的金額。

流動性帶來了另一個差異。某種代幣可以有報價市場價格，但未必有足夠的報價接近該價格，以立即替換大量持倉。

透過場外交易櫃檯購買可以從公開訂單簿之外的持有者處取得大宗頭寸。這仍需要有意願的賣方，以及對數量、結算和價格的共識；預算的存在並不會把所需代幣放入提款錢包。

幣安關於最後一部分耗時較長才取得貨源的解釋，應對照其後續的代幣覆蓋和提款更新來評估。有意義的完成點是受影響資產的完全匹配支撐和營運存取，而非僅是一個四捨五入的美元承諾。

凍結在確定所有權之前阻止流動

穩定幣發行方有時可以透過行政控制凍結其代幣。同樣的機制對原生比特幣或以太幣的發行方則不可用，因為這些資產沒有可比的中央發行方。

Circle 的 USDC 條款 描述了區塊列入黑名單及贖回條件，包括可能阻止贖回的法律限制。根據這些條款，持有代幣、代幣被凍結以及確立贖回權是各自獨立的步驟。

地址限制會阻止特定轉帳；它本身並不能確定補償的正確接收方。所有權證據、法律程序以及資產返還安排仍可決定接下來會發生什麼。

Arbitrum 在幣安事件中採用了不同的干預方式。其安全委員會的 10月30日公告 表示，透過臨時合約升級，8,425 ETH 和 74,559,805.2 ARB 被轉移至一個持有地址。

該公告明確保留將進一步轉移交由 ArbitrumDAO 治理投票決定的權利。因此，從與攻擊者相關的地址轉出的資產並未自動轉移給幣安或其客戶。

每次干預的範圍需要保持清晰。發行方的代幣黑名單、交易所拒絕將存款入帳以及網路層級的緊急升級，在交易路徑的不同節點上發揮作用。

時機可能影響哪些資產仍可觸及。如果受限制的代幣已被兌換，凍結原始地址並不能逆轉每一筆交易，也不會自動捕獲替代資產。

FBI 公布的地址清單為服務提供商提供了洗錢調查的共同參考。它並未賦予每個基礎設施營運商相同的法律或技術能力來阻止轉帳。

對客戶而言，實際後果是：宣布凍結可能令人鼓舞，但並不代表已完成賠償。下一個報導的事件應指明資產是否已返還、返還給誰、透過何種程序以及返還數量。

幣安動用了用途不同的儲備

SAFU 是一項緊急儲備，旨在特殊情況下保護用戶。期貨保險基金通常服務於不同的功能：在抵押品不足時，彌補清算頭寸留下的損失。

幣安 動用保險儲備 使得復原資金的構成與衍生品交易者產生了關聯。該公司表示其動用了超額資源，且剩餘基金繼續滿足其風險要求。

保險基金的美元餘額並非衡量特定交易者在安全事件後將獲得多少補償的標準。它是支持交易所清算和損失管理安排的資源，受相關期貨產品規則的約束。

一個簡化的比較說明了這些各自獨立的問題。交易所可以替換所有被盜的客戶代幣，同時持有比事件前更少的清算儲備，除非它從其他來源補充該儲備。

現貨資產獲得恢復的客戶，其直接支撐問題將得到解答。期貨交易者仍需要了解當破產頭寸留下損失時可獲得的保護資訊。

這兩種結果是相容的。僅透過會計處理恢復一個資金池，並不會恢復所有對其有所貢獻的其他緩衝。

幣安 10 月 31 日的披露確定了三個資金來源，但在該公告中並未提供每個來源的分配額。因此，其關於正在使用公司資金的聲明，需要與 SAFU 和期貨儲備的各自描述一併解讀。

公開披露動用金額、剩餘金額和補充時間表將使資金影響更易於評估。此類時間表需要日期和相關儲備類別，因為單一的總餘額可能掩蓋產品之間的差異。

客戶帳戶驗證在此處還有另一條界線。幣安表示，用戶可以透過其儲備證明系統驗證自己的資產；該系統並非客戶層級對公司期貨保險基金的索賠權。

承擔盜竊損失的承諾將損失歸於幣安。解釋公司如何為該承諾提供資金，有助於客戶區分其資產的恢復與交易所其他財務保障的持續狀況。

幣安的保險基金規則說明了清算緩衝不足時的營運後果。當破產頭寸的損失超過相關可用基金時，可依產品的風險安排啟動自動減倉。

其自動減倉說明描述了一種可減少交易對手方所持頭寸的機制。這與支付安全事件索賠不同，不應被解釋為保證盈利頭寸永遠不會受到另一交易者破產的影響。

該基金也按適用的合約安排進行劃分。跨類別的總額並不能證明每一美元都可用於每一次清算事件。

這在資金被提取用於恢復後引入了進一步的披露問題：剩餘資源是否在交易所所述框架下覆蓋相關產品。被替換的失竊資產百分比無法回答該產品特定的問題。

幣安表示其剩餘儲備繼續滿足所需覆蓋率。已公布的規則另行規定，若保險基金低於所需最低限額，公司將進行出資。

儲備驗證回答的問題比審計更為狹窄

幣安於11月2日完成了10種主要加密貨幣的儲備驗證，使用10月31日00:00 UTC拍攝的快照。完成的密碼學證明允許符合條件的用戶檢查其納入情況及該快照的所述支撐。

涵蓋的資產為BTC、ETH、USDT、BNB、SOL、USDC、XRP、USD1、RLUSD和ZEC。快照時間很重要，因為它早於提款重新開放的後續階段。

在其11月2日更新中，幣安安排了11月4日涵蓋更多代幣的進一步快照。生成下一份完整證明預計需要約40至50小時。

因此，發布日期與計量日期需要分開解讀。11月2日完成的證明描述的是所述的10月31日狀況，而非在提款處理過程中持續證明每一筆餘額。

幣安的儲備證明說明描述了帳戶記錄和默克爾樹如何讓用戶檢查其餘額是否被納入。其零知識機制支持在不公開暴露每個個別餘額的情況下進行驗證。

當客戶希望獲得公司保證之外的證據時，此類檢查是有用的。它仍有明確的範圍：特定資產、特定的一組帳戶數據以及特定的計量時間。

PCAOB的投資者警示警告不要將儲備證明報告視為財務報表審計。它指出，相關程序可能遺漏負債、所有權權利、借入資產以及評估實體完整財務狀況所需的其他資訊。

其警告是一般性的，並非認定幣安最新的證明是虛假的。適當的比較是在特定證明所確立的事項與讀者可能另行假設其確立的事項之間進行。

客戶可以詢問帳戶是否被納入、所選代幣是否被涵蓋以及快照何時拍攝。評估整個公司則需要關於義務、限制、資本以及恢復中所使用資源的進一步資訊。

該回應的影響範圍超出了幣安的提款系統

離開交易所的資金可能在交易所完成初步調查之前就已到達其他服務。因此，緊急應變涉及那些本身並未遭到入侵、但可能收到被盜資產或將其作為抵押品接受的平台。

LlamaRisk 的 Aave 事件報告 描述了攻擊者集群中的一個錢包於 10 月 29 日 UTC 20:58 至 21:01 之間存入 6,000 萬 USDT 並借出 19,762 WETH。首次市場凍結隨後於 UTC 21:42 進行。

該風險提供商表示，該頭寸仍保持超額抵押，並受常規清算約束。其報告描述了採取預防性凍結的原因，因為被盜資產可能被兌換成該借貸協議所支持的其他資產。

交易所的提款暫停無法逆轉該筆借款。一旦資金到達另一項服務，應對措施便取決於該服務的權限、抵押規則以及對威脅的評估。

因此，這些分別發布的通知需要在具體行動的層面上來理解。幣安限制提款和 Aave 凍結新的借貸活動針對的是不同的交易和不同的客戶群體。

企業之間的溝通可以確定在何處可以進行干預，但這並不意味著它們的權力可以互換。代幣發行方可以限制其自身的代幣，借貸守護者可以行使協議權限，而 rollup 委員會可以使用其治理所授權的管理工具。

這些限制取決於相關服務的規則。凍結可以阻止新的活動，同時讓現有頭寸保持開放，其解除則交由授權機構負責。

幣安自身的恢復溝通還有另一類受眾：那些試圖區分官方指示與聲稱能加速提款的人員的客戶。其公開公司資訊流警告稱，它不會出售排隊位置、收取解鎖費用或要求用戶將資金轉移到所謂的安全帳戶。

該警告與分階段重新開放的方式相關。等待特定代幣的客戶有直接的理由去尋找更新資訊，而可用性在不同網絡之間確實可能有所不同。

未經請求的訊息可以利用這種不確定性，聲稱客戶需要完成額外步驟。所要求的操作可能是錢包連接、簽名或轉帳，並被包裝成恢復程序。

FBI 的 恢復詐騙警示 描述了此類騙局：所謂的恢復公司要求預付款，隨後消失或提供不充分的追蹤材料，然後再要求更多款項。該警示指出，私人恢復公司無法發出扣押令。

區塊鏈追蹤報告與扣押資產的法律權限是兩回事。識別資金去向可以幫助調查，但這本身並不能強制持有人、發行方或平台轉移資金。

FTC 的 退款詐騙指南 描述了欺騙的另一個方面：詐騙者可能知道先前損失的細節，並利用這些細節使新的接觸聽起來可信。對某起事件的熟悉並不能證明來電者代表受影響的公司。

在交易所全面恢復期間，公開公告為任何人提供了大量此類背景資訊。盜竊規模、重新開放日期和受影響資產都可以被複製到看似可信的訊息中，而無需訪問客戶的帳戶。

客戶的實際任務仍然很具體：通過交易所自身的介面檢查所選的提款路線，並區分待處理的請求與要求新的付款。公司公布的重新開放流程應解釋所需的步驟，而不依賴於未知中間人的指示。

因此，清晰的事件溝通不僅僅是提供安撫。它們為客戶提供了一個參照標準，用以核實請求，尤其是當某項聲明涉及費用、資格或所謂的補償計劃時。

提款公告本身引導用戶前往資產和網絡狀態頁面。其承諾是逐步恢復運營，並未公布任何在該隊列中購買優先權的規定。

賠償無法解釋漏洞是如何發生的

Altcoin Pro 共同創辦人兼首席研究官 Joni Zhuleku 在 11 月 2 日的一場訪談中主張，僅靠賠償並不足夠。他表示，Binance 需要解釋這次失誤，並展示更強有力的管控措施，以恢復信心。

他的立場所回應的，是與客戶能否獲得替代資產不同的另一個問題。一筆資金充足的賠償可以解決眼前的短缺，卻讓未經授權交易的成因懸而未決。

Binance 已將其財務能力以及對客戶的承諾作為安心的依據。據路透社報導，Richard Teng 於 11 月 3 日表示，公司財務依然穩健，資金流入與流出大致已恢復正常。

因此，復原的證據應同時包含資產計畫的完成，以及對交易權限所做的變更。這兩者是各自獨立的說法，可能以不同的速度推進。

以太坊的 EIP-7702 規範明確指出，已簽署的授權可以將帳戶的行為委託給程式碼。相關的實作指引警告，委託可能使指定的合約取得對資產的控制權。

對交易所而言，相關的營運問題在於其簽署政策允許什麼，包括不熟悉的交易類型與持續性的權限。一個能辨識普通轉帳的系統，仍需要能夠解讀會改變帳戶後續行為的授權。

這項比較並不能確定是哪一項 Binance 管控失效。它指出的是調查人員在重建以太坊交易、並對照其他鏈上活動時，必須納入考量的那項權限。

揭露內容應說明哪些防護性變更立即生效，哪些還需要進一步的工程作業。更換憑證、變更核准規則與重建服務是不同的行動，即使它們都出現在強化安全的一般性承諾之下。

客戶可以將最終報告與事件期間發布的註明日期通知進行比對。若公司修訂了先前的說明，最終說法應顯示是什麼新證據改變了其評估。

Binance 於 10 月 30 日的通知承諾發布一份詳細的技術報告，涵蓋此次攻擊、經驗教訓與防護措施。其下一次宣布的儲備快照原定於 11 月 4 日發布，完整的密碼學證明估計還需再 40 至 50 小時。

值得關注的重點

• 按資產完成情況：幣安是否報告對已涵蓋的10種代幣之外的其他代幣進行全額替換。
• 提款可用性：哪些剩餘的網絡和資產對恢復運作，以及處理延遲是否持續存在。
• 返還資金：區分已完成追回與仍被凍結或等待決定而持有的資產的披露。
• 儲備補充：用於恢復的SAFU和期貨保險基金的帶日期餘額及替換計劃。
• 技術調查結果：最終攻擊時間線、涉及的簽名權限以及入侵後更改的控制措施。

常見問題