37 分钟冻结近 10 亿美元：币安 63 亿劫案把稳定币监管推向新焦点

10 月 29 日深夜，攻击者用约 20 分钟从币安热钱包转走 63 亿美元，创下加密史上最大劫案。37 分钟后，Tether 冻结了 9.7 亿 USDT。同一天，Tether 公布超额储备翻倍至 79.5 亿美元。冻结速度与储备规模同台亮相，稳定币监管的争议点从”储备够不够”转向”冻结权归谁、如何约束”。

20 分钟盗走 63 亿：签名基础设施的沦陷

10 月 29 日 20:24 UTC，攻击者清空了币安的主以太坊热钱包，一次性转走 14,167,464 ETH 与 63 种代币，其中包括约 16.15 亿 USDT。据 TRM Labs 统计，资金从币安控制的钱包流向攻击者地址，横跨 10 条区块链，合计约 63.6 亿美元，大部分在约 20 分钟内完成。这一规模相当于 2025 年 2 月 Bybit 劫案（15 亿美元）的四倍，成为有记录以来最大的加密盗窃事件。TRM Labs 以高置信度将攻击归因于朝鲜支持的黑客组织 TraderTraitor，FBI 在 10 月 31 日正式点名同一单位。

攻击方式的特殊性在于，问题出在签名基础设施而非单一私钥。多个链上钱包使用不同的密钥与签名方式，却都产出了攻击者想要的合法签名，TRM 据此判断攻击者控制了币安自身的签名系统，使其能够批准任意交易。在以太坊上，攻击者利用近期升级 EIP-7702 的委托授权特性，预先准备 50 份来自币安热钱包的签名授权，借助 nonce 批量机制确保其中一份在提交时有效，随后接管钱包并清空资金。币安最初的调查指向一名 DevOps 工程师的笔记本被入侵，联席 CEO Richard Teng 随后修正口径，称这是涉及恶意软件清除痕迹的复杂攻击，而非单个工程师权限被滥用。

币安随即暂停提现，并启动有史以来最大规模的资产修复。截至 10 月 31 日，被盗资产已补足 90% 至 95%（约 60 亿美元），动用的资金来自 10 亿美元的用户安全资产基金（SAFU）、期货保险基金与公司金库，其中 SAFU 动用 50%，公司将回补至约 10 亿美元。11 月 1 日 6 时 UTC 起，提现分阶段恢复，首批覆盖 15 条网络，包括 BTC、ETH、BNB、SOL、XRP、DOGE、TRON、AVAX 及 USDT、USDC 等稳定币。币安承诺全额承担财务损失，并计划在调查完成后公布技术报告。市场层面，比特币 10 月 29 日盘中一度跌破 79,000 美元，10 月 31 日报 77,315 美元，低于 50 日均线 81,893 美元；Coinbase 股价两周内从 183.81 美元跌至 143.54 美元，穆迪提醒热钱包的集中风险再次暴露。

37 分钟冻结竞赛：稳定币第一次当上执法工具

这场劫案中最值得关注的不是被盗金额，而是追回速度。稳定币发行方第一次在大规模攻击中集体行使冻结权，过程以分钟计。

Tether 合计冻结约 17.7 亿 USDT（含后续扩展），Circle 冻结约 8.25 亿 USDC，加上 Ripple 的 RLUSD、World Liberty 的 USD1 与 Arbitrum 安全理事会的紧急转移，币安宣称约 30 亿美元已被控制。但冻结不是终点。TRM Labs 的政策主管 Ari Redbord 对 CNBC 说：”冻结阻止资金流动，追回则要通过法律程序。”Chainalysis 的 Eric Jardine 补充说，资金返还”可能需要数月乃至数年”。攻击者在冻结到来前已经开始兑换：约 3.25 亿 USDT 经 UniswapX 以超过 10% 的折扣卖给做市商换成 ETH，又在 Aave 上抵押 USDT 借出约 19,760 ETH，还使用”peel chain”手法把 BTC 层层拆分。TRM 估计约 24 亿美元已变成 ETH 与 BTC，超出任何发行方的冻结范围。

速度并不是这次事件最耐人寻味的部分，时机才是。Tether 在 21:01 行动时，还没有任何机构公开把攻击归因于朝鲜；TRM 的归因分析在数小时后才发布。一小时内拿不到任何法院命令，Tether 未披露收到执法请求，Circle 称与执法部门协调但未指明具体命令。依据公开记录，近 10 亿美元在法院对所有权作出裁定之前就被冻结了，支撑冻结的只是”盗窃正在进行”的证据，以及未被公开的非正式官方接触。这正是 EFRI 简报提出的核心问题：如此强大的干预能力，第一次大规模展现在公众面前，却没有任何已公布的触发标准。

谁能触发冻结：监管框架的留白与裂缝

发行方之间的做法并不一致，这种不一致在一年前的另一场事故中已经显露。2026 年 4 月 1 日 Drift Protocol 漏洞利用事件中，Circle 拒绝了冻结被盗 USDC 的请求，CEO Jeremy Allaire 当时表示，Circle 只在执法部门或法院指示下冻结资产，单方面干预”构成严重的道德困境”。而在此次币安事件中，Circle 在攻击后 40 分钟就冻结了 8.2 亿 USDC。同一家公司，两种行为模式，中间隔着一场规模大得多的劫案和明确的执法协调。纽约州总检察长 Letitia James 与四位地区检察官今年 1 月致信参议员，指出 Tether 会在执法要求下冻结、销毁和重发行 USDT，但不承认存在法律义务；Circle 则仅依据签署的司法命令或搜查令行事。

监管文本也留下了同样的空白。美国 GENIUS 法案第 4(a)(6)(B) 条要求发行方具备遵守合法命令的技术能力，其中”合法命令”被定义为明确指明特定稳定币的联邦法院或机构最终命令；第 4(a)(5) 条指示财政部制定阻止、冻结和拒绝非法交易的程序。但国会研究服务指出，法案没有明确发行方应当主动行动还是仅依据合法命令行事，”谁可以触发保全”是开放的。欧盟一侧，MiCA 第 48、49、55 条没有与 GENIUS 能力规则对应的条款，第 94(3) 条只允许监管机构为市场滥用任务请求冻结；指令 (EU) 2024/1260（资产追回与没收）第 11 条允许成员国在冻结令下达前采取立即保全措施，资产追回办公室可执行最长 7 天的紧急措施，转置截止 2026 年 11 月 23 日，但该指令经由国家机构运作，受害者没有直达发行方的通道，办公室能否在数小时内触达外国发行方的代币合约，尚未经过测试。

79.5 亿超额储备：Tether 在同一天发布最强答卷

10 月 30 日，也就是劫案发生的第二天，Tether 发布了由 BDO 出具的第三季度认证：总储备资产 1,915 亿美元，负债 1,835 亿美元，超额储备 79.5 亿美元，较 6 月末的 41 亿美元几乎翻倍；第三季度净营业利润 15 亿美元，2026 年前三季度累计 45 亿美元。储备构成中，直接与间接持有的美国国库券合计 1,324 亿美元，加权平均久期低于 90 天，规模接近韩国持有的 1,342 亿美元美国国债，超过阿联酋的 1,161 亿美元。其余包括 190.8 亿美元实物黄金、83.7 亿美元直接持有的比特币（9 月 30 日价格 83,621.23 美元）、141.8 亿美元担保贷款与 41.8 亿美元公开上市股票。CEO Paolo Ardoino 称，保持盈利与超额储备的目的，是让 USDT 在市场承压时仍然可靠，并提到 USDT 用户数突破 7 亿。

这份认证与冻结行动在同一天曝光，构成了一组耐人寻味的对照。超额储备的翻倍，一半来自比特币持仓的估值上涨：直接持有的比特币从 58 亿美元升至 84 亿美元，其中约 26 亿美元来自币价上涨而非新增资金。最流动的储备类别反而缩水，现金、现金等价物与短期存款从 1,406 亿美元降至 1,395.8 亿美元，占储备比例从 74.9% 降至 72.9%，原因是隔夜逆回购从 186 亿美元减至 95 亿美元，转向直接持有的国库券（从 1,150 亿增至 1,228 亿美元）。换言之，缓冲增厚的同时，最流动部分的比例在下降，而比特币与黄金在储备中的占比在上升。

更值得留意的是认证的边界。BDO 的认证是时点评估而非全面审计，报告注明估值基于正常市场条件，在极端扰动或对手方流动性枯竭时，资产可实现价值与账面价值存在差距。Tether 在 8 月完成了由 KPMG US 出具的首份全面独立审计，但审计后的财务报表没有公开。同时，Tether 披露了一起尚未计提准备金的纽约集体诉讼，指控涉及 2017 至 2018 年比特币价格下跌，管理层表示无法可靠估计结果。一边是史上最快的大规模冻结，一边是尚未完全经审计的资产负债表，这两件事同时发生，才是这次事件完整的面貌。

对从业者的一些启示