保险柜之外，钱是怎么丢的？
从一个钱包的"加速"按钮到交易所的热钱包，追问签名这一步由谁控制
30 秒结论
保住一块芯片，和保住一笔钱，不是同一件事。最近一个月披露的三起事件，把问题推到了保险柜外面的三个地方：钱包信了谁提供的交易，能重建钱包的秘密在显示时被谁看见，谁能让系统替你签名。三起事件的证据程度不同，但都在提醒：只问钥匙藏在哪，还不够。
一 · 从一次"加速"开始
你发出一笔比特币付款，迟迟不确认。钱包给了你一个按钮：多付一点手续费，加速。
在比特币钱包 Electrum 的旧版本里，这个按钮可能让你签下一笔付给攻击者的交易。
Electrum 是一种"轻钱包"：它不下载整条区块链，而是向服务器打听还没确认的交易，并且在设计上信任服务器的回答。按 Electrum 10 月 24 日的安全公告，恶意服务器会把你刚发出的付款扣下，换上一笔付给攻击者的假交易给你看。那笔假交易本身没有有效签名，旧版钱包也没有检查。你点了"加速"，钱包就为它签出一个有效的新版本——攻击者的付款，从这一刻起成真了。
公告提到，被报告的案例里，攻击者的地址特意凑成和真实地址末四位相同；假交易的手续费是零，"大概是希望用户去加速它"。
新交易的签名可以通过验证，但付款对象已经错了。 钱包签的，是服务器给它看的那笔交易。Electrum 4.8.3 的修复，是先核验"花费本钱包地址资金"的待确认交易的签名；别人付给你的待确认交易，在被打包前仍不核验（安全公告）。
同一类问题，2025 年 2 月出现在交易所的多签钱包里。那次 Bybit 被盗约 15 亿美元，FBI 认定是朝鲜所为（FBI 公告，2025-02-26）。Bybit 使用的多签钱包服务商 Safe 的初步结论是：一台开发者电脑被入侵，导致提出了一笔"伪装的恶意交易"；外部取证没有发现 Safe 智能合约有漏洞（Safe 声明，2025-02-28）。两起事件的机制不同，共同点只在一处：签名之前的信息或呈现环节被利用了。
二 · 能重建钱包的秘密，在显示时被看见
硬件钱包的设计目标，是让管理资金的私钥只在一块安全芯片里使用，不离开设备。但还有另一个秘密：初始化时显示的 24 个助记词。它们能在别的设备上重建整个钱包。显示和抄写这一步，同样在安全边界之内。
按 Ledger 安全实验室 Donjon 10 月 13 日的描述，在东南亚经销商 CryptoBilis 卖出的一台受影响设备里，确认有一个藏在外壳内的植入元件。它读取屏幕上显示的内容；设备显示助记词时，它把单词解码，通过一张预装的 eSIM 用移动网络发出去。Donjon 说，它"没有修改安全芯片或 Ledger 操作系统，也不改动交易或签名"。
所以芯片完好，并不说明钱安全：助记词一旦被人拿到，攻击者可以在别处重建签名所需的密钥。Ledger 的"正品检测"核验的是那块芯片的身份；它的购买指南写明，检测"无法发现对硬件的未授权物理改动，比如间谍植入，只要原装安全芯片完好"（指南，10 月 19 日访问版本）。
三 · 这一次，签的不是付款
最后一起，发生在交易所的热钱包。
2026 年 10 月 30 日北京时间 04:20（10 月 29 日 20:20 UTC），一笔交易打进币安 14 号热钱包，携带 50 份 EIP-7702 授权，每一份都由这个钱包自己的私钥签过名，编号连成一串（Etherscan 授权列表）。据授权列表及本笔交易的状态变化，这笔交易前后，币安 14 号钱包的计数器从 18,914,809 变成 18,914,810，只加了 1：50 份授权里，只有一份生效。
要紧的是这一份授权的性质。EIP-7702 是以太坊 2025 年加入的功能，允许一个普通钱包把自己的执行逻辑指向一段程序代码（EIP-7702 规范）。签下的不是一笔付款，而是一份交出操作方式的授权。如果那段代码允许攻击者调用，之后的资金操作就可能不再需要原持有人逐笔确认。这里的代码具体允许什么，还要看合约代码和调用记录；这不是所有 EIP-7702 授权的共性。
币安自己怎么说？首份公告称，事件可能始于一名运维工程师的电脑被入侵，攻击者借此进入一个服务容器，提交了未经授权的提现交易；"到目前为止，我们还没有发现钱包私钥泄露的证据"。随后发布、落款为 10 月 30 日的第二份更新说，后续调查发现了"更多入侵点"，仍未发现私钥泄露的证据，并撤销了受影响的授权（币安，10-30）。
区块链分析公司 TRM 补了一块拼图：以太坊之外，币安在其他几条链上的钱包，用的是普通的签名转账。TRM 观察到，多条链、不同密钥类型的钱包都为攻击者发出了有效签名，并据此判断，最可能涉及币安热钱包签名系统被操纵（TRM，10-29）。这是分析机构的判断，不是币安的结论。
把这些放在一起，一种可能的解释是：攻击者没有把私钥偷出来，而是让保管私钥的系统替他签了名。这是我们的推断，不是已经证实的事实。"未发现泄露的证据"也不等于"已经证明没有泄露"。签名究竟怎么来的，还需要更完整的技术证据；币安说会发布详细的技术复盘。
四 · 放在一起看
| 已知边界与证据 | 出问题的那一段 | |
|---|---|---|
| Electrum 旧版 | 该攻击路径不需要先取得钱包私钥；漏洞在钱包对服务器数据的信任（安全公告） | 钱包签了服务器给它看的假交易 |
| Ledger 植入 | 安全芯片未被修改（Donjon 声明） | 能重建钱包的助记词在显示时被读走 |
| 币安热钱包 | 未发现私钥泄露的证据（币安声明）；只有一份授权生效（链上记录） | 一份移交操作方式的授权被有效签名；签名从哪来，待复盘 |
三起事件的证据程度不同，机制也各不相同。相同的结局，不要求相同的机制；正是把它们放在一起，才看得清每一起断在哪里。归纳下来，是保险柜外面的三个问题：
1. 签的是什么？ 你看到的交易内容，是谁给你的？它是一笔付款，还是一份授权？ 2. 能签名的秘密，被谁看见过？ 助记词在什么时候、在什么屏幕上显示过？ 3. 谁能让它签？ 谁能向签名系统提出请求，系统会签哪些类型的东西？
落到普通持有人手上，是几个具体的习惯：
- 用 Electrum 的，升级到 4.8.3 或更新版本；任何钱包，签名前把收款地址从头读到尾，并核对金额（札记 010）——这能防住一部分骗局，但代替不了修复漏洞；
- 硬件钱包从厂商或官方授权渠道购买，知道"正品检测"查的是芯片，不是整台设备（札记 003）；
- 看到"授权""委托""批准"之类的签名请求，先弄清它要的是一次付款，还是之后的操作权限。
交易所那一段，持有人看不见，只能看交易所事后说了什么、拿不拿得出证据。
五 · 还不知道的
- 币安的签名从哪来。 仍需更完整的技术证据；我们把它写成了下面的推论一，到期对账。币安在北京时间 10 月 31 日 03:58 发布的更新 #2 中表示，预计约 48 小时内分享进一步技术发现，前提是这些发现已经核实，且披露不会影响正在进行的调查。若以该帖发布时间估算，约对应北京时间 11 月 2 日 03:58；这是带条件的预计时间，不是完整根因报告的无条件截止日。
- Ledger 的设备在哪个环节被改动。 Ledger 说调查仍在进行。
- 这些边界分别依据安全公告、当事方声明和链上材料，证据程度不同。 本文据此讨论，不替任何一方担保。
赔付和提现是另一件事，也要分开看。币安称将用公司资金承担全部损失；据报道，币安 10 月 31 日称已补回约九成被盗资产，计划 11 月 1 日开始恢复提现；它已发布一份储备快照，能让用户自行核验余额的完整密码学证明预计 11 月 3 日发布（CoinDesk，10-31）。这些披露涉及资金补足和提现安排，回答不了签名是怎么被拿到的。
最后问你一个问题：你上一次点"确认"之前，除了地址和金额，有没有看过它要的是一次付款，还是之后的操作权限？ 欢迎留言。
判断账本 · 本文的两条可检验推论
以下是 IKOL 的判断，到期公开对账。判定规则见附三。
| 编号 | 推论 | 回溯 |
|---|---|---|
| 一 | 截至 2027-03-31，币安的官方技术复盘或正式技术说明，会把 10 月 30 日那批授权的有效签名归于其热钱包签名系统被未授权调用、诱导或绕过审批，并明确排除 Binance 14 私钥或足以独立签名的分片外泄 | 2027 年 4 月 |
| 二 | 2026-11-01 至 2027-06-30 期间，至少再发生一起损失 ≥1 亿美元的交易所或托管机构被盗，且官方说明同时表示未发现私钥泄露证据（或私钥未泄露），以及交易数据被伪造或签名/审批流程被利用 | 2027 年 7 月 |
附一 · 本文的事实、报道与判断分界
| 类别 | 内容 |
|---|---|
| 一手文件（原稿作者已核阅，快照见附二） | Electrum 安全公告；Ledger Donjon 更新与购买指南；币安首份公告、安全更新 #2、联席 CEO 视频文字稿；Etherscan 授权列表与状态变化页；EIP-7702 规范；FBI 2026-10-31 公告 |
| 一手文件（Codex 复核已核阅，11-01） | Electrum 安全公告；Ledger 现行购买指南；Safe 2025-02-28 声明；FBI 2025-02-26 公告；EIP-7702；FBI 2026-10-31 公告；Etherscan 状态变化截图；TRM 博客；币安安全更新 #2 原件 PDF（第 2–5 页） |
| 分析机构 | TRM Labs 博客（10-29）：跨链签名的观察与判断 |
| 报道 | 币安 10-31 补回九成、恢复提现计划、储备快照与完整证明时间（CoinDesk）；Bitget 初步调查结论（investingLive 转述，原文未独立回核，只用于推论二的背景） |
| IKOL 的判断 | "保险柜之外"的框架；三个问题；第三节"让保管私钥的系统替他签了名"是一种可能的解释；判断账本两条推论 |
| 不知道 | 币安签名的来源；EIP-7702 那段代码的具体权限；Ledger 设备被改动的环节与地点；各案的完整损失与追回 |
| 不在本文范围 | 哪家交易所或哪款钱包更安全；产品推荐；价格与交易建议；对任何机构能力或动机的评价；攻击者身份（只引述 FBI 与分析公司的说法） |
附二 · 出处
研究层 · 一手文件
| 事实 | 文件 | 日期 | 快照 |
|---|---|---|---|
| 恶意服务器替换交易；加速后签下有效版本；末四位；零手续费；4.8.3 修复范围 | Electrum 安全公告 GHSA-6jp4-8v48-cc5v | 2026-10-24 | docs/notes/N010_evidence/（10-26 截取） |
| 植入读取屏幕、eSIM 外发；不改芯片与签名 | Ledger 在 X 上的 Donjon 更新 | 2026-10-13 | N013_evidence/、N003_evidence/（10-19 截取） |
| 正品检测的边界 | Ledger 购买指南 | 10-19 访问版本 | N013_evidence/Best Practices….pdf |
| 运维工程师电脑、服务容器、未发现私钥泄露、约 63 亿美元 | 币安《安全事件进展通报》；联席 CEO 视频文字稿 | 2026-10-30 | N013_evidence/（10-30、10-31 截取） |
| 更多入侵点；撤销受影响授权；约 48 小时内公布更多技术发现；技术复盘承诺 | 币安安全事件更新 #2（落款 10-30，X 显示发布于北京时间 10-31 03:58） | 2026-10-30 | N013_evidence/(6)…Update #2….pdf（10-31 截取） |
| 50 份授权、连号、仅 18,914,809 标为有效 | Etherscan 交易 0xad99264d… 授权列表 | 2026-10-29 UTC | N013_evidence/…Etherscan-B.pdf（10-30 14:18 截取） |
| Binance 14 计数器 18,914,809 → 18,914,810 | 同一交易状态变化页 | 同上 | N013_evidence/Etherscan_0xad99264d_statechange_20261101.png（11-01 截取） |
| 授权机制与计数器规则 | EIP-7702 | 2025 | N013_evidence/EIP-7702….pdf |
| Bybit：开发者电脑被入侵、伪装交易、合约无漏洞 | Safe 生态基金会声明 | 2025-02-28 | 11-01 读取 |
| Bybit：朝鲜、约 15 亿美元、TraderTraitor | FBI 公告 I-022625-PSA | 2025-02-26 | 11-01 读取 |
| 币安：朝鲜、逾 60 亿美元、TraderTraitor | FBI 公告 | 2026-10-31 | N013_evidence/What We Investigate Terrorism.txt（全文文本，11-01 保存） |
分析与报道
| 内容 | 来源 | 日期 |
|---|---|---|
| 多条链、不同密钥类型的钱包发出有效签名；判断最可能涉及签名系统被操纵（TRM 另记有约 23:05 UTC 的第二波） | TRM Labs | 2026-10-29 |
| 补回约九成、恢复提现计划、储备快照、完整证明预计 11-03 | CoinDesk | 2026-10-31 |
| Bitget 初步结论 | investingLive | 2026-09-25 |
发现层 · 系统归档
IKOL 系统归档 2026-08-05 至 2026-11-01，以 Electrum、Ledger 植入、硬件钱包、EIP-7702、热钱包、Bitget/Bybit/币安被盗、私钥、多签、签名基础设施等为关键词检索，标题去重后 158 条（8 月 13、9 月 26、10 月 113、11 月 6）。Bybit 2025 年事件在归档窗口之外，由 FBI 公告与 Safe 声明补齐。
附三 · 推论判定规则（内部冻结于 2026-11-01，v4）
推论一（截止 2027-03-31，2027 年 4 月核验）：只以币安官方发布的技术复盘或正式技术说明为准（官网、官方博客、官方 X；媒体转述不算）。分两项：（A）明确把 10 月 30 日那批授权的有效签名，归于其热钱包签名系统被未授权调用、诱导或绕过审批——"签名系统"含币安自建或由供应商提供、用于其热钱包出签的系统；（B）明确给出排除 Binance 14 私钥或足以独立签名的私钥分片外泄的调查结论。A、B 分别记支持、否定或未能检验。任一项被正式技术说明明确否定，复合推论不命中；两项都支持才命中。其余保留分项结果。截止日前未发布，技术项记未能检验，另记"截至 IKOL 预设截止日未见符合定义的技术披露"；已发布但信息不足，记"已披露，相关技术项仍未能检验"。这些标签不判定币安违约或逾期。本推论检验的是官方披露是否与推论一致，不代表官方说明穷尽真实原因。 推论二（截止 2027-06-30，2027 年 7 月核验）：时间一律按 UTC。事件发生与官方说明发布都须在 2026-11-01 至 2027-06-30 之间，晚于截止日的披露不计。损失按事发时被未经授权转走的资产总额计：以机构公布数为准；没有机构估值时，须有至少两个独立估值来源（两家媒体引用同一家链上分析机构只算一个来源），且预定独立来源的可信估值均 ≥1 亿美元才满足门槛；估值跨 1 亿美元门槛且无法解决差异时，优先记"待定"，不用较低者直接判不命中；报告中保留全部已发现的可信估值及其来源；不以赔付、追回后的净损失替代。"官方说明"指机构公告、官方账号或 CEO/联席 CEO 的公开发言，须同时包含两层意思：（甲）未发现私钥泄露证据，或私钥未泄露/未被盗；（乙）交易数据被伪造、签名或审批流程被利用、或系统被诱导签名。同一事件以截止日前最新的正式说明或更正为准；同一攻击的后续披露不另算一次；币安 2026 年 10 月事件不算。预定检索渠道：机构官网与官方 X、CoinDesk、Cointelegraph、The Block、路透。未找到：记"按预定公开证据标准未命中"。
附四 · 补充记录
- 授权编号与计数器：50 份授权的 nonce 为 18,914,775 至 18,914,824，Etherscan 授权页只把 18,914,809 标为有效，页面按编号排序显示，未显示原始列表顺序。按 EIP-7702 规范，每成功处理一份授权，账户计数器加 1；状态变化页显示 Binance 14 的计数器在这笔交易前后为 18,914,809 → 18,914,810，与"只有一份生效"一致（同一页面上，发起交易的攻击者地址计数器 10 → 11，是它自己发交易的正常递增）。交易时间 2026-10-29 20:20:59 UTC；币安更新 #2 称热钱包约在 20:05 UTC 被攻破
- 攻击地址：发起本笔授权交易的地址 0x7C8601d4…5CA0 经 Tornado Cash 注入 0.1 ETH；该地址的首笔链上活动（创建合约）比这笔授权交易早约 18 小时。这只是单个地址的观察窗口，不代表整个攻击的准备时长（札记 013）
- 冻结：Tether 冻结超过 15.67 亿 USDT，Circle 冻结超过 8 亿 USDC；币安称链上冻结约 30 亿美元。被转走的 ETH 和比特币没有同样的发行方冻结机制。冻结不等于追回（札记 013）
- Ledger 案的数字：链上分析公司 Bitquery 10-16 估计 6 条链上 335 个钱包被转走 1.02 亿美元；钱包数不等于受害人数或设备数，每个钱包的暴露原因未逐一确定（札记 003）
- 攻击者身份：Bybit 案、币安案均为 FBI 认定（2025-02-26；2026-10-31，均称 TraderTraitor）；FBI 币安公告不涉及签名来源，不能据此判断私钥是否外泄
- Bitget（2026-09-24，约 3.516 亿美元）：据 investingLive 转述其初步调查，攻击者入侵后端钱包系统、伪造转账信息，进入了原有签名流程，私钥泄露已被排除；CEO 在直播中称可能与朝鲜有关，但未确认。原文未独立回核，只作推论二的背景
- 日期：Electrum 10-24 为公告与修复发布日，攻击此前已发生（首次报告 10-11）；Ledger 植入 10-10 确认、10-13 公布；本文"最近一个月"指披露时间