（来源：纪中展讲决策）

对于标题，先说结论：美国联邦调查局（FBI）10月31日公开表示，朝鲜应对币安遭遇的超过60亿美元虚拟资产盗窃负责，并把相关网络行动称为“TraderTraitor”。区块链安全机构TRM Labs此前也作出了同样的归因。

需要说明的是，这是执法机构和调查机构的公开归因，不是法院判决。币安的完整技术调查报告尚未公布，朝鲜方面截至目前也没有公开回应。所以“谁干的”只是问题的一半，另一半是：钱怎么转走的？转走之后怎么变现？银行同样会被攻击，为什么交易所更容易出现这种量级的损失？币安又凭什么在几天内承诺补足用户资产？

钱是怎么转走的

10月29日，币安多条区块链上的钱包在短时间内发生未经授权的转账。TRM Labs根据链上记录估算，约63.6亿美元资产在大约20分钟内转出，涉及十条区块链。币安随后确认，受影响的代币资产约63亿美元。

交易所要处理用户的日常提现，必须把一部分资产放在联网的“热钱包”里。每笔转账都要经系统批准、生成有效签名，才会被区块链网络执行。币安10月30日公布的初步调查称，攻击可能涉及一台被入侵的DevOps工程师电脑，攻击者借此进入内部服务，提交了未经授权的提现交易。币安表示暂未发现私钥泄露，随后又说发现了最初怀疑之外的其他入侵点，完整攻击路径仍在调查。

TRM的链上分析显示，以太坊上的部分转账使用了特殊授权，让钱包按攻击者控制的程序执行交易；其他多条链上的币安钱包也在相近时间发出了签名有效的转账。TRM据此判断，攻击者可能触及了热钱包的签名基础设施。这是TRM的分析，不是币安公布的最终结论。

通俗地说，黑客未必破解了区块链，也未必拿到了私钥，更可能是控制了“批准转账的那套系统”，让系统替他们签了字。区块链只验证签名是否有效，不会判断签名背后的指令有没有经过合法授权。

转出只是第一步。攻击者还要继续转移、兑换，躲开冻结，才可能变成能花的钱。FBI称，调查人员观察到攻击者主要把被盗资产换成以太坊，预计后续会通过去中心化金融服务和即时兑换服务继续转移。

这里有三个容易混在一起的数字：转出时的估值，不等于黑客最后拿到的现金；冻结，不等于追回；交易所补足用户余额，也不等于追回。截至币安10月30日的公告，合作方已在链上冻结约30亿美元相关资产。

黑客偷币，这是币圈的老问题

黑客偷币不是单一手法，不同案件被攻破的环节不同，有交易所内部系统，有跨链桥，有智能合约，也有钱包管理。

2014年Mt. Gox倒闭，约85万枚比特币一度下落不明，美国司法部后来起诉的案件中，还指控有人在该交易所多年盗取约64.7万枚比特币。

2022年，Ronin跨链桥被盗约6.2亿美元，FBI确认朝鲜相关组织Lazarus Group和APT38负责；跨链桥要判断另一条链上的交易是否真实，验证机制失守，资产就会被无授权转出。

同年Harmony的Horizon跨链桥约1亿美元被盗，FBI同样归因于Lazarus Group。

2023年，FBI又把Alphapo约6000万美元、CoinsPaid约3700万美元、Atomic Wallet约1亿美元的案件，列入朝鲜相关组织的加密货币盗窃活动。

2025年，Bybit被盗约15亿美元，FBI认定与TraderTraitor有关，称攻击者把资产分散到数千个地址继续兑换转移。币安此次规模更大，FBI把两起事件归到了同一个组织名下。

这些案例的共同点，不是区块链总会被攻破，而是加密资产高度依赖密钥、签名权限和代码规则。只要一个关键环节失守，转账就会被执行，而链上确认之后，没有银行转账那样的常规撤销流程。

为什么认定是朝鲜黑客

FBI和TRM都把这次攻击归因于TraderTraitor。FBI在Bybit案和这次币安案中使用了同一个名称，此前也把多起加密资产盗窃归因于Lazarus Group等朝鲜相关组织。

归因很少靠一个链上地址就能完成，调查机构通常综合攻击程序、操作习惯、资金流向、网络基础设施以及不同案件之间的关联。TRM称其判断来自链上和链下情报；FBI则发布了针对TraderTraitor相关地址的警报，要求行业机构拦截相关资金。朝鲜长期否认与国家有关的网络攻击指控。

银行也被黑，为什么币圈损失更集中

银行一直是攻击目标。2016年孟加拉国央行遭入侵，攻击者通过接入SWIFT系统的银行终端发送伪造付款指令，企图从纽约联储账户转走近10亿美元，最终约8100万美元被转出。美国司法部后来在起诉文件中称，攻击者是通过钓鱼邮件进入银行网络的。欧洲银行管理局的报告也显示，2024年下半年约三分之一受调查银行至少遭遇过一次成功的网络攻击，但多数后果是账户访问、支付服务或网银中断，与“客户存款被整体转走”不是一类结果。

差别首先在资产的性质。银行账户余额是银行账本上的存款债权，出现异常交易，银行可以调查、冻结、联系支付机构，并按法律和业务规则处理争议，当然，能不能追回要看国家、支付方式和个案，不能保证每笔都能收回。

加密货币转账由区块链网络按签名和协议执行，确认之后通常没有可用的“撤回”键。用户把币交给交易所保管，交易所就成了高度集中的托管点，一旦它控制钱包的权限系统失守，大量资产会同时暴露。

当然，保障制度也不同。以美国为例，FDIC存款保险保护的是银行倒闭时符合条件的存款，不承保盗窃或欺诈损失；币安的SAFU是交易所自己设立的用户保障基金，两者不是一回事。银行被攻击后，还有账户、银行、支付网络、监管和司法等多个环节可以介入；币圈交易更全球化、速度更快，追回资金需要交易所、稳定币发行方、区块链服务商和执法机构同时行动。

币安为什么能先行补足

币安称，截至11月1日已补足约95%的受影响资产，剩余约5%主要是流动性较低的代币，将继续通过市场和场外渠道购买；提现分阶段恢复，第一阶段安排在北京时间11月1日14时至17时。

可以说币安值得肯定，补足资金来自三块：用户保障基金SAFU、期货保险基金的一部分，以及公司自有资金。

SAFU设立于2018年，币安称其部分来自交易手续费，规模曾维持在约10亿美元。这个体量远不足以覆盖63亿美元，所以必须动用其他资金。这次处理里最关键的一步，是币安没有等追赃结束才决定保障用户，而是先承诺用自有资金补足，再继续追踪冻结。这降低了挤兑和信心崩塌的风险，也为调查修复争取了时间。

不过要看清边界：补足用户资产不等于追回被盗资产，也不等于平台的整体财务状况已经过独立审计。目前能确认的，是币安公开作出了补足承诺、说明了资金来源并持续更新进度，完整技术报告和后续资金追踪结果仍待公布。

还没有答案的部分

我的标题里的问题，截至目前只能这样回答：FBI认为是朝鲜黑客组织TraderTraitor所为，TRM Labs作出了相同归因；币安已承诺承担用户损失，并称约95%的受影响资产已补足。

至于黑客如何进入系统、剩余资产能否追回、最终会查明哪些责任，答案还没有出来。

交易所本质上是资产托管机构，该用评价托管机构的标准：权限怎么分、签名怎么审批、出事后谁兜底。

币安这次靠交易规模和应急储备先行补足，下一家交易所未必有这个能力。钱可以在20分钟内转出，信任要花多长时间建立和重建。