30 億美元被凍結之後：託管的分水嶺，不只在技術，更在制度

市場最先追問的，永遠是那個數字——「幣安到底損失了多少錢」。

可真正值得研究的，不只是數字本身。根據幣安初步調查，此次事件的風險焦點並非已經得到證實的錢包私鑰洩露，而是指向一條更隱蔽的鏈路：簽名與授權。

託管的競賽，正從「誰的技術更硬」，悄然轉向「誰的制度更可驗證」；而對採用鏈下登記結構的 RWA 而言，制度保障還延伸至一本鏈下名冊。

一、發生了甚麼：風險焦點指向簽名與授權鏈路

先把時間線鋪開（據 Reuters、Associated Press、TechCrunch 公開報道）：10 月 29 日約 20:30 UTC（北京 10 月 30 日約 04:30），Arkham CEO 表示鏈上數據指向異動；隨後趙長鵬（CZ）稱事件「看起來像是針對幣安的黑客攻擊」，幣安確認正在調查，截至相關報道時點尚未明確確認資金被盜；披露之後，幣安暫停多個網絡的提現，約兩小時後核實的凍結總額為 25.4 億美元，Tether 與 Circle 亦分別披露凍結行動；到了 10 月 30 日，幣安表示凍結資產已達 30 億美元，且金額可能繼續增加。

幣安稍後的初步調查（截至 10 月 30 日 UTC 02:44，經 Cointelegraph 報道）揭開了更細的一層：初步估算受影響資產規模約 63 億美元，該數字不等於最終淨損失或用戶損失，其中約 30 億美元已凍結；初步線索指向一名 DevOps 工程師的筆記本被入侵，攻擊者由此進入某個服務容器，繼而提交未授權提現交易；幣安稱「未發現錢包私鑰洩露的證據」。安全公司 Blockaid 的 CEO 亦表示，這「像是對簽名基礎設施的攻破，不認為密鑰被洩露」（此為業界觀點，非官方結論，完整攻擊路徑仍待調查確認）。

在往下讀之前，有一組概念必須先釐清：凍結金額，不等於實際損失。

表一｜安全事件中的三个常见口径。资料来源：EX.IO 研究院整理

把不同時間、不同主體、不同口徑的數字簡單相加，再落筆寫成「用戶損失」，是此刻最經不起推敲的做法。釐清這些概念，不是咬文嚼字，而是風險分析的起點。

而比金額更值得記住的，是這起事件目前呈現的技術風險焦點：截至初步披露，幣安稱未發現錢包私鑰洩露的證據；現有公開資訊將注意力引向「人—終端—容器—提現授權」這條運營鏈路，但完整攻擊路徑與影響範圍仍待最終調查確認。冷存儲可以降低私鑰在線暴露的風險，卻無法單獨消除終端安全、權限配置和授權流程中的操作風險——這才是本次事件給行業帶來的重要提醒。

二、潛在衍生影響：為甚麼這不是幣安一家的事

1. 做市商可能重估結算與對手方風險。 做市商（MM）的報價、抵押與流動性頭寸，可能涉及頭部中心化交易所。當對手方的結算安全被打上問號，做市商需要評估的不僅是「損失多少」，亦是「還結算得了嗎」。若主要做市商因此降低報價意願，相關市場的買賣價差可能擴大，訂單簿深度可能下降。（此為我們的市場微結構情景判斷，並非已發生事實，仍需價差、深度及頭寸數據驗證。）市場由此重新關注的，是基礎設施的信任層；價格波動，只是其中一個可能的映射。

2. 穩定幣的「可凍結性」：是安全墊，也是權力邊界。 本次事件中，Tether 與 Circle 分別披露凍結行動，凍結清單裡包括 USDT、USDC 等主流穩定幣。同一條公鏈上的資產，原來並不擁有相同的「可干預程度」：對受害者與平台而言，可凍結性是一張安全網，為後續調查和潛在追回爭取時間；對看重抗審查性的用戶而言，它卻意味著發行方握著一把能影響資產「是否可用」的鑰匙。爭論的焦點，本不該是「凍結好不好」，而應是——這把鑰匙，是否配了一套明確的規則、可審計的程序與可及的救濟？救火的權力越大，越該被更嚴的制度收進籠子裡。

3. 信任赤字外溢，跨機構止損網絡浮出水面。 這次處置，早已不止是幣安一家的獨角戲——交易所按下暫停鍵，穩定幣發行方凍結地址，託管機構配合，鏈上分析團隊追著資金流向跑。風險阻斷，從單點動作變成了多方協同；行業安全，亦從「平台各自防守」走向「跨機構共同止損」。但網絡越密，標準就得越高：甚麼證據足以觸發凍結？誰來確認地址歸屬？如何避免誤傷無辜？用戶與交易對手又該在何時收到通知？這些答案若不清，應急的效率本身，就會變成新的治理風險。而機構對託管的要求，亦在這起事件裡悄然換了措辭——從「交易所說安全」，變成「第三方可驗證」。

三、止損能力的底層是制度：EX.IO 的託管邏輯

既然初步資訊將風險焦點指向「簽名與授權鏈路」，那麼一家持牌託管機構的安全邊界，就不該只是更厚的冷錢包，而是更可驗證的制度。以香港證監會（SFC）持牌虛擬資產交易平台（VATP）EX.IO 為例，以下安排基於公司公開資料，相關牌照、保險、審計及控制措施以最新有效文件為準：

授權治理：權限分級、操作留痕、提現審批與限額控制，是評估託管機構授權與運營風險的重要盡調項目，亦是制度層的第一道閘。

資產隔離：按 SFC 對 VATP 客戶資產保管的要求，客戶資產以獨立賬戶／信託方式隔離持有。是否計入公司資產負債表，應依據適用會計準則獨立判斷。

冷存儲：按 SFC《適用於虛擬資產交易平台營運者的指引》，平台營運者及其相聯實體原則上應將 98% 客戶虛擬資產存儲於冷存儲，個別獲證監會容許的情況除外；EX.IO 公開託管頁面亦稱 98% 的資產存儲在離線冷錢包中。

保險與審計：由 OneDegree 旗下 OneInfinity 承保數字資產託管保險，實際總保額最高可達 2.5045 億美元（受保單條款及除外責任所限）；並由第三方會計師事務所定期進行資產與財務審計。

業務邊界擴展：根據 EX.IO 2026 年 6 月公告，其託管授權擴展至可託管「非本平台交易」的虛擬資產與代幣化證券。

一句話：頭部交易所的這場信任危機，恰恰把「牌照＋隔離＋保險＋審計＋授權治理」這五類可納入盡調的制度安排，推到了機構決策中更重要的位置。而幣安關於損失承擔及後續披露的承諾，應以正式公告與實際執行為準；儲備證明如發布，亦只能提供部分資產資訊，不能替代完整財務審計或對授權治理的驗證。說到底，資訊披露的質量，本身亦是安全基礎設施的一部分——把「已確認事實、相關方判斷、第三方估算、待核查事項」分層呈現、為每個數字標註時間與來源，遠比一句脫離細節的「絕對安全」更能贏得長期信任。

四、制度延伸至名冊：RWA 的鏈下賬本

如果說託管回答的是「資產能不能安全地放在這裡」，那麼採用鏈下權利登記結構的特定 RWA（真實世界資產代幣化）產品，提供了另一個值得區分的風險視角——鏈上代幣失控，不必然等於底層法定權利當然滅失。

鏈上原生資產的轉移主要依賴私鑰控制：私鑰遺失可能導致資產無法動用，私鑰被盜則可能導致未經授權的轉移。而在部分 RWA 結構中，其法定權利由基金行政管理人、登記機構或持牌信託／公司服務提供者維護的鏈下名冊記錄，鏈上代幣是底層權益的數字化表示，權利認定還需結合名冊、發行文件與適用法律。

於是，當鏈上私鑰丟失或被盜，首先表現為鏈上控制權受損。能否凍結、註銷或補發（reissue）代幣，並恢復相應權益，取決於名冊、對賬、發行文件條款與適用法律，並需履行相應核驗和司法程序。即使具備上述安排，亦不構成恢復保證。這是一套與鏈上原生資產不同的風險結構。

當然，這一邏輯成立，有三個前提：其一，代幣與底層資產之間存在可驗證的法律鏈路；其二，名冊由獨立第三方維護，並與鏈上餘額定期對賬；其三，發行文件包含凍結／註銷／補發條款。缺了任何一條，結論便不成立；即使三條俱備，亦不意味著恢復必然實現。

亦必須把話說全：這不等於 RWA 無風險。發行人／管理人違約、名冊真實性、司法執行與二級流動性風險，依然存在——只是風險的形態，從「私鑰單點」進一步延伸至「制度與對手方」。

對採用鏈下登記結構的 RWA 而言，「代幣在鏈上流轉，權利認定還需回到名冊與發行文件」——這或許才是這次事件之後，特定 RWA 結構相對鏈上原生資產最容易被市場重新掂量的地方。

結語：給機構的盡調清單

一個成熟市場的標誌，從來不是「永遠沒有事故」，而是事故發生時——事實能被驗證，風險能被隔離，責任能被追蹤。對正在評估託管與 RWA 的機構讀者，三條盡調問題，可直接拿去用：

• 誰持有私鑰、誰能單方授權提現——是否有多簽、限額與授權隔離？

• 出事誰賠、賠多少、保單除外責任是甚麼——兜底機制是否可外部驗證？

• 資產的法定權利記在哪裡——主要依賴私鑰控制，還是「鏈上憑證＋鏈下名冊＋補發機制」？

🔗 Sources

1. Reuters — Crypto exchange Binance freezes assets after $6.3 billion security incident
2. Associated Press — Binance flags ‘potential security issue,’ says crypto firms froze more than $2.5B
3. TechCrunch — Binance pauses withdrawals as hackers suspected of stealing billions in crypto
4. Cointelegraph — Binance points to engineer’s hacked laptop in $6.3B breach（該文於 10-30 02:44 UTC 更新）
5. Cointelegraph — Live updates: Binance says $6.3B hack involved compromised engineer’s laptop（滾動更新，數字會變）
6. 香港證監會 —《適用於虛擬資產交易平台營運者的指引》
7. EX.IO — 虛擬資產託管專頁；2026 年 6 月獨立託管服務獲批公告
8. EX.IO — EX.IO Further Strengthens Digital Asset Custodial Insurance with OneInfinity by OneDegree Providing Up to USD 250 Million（2026 年 4 月 16 日）

Disclaimer

本內容由 EX.IO 研究院基於公開資料撰寫，僅供一般市場資訊及教育參考，不構成投資建議、法律意見、合規意見、交易建議、要約、招攬或推薦。數字資產及代幣化產品價格波動較大、風險較高，投資者可能損失全部本金，過往數據不代表未來表現。本文含前瞻性與分析性判斷；涉及幣安等第三方資訊基於公開來源，未經獨立核實。本文由 EX.IO 研究院出品，涉及本公司業務與產品；不構成對任何平台安全性、償付能力、資產安全或損失承擔安排的保證或獨立驗證。本文涉及的部分特定產品（如代幣化證券等）僅限專業投資者（PI）。數據截至 2026-10-30 UTC 02:44，事件仍在演進，具體數字可能變化。如涉及法律、合規、稅務或投資判斷，應諮詢合資格專業顧問。