近 4 亿美元加密大劫案幕后：事件发生的核心原因是？投资者应如何规避？

2026 年 9 月 24 日 18:31（UTC），Bitget 安全系统侦测到其部分热钱包与温钱包出现未授权转出。最初对外数字约为 3.516 亿美元；次日在补计 ZEC、TRX 等资产后，官方将损失修订至约 3.875 亿美元，链上追踪口径多落在 3.88 亿至 3.90 亿美元附近——这也是市场以「近 4 亿美元」称呼本案的由来。这是 2026 年迄今规模最大的单次中心化交易所失窃，并把 9 月推升为全年黑客损失最重的月份之一。

冷钱包未被触及。交易所称用户损失由超过约 4.64 亿美元的用户保护基金覆盖，并分阶段重开提现。这些补救措施降低了「客户资产直接蒸发」的即时冲击，但并未回答一个更关键的问题：钱是怎么在「密钥仍在、流程看起来合法」的前提下被签字放行的？

事件还原：先试探门槛，再跨链同步出金

公开时间线显示，攻击者并非一上来就搬空资金。约 18:31 UTC，热钱包先出现两笔低于风控阈值的测试转账——约 0.184 ETH 与 193 TRX——系统未告警。约半小时后，大规模转出开始：一轮在约 15 秒内跨五条链转出约 8,760 万美元，另一轮在约 9 秒内从温钱包转出约 2.028 亿美元。短短数十秒内，约四分之三的赃款已离场。

被转出的资产覆盖以太坊及兼容链、XRP Ledger、Tron 等约八至九条网络，其中包括约 1.03 亿枚 XRP（事发时估值约 1.57 亿美元），以及 ETH、USDT、USDC、ZEC、TRX 等。攻击者随后迅速把可被发行方冻结的稳定币兑换为 ETH——这与近年多起被归因为朝鲜关联组织的大型交易所失窃中「先换成无法在合约层紧急冻结的资产」的路径高度相似。Bitget 行政总裁陈芳（Gracy Chen）表示，按 IP／VPN 选择与链上行为，手法「与已知朝鲜黑客组织模式高度一致」，但正式归因仍待调查完成。

核心原因：被攻破的不是密钥，而是「签字前的那一层」

这是理解本案最重要的一句话。陈芳公开说明：攻击者没有伪造用户提现请求，也没有取得冷钱包或任何热／温钱包私钥；他们利用交易所钱包基础设施中一款第三方安全产品的零日漏洞，取得高权限内部凭证，再向钱包后台注入伪造的出金指令。这些指令被系统当成合法请求，进入原有授权与签名流程，由 Bitget 自己的钱包签发转账。

独立链上分析与此表述相符：离场交易的手续费设置与日常内部调拨接近，但 Gas Limit 等细节与普通用户提现并不一致——说明签字的是交易所自己的钱包，喂给签字机的「目的地与金额」却来自一条已被污染的内部数据源。换言之，行业过去五年把防御重心放在「密钥不能丢」（HSM、MPC、多签、硬件钱包），攻击者这一次绕开了密钥，直接改写了签字机所相信的那张单。

因此，核心原因可以收束成三层，而不是一句「被黑客攻击了」：

供应链层：第三方安全组件的零日漏洞，把外部依赖变成了内部管理员入口。钱包堆栈再坚固，也无法自动对冲「被信任的工具已经被接管」。
授权语义层：签字系统校验了「这是内部后台送来的指令」，却没有用独立、不可被同一后台篡改的来源，交叉核对收款地址与金额。谁控制了指令源，谁就控制了出金。
风控阈值层：先用低于告警线的小额转账试探，确认通道可用后再多链并发。风控如果只看单笔金额、不看「同一来源在短窗口内的跨链共振」，就会把测试当成噪音。

这三层叠在一起，解释了为何「冷钱包没事、私钥没丢」与「近 4 亿美元在数小时内离场」可以同时成立。失窃发生在运营信任链，而不是密码学层。

这对行业意味着什么：攻击面已从代码迁到流程

2026 年的安全图景已经换了主战场。智能合约漏洞造成的损失占比下降，但基础设施、供应链与社会工程补了上来。Liquid Network、协议层事件与本次交易所失窃连在一起看，共同点不是「又一个合约没审计好」，而是签字、缓存、后台与第三方工具成为新的单点。朝鲜关联行为体在 2025 年已占全球加密盗窃约六成；若本案最终被正式归因，2026 年相关盗窃规模可能再度跨过 10 亿美元量级。

对持牌平台而言，这恰恰是合规框架要回答的问题：客户资产是否严格分隔；热钱包暴露是否被政策上限管住；出金是否必须由与指令源隔离的独立验证路径确认；事故后是否有可核验的补偿与披露安排。香港 VATP 制度把资产分隔、补偿安排、风险披露与业务恢复写进牌照义务，并不是文案装饰——它把「平台出事时客户还剩什么权利」从口头承诺变成可检查的安排。投资者比较平台时，应问的是这些安排能否被独立核验，而不是广告里的保障数字本身。

投资者应如何规避：把单次爆炸半径先降下来

没有任何存放方式可以消灭风险，但可以把单次损失的上限变成自己可承受的数字。结合本案与近年大型失窃的共同结构，实操上有五条可执行的原则：

交易浮盈归位。只把短期要下单的资金放在任何中心化平台的热端；中长期头寸放到自己控制的硬件钱包，或具备独立托管与资产分隔的持牌安排。本案再次证明：冷钱包未失窃，并不等于平台热端是「暂时寄存」的保险箱。
问签字路径，而不只问「有没有多签」。有效问题包括：大额出金是否需独立于钱包后台的二次确认？是否有时间锁？第三方运维与安全组件出问题时，签字机是否仍会照单全收？答不上来的平台，说明这层对投资者仍不透明。
看补偿机制能不能被核验。保障基金、保险或法定赔偿安排，要能回答三个问题：覆盖的是谁的损失、计价与到位需要多久、资金本身是否被分隔而非与营运资金混用。有覆盖能力，不等于提现在压力下仍即时可用。
事故后 72 小时是钓鱼高峰。任何「官方客服」私信、紧急链接、要求验证助记词或 2FA 的页面，都不是正道。正规平台不会在网页或聊天工具索取助记词与私钥。只从官方域名与已验证社交账号核实公告。
链上授权与平台风险分开管。若同时使用 DeFi，定期撤销无限额授权，大额与日常钱包隔离。交易所事件往往伴随仿冒站点与恶意授权，两条防线要同时在。

对香港及亚洲的受规管投资者，还有一条制度层选择：优先把需要代为保管的资产放在受证监会规管、客户资产分隔且备有赔偿与投诉安排的平台，而不是把「交易深度」当成「保管安全」的代理指标。流动性解决的是能否成交，分隔与独立验证解决的是出事后资产是否还在。

结语：下一次不会长得像上一次

近 4 亿美元被提走，不是因为区块链「被攻破」，而是因为签字机相信了一条被污染的内部指令。行业若只把本次当成又一次「热钱包管理不善」的旧故事，就会错过真正的位移：攻击者已经从偷密钥，转向伪造密钥所签名的那张单。

投资者能控制的，不是某一家平台会不会成为下一个目标，而是自己有多少资产暴露在「同一套后台指令就能签字放行」的半径里。把这条半径收窄，比事后讨论黑客来自哪里，更能决定下一次新闻出现时，损失是标题上的亿，还是自己账户里的零。

关于 EX.IO 研究院

EX.IO 研究院（EX.IO Research Institute）隶属于香港证监会持牌虚拟资产交易平台 EX.IO，专注比特币、稳定币、真实世界资产（RWA）代币化，以及香港与亚洲虚拟资产监管的深度分析。研究以「对读者有用」为先：先判断事件对投资者意味着什么，再展开事实与路径。

关于 EX.IO：EX.IO 自 2024 年 12 月起获香港证券及期货事务监察委员会（SFC）核准，为《证券及期货条例》及《打击洗钱及恐怖分子资金筹集条例》框架下首批通过「被视为获发牌」制度审核的虚拟资产交易平台（VATP）之一。

延伸阅读（研究院同系列）

CLARITY 未过，加密仍在上行——规则手册已被改写 https://www.ex.io/en/insights/category/research/clarity-failed-crypto-kept-climbing-the-rulebook-just-got-rewritten

相关链接

官方网站 https://www.ex.io/

Insights https://www.ex.io/zh/insights

研究专题 https://www.ex.io/zh/insights/category/research

Trading https://www.ex.io/zh/trade

RWA+ https://www.ex.io/zh/rwa-market

免责声明

本文由 EX.IO 研究院撰写，仅供一般信息及教育用途，不构成投资建议、要约、招揽，亦不构成买卖或持有任何虚拟资产或金融产品的推荐。虚拟资产价格波动极大，存在高风险，投资者可能损失全部本金。读者应自行独立研究，并按自身情况咨询专业顾问。EX.IO 及其关联方对因依赖本文而产生的任何损失不承担责任。文中所述事件、金额及第三方陈述均基于截至刊发日的公开信息整理，未经全面独立核实，后续调查结论可能调整。本文提及的任何平台、事件或产品，不代表 EX.IO 对其作出背书或评价。