今天美國在投票，但真正讓你的部位縮水的不是開票結果。10 月 29 日幣安被搬走 63 億美元，11 月 1 日比特幣收款工具 BTCPay 叫所有營運者把自己的伺服器關掉，11 月 2 日巴西最大交易所 Mercado Bitcoin 直接停止存提款。三天、三起、三種不同的地方，指向同一個問題：你的幣，私鑰到底在誰手上。
如果你最近才剛匯款進某間交易所，先做一件事——確認你用的是今天產生的新地址，不是三個月前存在手機截圖裡的那一個。這不是潔癖，11 月 2 日那天有 35,853 個存款地址被清空。
48 小時時間軸
| 台北時間 | 事件 | 金額 | 目前狀態 |
|---|---|---|---|
| 10/29（四） | 幣安熱錢包遭入侵 | 約 63 億美元 | 11/1 起分階段恢復提領，稱已補回約 95% |
| 11/1（六） | FBI 公告歸因北韓 TraderTraitor | — | 要求節點、跨鏈服務、DeFi 封鎖相關地址 |
| 11/2（日）06:25 | BTCPay Server 要求營運者執行關機腳本 | 未公布總額 | 調查中，最新 2.4.7 無可信被盜回報 |
| 11/2（一） | Mercado Bitcoin 暫停存提款 | 鏈上統計 4,850 萬美元 | 交易所稱已控制、客戶無損失 |
幣安：63 億之後，保護基金的比特幣少了一半
幣安這起是史上最大規模的加密貨幣竊案。FBI 在 10 月 31 日發布公告，把這次行動歸類為北韓的「TraderTraitor」，並點名資金正被大量轉換成以太幣，接下來會透過 DeFi 與即時兌換服務進入下一階段洗錢；公告同時要求 THORNode 營運者、RPC 節點、即時兌換商與 DeFi 服務封鎖名單上的地址，完整地址清單在 FBI 公告裡 。
交易所這邊的做法是把洞自己補起來。幣安在 11 月 1 日確認動用用戶保護基金 SAFU，轉出 7,499 顆比特幣；到 11 月 2 日，這個公開錢包剩約 7,500 顆比特幣、約 5.83 億美元，等於事件前約 15,000 顆的一半。資金來源不只 SAFU，還包含公司自有資金與一部分期貨保險基金。提領在 11 月 1 日起分階段恢復 ，官方表示已補回約 95% 的受影響資產，前一天是 90%，剩下的低流動性代幣還在用市場與場外交易買回。
這裡有一件事值得記住：出事之後，你的幣能不能領出來，取決於平台願不願意、以及有沒有能力自己墊錢。幣安墊得起，不代表每一間都墊得起。
Mercado Bitcoin：25 分鐘，十條鏈全部見底
11 月 2 日凌晨，Mercado Bitcoin 的熱錢包開始把錢送出去。資安公司 Hypernative 先警報「超過 4,000 萬美元的可疑轉帳、至少十條鏈」，交易所隨即在 12:56 UTC 發聲明，說已識別並控制住系統中的安全事件，為預防起見暫停存提款，客戶沒有損失、資料沒有外洩。CoinDesk 的報導
但鏈上帳本不會配合公關稿。Bitquery 逐筆追蹤後統計，實際流出是 4,850 萬美元、橫跨 10 條鏈 ：十條鏈的熱錢包在 25 分鐘內全部付光，以太坊單鏈就佔 61%，24 分鐘內 188 筆轉出、2,950 萬美元，連價值幾美元的代幣碎片都一起搬走。而且交易所說「已控制」之後，錢還在繼續跑。
手法上，這不是智慧合約漏洞，是一般轉帳——有人拿到了簽名權。至於怎麼拿到的，至今沒有公開答案。
為什麼「存款地址」也會被搬空
這是整起事件最該被記下來的一段。
多數人以為交易所錢包出事，損失是交易所的。但 Bitquery 發現，從 12:10 到 15:44 UTC，以太坊上有 35,853 個客戶存款地址把餘額全數送給同一個駭客，比特幣鏈上另有 53 個。這些地址不是你以為的「安全中繼站」，它們各自簽了自己的轉出交易。
原因是交易所的技術慣例：所有客戶的存款地址，通常由同一把主鑰派生出來。駭客一旦取得那把主鑰的簽名能力，就能替任何一個存款地址簽名——包含三個月前發給你的那一個。
所以 Mercado Bitcoin 暫停「存款」不只是作業暫停，是止血。你現在往舊地址匯幣，幣很可能直接進駭客口袋。這也是為什麼交易所重新開放後，會要求你改用新產生的地址。
凍結了 15%，剩下 76% 沒人能攔
穩定幣發行商有能力凍結錢包裡的代幣，這件事在這次難得看得這麼清楚。Tether 凍結約 590 萬美元，包含 USDT、USDT0、USAT 與黃金代幣，分散在 Polygon、Tron、以太坊與 Solana；Paxos 凍結約 150 萬美元的 PAXG 與 USDP；合計約 730 萬美元，大約占被搬走金額的 15%。Tether 執行長 Paolo Ardoino 也公開說明了凍結金額 。
Circle 在 Bitquery 最後一次檢視時沒有凍結任何 USDC 或 EURC，約 429 萬美元仍可自由移動。其餘 76% 是比特幣、以太幣這類沒有發行商可以代為凍結的資產——包含 106.07 顆比特幣，事發後原封不動停在駭客的地址上，一顆都沒動。
這句話請直接記住：穩定幣可以被凍結，比特幣不行。看你持有的是哪一種，風險長得完全不一樣。
BTCPay：不是交易所，是店家自己家裡那台機器
第三起跟前兩起不是同一個性質，但更值得一般人警覺。
BTCPay Server 是一套開源收款工具，讓商家自己架伺服器、直接收比特幣，不需要第三方託管。11 月 1 日 22:25 UTC（台北時間 11 月 2 日早上 6 點 25 分），專案在 X 上公告：收到多起 BTCPay 伺服器熱錢包被未授權攻擊者掃空的通知，請所有營運者立刻用 ./btcpay-down.sh 把伺服器關掉，直到調查完成。CoinDesk 的完整報導
為什麼是「叫你自己關」？因為 BTCPay 沒有中央伺服器，也就沒有總開關。專案方沒辦法替你停機，只能一間一間拜託。
漏洞長在哪裡，官方文件其實早就寫了。BTCPay 允許商家把收款錢包設成熱錢包，種子詞就存在那台連網的伺服器上，系統收到付款時會「自動使用伺服器上儲存的種子簽名」。方便，但文件自己在這個功能旁標了「DANGER」，並註明有安全影響。誰打進那台伺服器，誰就能把幣轉走。
創辦人 Nicolas Dorier 表示，回報疑似集中在 2.4.2 以前的版本，攻擊者取得的是管理員權限；不過入侵途徑還沒確定，專案也強調最新版 2.4.7 沒有可信的熱錢包被盜回報。翻譯成白話：你把收款伺服器的作業系統晾著不更新，等於把錢包放在沒鎖的抽屜裡。
三起事件的同一個字：熱
交易所的熱錢包、商家自架伺服器的熱錢包、掛在瀏覽器上的外掛錢包——名稱不同，本質一樣：私鑰或種子詞放在一台連著網路的機器上，機器被攻破，幣就被搬走。
反過來說，冷錢包的定義也不是「比較貴的鐵盒子」，而是私鑰從頭到尾不接觸網路。這不是技術品味問題，是這次三天內三起事件最直接的結論。
台灣投資人的分層檢查表
| 資產放哪 | 風險來源 | 出事後誰墊 | 今天該做的動作 |
|---|---|---|---|
| 交易所現貨 | 平台熱錢包、內部權限 | 平台（墊不墊得起看它） | 確認存款地址是新產生的、開提領白名單 |
| 交易所合約 | 上述風險＋槓桿清算 | 平台，但爆倉是自己承擔 | 降低倍數，確認保證金緩衝 |
| 自託管冷錢包 | 你的備份與 phishing | 沒人，只有你 | 檢查種子備份是否離線、有沒有拍照存雲端 |
| 自架收款伺服器 | 系統版本、管理員權限 | 沒人 | 版本更新到最新、熱錢包改冷存 |
表格裡最右邊那欄才是重點。前兩列你只能選平台、控部位；後兩列完全是你自己的責任，而且沒有任何客服可以打。
今天就能做完的八件事
- 把還在用的舊存款地址作廢，重新產生一組，別再從截圖複製。
- 等交易所官方公告恢復後再入金，不要憑「我朋友說可以了」。
- 平台恢復提領時，先小額試一筆，確認到帳再放大。
- 2FA 改用驗證器 App，不要用簡訊——SIM 卡被補辦的案例年年有。
- 打開提領地址白名單，新地址要等冷卻期才能生效。
- 不同平台不要共用同一組 email 與密碼，至少讓一間出事不會連環倒。
- 大額部位移到冷錢包，種子詞手抄、離線存放，不要拍照、不要放雲端硬碟。
- 自架的服務（錢包節點、收款系統）把版本更新列進每月待辦，別等公告叫你關機。
紀錄也要留。買賣成交、手續費、換匯、入出金、錢包移轉，這些資料在申報時是成本與資金來源的依據，事後補不回來。
市場面：ETF 失血 7.16 億，今天投票
資金面同時在退。11 月 2 日美國現貨比特幣 ETF 淨流出 6.14 億美元（7,919 顆比特幣），以太幣 ETF 淨流出 1.02 億美元（44,837 顆以太幣），合計約 7.16 億美元。Lookonchain 的統計 10 月 30 日還出現過單日 6.433 億美元的流出，是 6 月 25 日以來最大，把現貨 ETF 的資產規模壓到 981.4 億美元，也抹掉了今年以來約 63.6% 的淨流入。
價格這邊，11 月 3 日上午台北時間比特幣在 77,800 美元附近，24 小時區間 77,450 到 78,285 美元，距離 126,080 美元的歷史高點約 -38%。即時報價
今天正好是美國中期選舉投票日。選舉、ETF 資金、駭客事件會在同一天互相放大情緒，但這三件事沒有一件能告訴你明天該買還是該賣。它們能告訴你的是另一件事：當市場在恐慌的時候，你最不希望同時發現自己的幣卡在領不出來的平台裡。
如果你本來就有現貨或定期定額的計畫，挑平台時值得把台幣入金路徑、現貨手續費與提領條件一起看，而不是只看手續費折扣。
最高 400 USDC｜完成活動任務解鎖獎勵
透過活動連結註冊 → 完成身分驗證 → 依活動頁要求入金並完成達標交易，繼續完成適用的活動任務。獎勵資格、領取方式及先到先得名額以官方活動頁為準，並非註冊即保證領取 400 USDC。
⚠️ 本內容僅供參考，不構成投資建議。加密貨幣投資有風險，價格可能劇烈波動。請自行研究（DYOR）。 獎勵與活動條件以 Binance 官方公告為準。
換另一個平台時也用同一套標準檢查，特別確認所在地可用的服務與完整成本；開戶不需要伴隨立刻加碼。
結語：問兩個問題就夠了
第一，這筆資產能不能被凍結？能，就代表有人管得到，也代表有人可能替你追回一部分。第二，私鑰在誰手上？在別人手上，你擁有的是對平台的債權；在自己手上，你擁有的是資產，也擁有全部責任。
三天三起不是巧合，是同一種設計在不同地方同時被測試。把地址換新、把版本更新、把大額搬離連網的機器——這些動作今天做完，比猜對選舉結果有用得多。加密資產波動大，只承擔自己能承受的損失。