如果你最近才剛匯款進某間交易所，先做一件事——確認你用的是今天產生的新地址，不是三個月前存在手機截圖裡的那一個。這不是潔癖，11 月 2 日那天有 35,853 個存款地址被清空。

48 小時時間軸

幣安：63 億之後，保護基金的比特幣少了一半

幣安這起是史上最大規模的加密貨幣竊案。FBI 在 10 月 31 日發布公告，把這次行動歸類為北韓的「TraderTraitor」，並點名資金正被大量轉換成以太幣，接下來會透過 DeFi 與即時兌換服務進入下一階段洗錢；公告同時要求 THORNode 營運者、RPC 節點、即時兌換商與 DeFi 服務封鎖名單上的地址，完整地址清單在 FBI 公告裡 。

交易所這邊的做法是把洞自己補起來。幣安在 11 月 1 日確認動用用戶保護基金 SAFU，轉出 7,499 顆比特幣；到 11 月 2 日，這個公開錢包剩約 7,500 顆比特幣、約 5.83 億美元，等於事件前約 15,000 顆的一半。資金來源不只 SAFU，還包含公司自有資金與一部分期貨保險基金。提領在 11 月 1 日起分階段恢復 ，官方表示已補回約 95% 的受影響資產，前一天是 90%，剩下的低流動性代幣還在用市場與場外交易買回。

這裡有一件事值得記住：出事之後，你的幣能不能領出來，取決於平台願不願意、以及有沒有能力自己墊錢。幣安墊得起，不代表每一間都墊得起。

Mercado Bitcoin：25 分鐘，十條鏈全部見底

11 月 2 日凌晨，Mercado Bitcoin 的熱錢包開始把錢送出去。資安公司 Hypernative 先警報「超過 4,000 萬美元的可疑轉帳、至少十條鏈」，交易所隨即在 12:56 UTC 發聲明，說已識別並控制住系統中的安全事件，為預防起見暫停存提款，客戶沒有損失、資料沒有外洩。CoinDesk 的報導

但鏈上帳本不會配合公關稿。Bitquery 逐筆追蹤後統計，實際流出是 4,850 萬美元、橫跨 10 條鏈 ：十條鏈的熱錢包在 25 分鐘內全部付光，以太坊單鏈就佔 61%，24 分鐘內 188 筆轉出、2,950 萬美元，連價值幾美元的代幣碎片都一起搬走。而且交易所說「已控制」之後，錢還在繼續跑。

手法上，這不是智慧合約漏洞，是一般轉帳——有人拿到了簽名權。至於怎麼拿到的，至今沒有公開答案。

為什麼「存款地址」也會被搬空

這是整起事件最該被記下來的一段。

多數人以為交易所錢包出事，損失是交易所的。但 Bitquery 發現，從 12:10 到 15:44 UTC，以太坊上有 35,853 個客戶存款地址把餘額全數送給同一個駭客，比特幣鏈上另有 53 個。這些地址不是你以為的「安全中繼站」，它們各自簽了自己的轉出交易。

原因是交易所的技術慣例：所有客戶的存款地址，通常由同一把主鑰派生出來。駭客一旦取得那把主鑰的簽名能力，就能替任何一個存款地址簽名——包含三個月前發給你的那一個。

所以 Mercado Bitcoin 暫停「存款」不只是作業暫停，是止血。你現在往舊地址匯幣，幣很可能直接進駭客口袋。這也是為什麼交易所重新開放後，會要求你改用新產生的地址。

凍結了 15%，剩下 76% 沒人能攔

穩定幣發行商有能力凍結錢包裡的代幣，這件事在這次難得看得這麼清楚。Tether 凍結約 590 萬美元，包含 USDT、USDT0、USAT 與黃金代幣，分散在 Polygon、Tron、以太坊與 Solana；Paxos 凍結約 150 萬美元的 PAXG 與 USDP；合計約 730 萬美元，大約占被搬走金額的 15%。Tether 執行長 Paolo Ardoino 也公開說明了凍結金額 。

Circle 在 Bitquery 最後一次檢視時沒有凍結任何 USDC 或 EURC，約 429 萬美元仍可自由移動。其餘 76% 是比特幣、以太幣這類沒有發行商可以代為凍結的資產——包含 106.07 顆比特幣，事發後原封不動停在駭客的地址上，一顆都沒動。

這句話請直接記住：穩定幣可以被凍結，比特幣不行。看你持有的是哪一種，風險長得完全不一樣。

BTCPay：不是交易所，是店家自己家裡那台機器

第三起跟前兩起不是同一個性質，但更值得一般人警覺。

BTCPay Server 是一套開源收款工具，讓商家自己架伺服器、直接收比特幣，不需要第三方託管。11 月 1 日 22:25 UTC（台北時間 11 月 2 日早上 6 點 25 分），專案在 X 上公告：收到多起 BTCPay 伺服器熱錢包被未授權攻擊者掃空的通知，請所有營運者立刻用 ./btcpay-down.sh 把伺服器關掉，直到調查完成。CoinDesk 的完整報導

為什麼是「叫你自己關」？因為 BTCPay 沒有中央伺服器，也就沒有總開關。專案方沒辦法替你停機，只能一間一間拜託。

漏洞長在哪裡，官方文件其實早就寫了。BTCPay 允許商家把收款錢包設成熱錢包，種子詞就存在那台連網的伺服器上，系統收到付款時會「自動使用伺服器上儲存的種子簽名」。方便，但文件自己在這個功能旁標了「DANGER」，並註明有安全影響。誰打進那台伺服器，誰就能把幣轉走。

創辦人 Nicolas Dorier 表示，回報疑似集中在 2.4.2 以前的版本，攻擊者取得的是管理員權限；不過入侵途徑還沒確定，專案也強調最新版 2.4.7 沒有可信的熱錢包被盜回報。翻譯成白話：你把收款伺服器的作業系統晾著不更新，等於把錢包放在沒鎖的抽屜裡。

三起事件的同一個字：熱

交易所的熱錢包、商家自架伺服器的熱錢包、掛在瀏覽器上的外掛錢包——名稱不同，本質一樣：私鑰或種子詞放在一台連著網路的機器上，機器被攻破，幣就被搬走。

反過來說，冷錢包的定義也不是「比較貴的鐵盒子」，而是私鑰從頭到尾不接觸網路。這不是技術品味問題，是這次三天內三起事件最直接的結論。

台灣投資人的分層檢查表

表格裡最右邊那欄才是重點。前兩列你只能選平台、控部位；後兩列完全是你自己的責任，而且沒有任何客服可以打。

今天就能做完的八件事

1. 把還在用的舊存款地址作廢，重新產生一組，別再從截圖複製。
2. 等交易所官方公告恢復後再入金，不要憑「我朋友說可以了」。
3. 平台恢復提領時，先小額試一筆，確認到帳再放大。
4. 2FA 改用驗證器 App，不要用簡訊——SIM 卡被補辦的案例年年有。
5. 打開提領地址白名單，新地址要等冷卻期才能生效。
6. 不同平台不要共用同一組 email 與密碼，至少讓一間出事不會連環倒。
7. 大額部位移到冷錢包，種子詞手抄、離線存放，不要拍照、不要放雲端硬碟。
8. 自架的服務（錢包節點、收款系統）把版本更新列進每月待辦，別等公告叫你關機。

紀錄也要留。買賣成交、手續費、換匯、入出金、錢包移轉，這些資料在申報時是成本與資金來源的依據，事後補不回來。

市場面：ETF 失血 7.16 億，今天投票

資金面同時在退。11 月 2 日美國現貨比特幣 ETF 淨流出 6.14 億美元（7,919 顆比特幣），以太幣 ETF 淨流出 1.02 億美元（44,837 顆以太幣），合計約 7.16 億美元。Lookonchain 的統計 10 月 30 日還出現過單日 6.433 億美元的流出，是 6 月 25 日以來最大，把現貨 ETF 的資產規模壓到 981.4 億美元，也抹掉了今年以來約 63.6% 的淨流入。

價格這邊，11 月 3 日上午台北時間比特幣在 77,800 美元附近，24 小時區間 77,450 到 78,285 美元，距離 126,080 美元的歷史高點約 -38%。即時報價

今天正好是美國中期選舉投票日。選舉、ETF 資金、駭客事件會在同一天互相放大情緒，但這三件事沒有一件能告訴你明天該買還是該賣。它們能告訴你的是另一件事：當市場在恐慌的時候，你最不希望同時發現自己的幣卡在領不出來的平台裡。

如果你本來就有現貨或定期定額的計畫，挑平台時值得把台幣入金路徑、現貨手續費與提領條件一起看，而不是只看手續費折扣。

換另一個平台時也用同一套標準檢查，特別確認所在地可用的服務與完整成本；開戶不需要伴隨立刻加碼。

結語：問兩個問題就夠了

第一，這筆資產能不能被凍結？能，就代表有人管得到，也代表有人可能替你追回一部分。第二，私鑰在誰手上？在別人手上，你擁有的是對平台的債權；在自己手上，你擁有的是資產，也擁有全部責任。

三天三起不是巧合，是同一種設計在不同地方同時被測試。把地址換新、把版本更新、把大額搬離連網的機器——這些動作今天做完，比猜對選舉結果有用得多。加密資產波動大，只承擔自己能承受的損失。

先看時間軸與手法——EIP-7702 委託是這次的關鍵字

據 Decrypt 報導，首筆以太坊交易轉出 167,464 ETH 及 63 種代幣，其中包括 16.15 億 USDT。 關鍵線索在交易前三分鐘：一個由 Tornado Cash 出資的地址，向幣安熱錢包提交 EIP-7702 委託。來源：Decrypt 追蹤這起事件，應先把委託發生時間與後續轉帳順序對照，釐清帳戶何時開始受程式操作。

Decrypt 引述 Phylax Systems 創辦人 Odysseas Lamtzidi 說法，這類委託讓一般錢包可以執行智慧合約程式碼。委託生效後可持續存在；若委託程式允許，後續轉帳可能不必再取得該錢包的新簽名。來源：Decrypt 因此，判讀風險不能只問「我有沒有簽這筆轉帳」，還要問「過去是否授權了能代為操作的程式」。

提交委託的地址與提供必要授權簽名的人是不同概念，攻擊者如何取得必要簽名仍不明。來源：Decrypt 檢查錢包時，應分別核對一般代幣 approve 與帳戶委託，兩者的授權範圍不同。

可從Etherscan 交易紀錄 查看鏈上操作，對照完整地址、交易時間與官方後續說明。追蹤時直接使用已核對的網址，遇到私訊提供的「安全檢查」入口就停止操作。

為什麼數字從 20 億到 57 億都有——三種估算怎麼讀

首先是分析師的初步範圍。TechCrunch 報導至少 20 億美元流出，部分估計超過 57 億美元，且盜取可能仍在進行；幣安尚未確認金額與資金移動性質。來源：TechCrunch 這個範圍足以提醒用戶立即檢查曝險，最終損失則須等待調查結算。

其次是地址群的資產規模。CNBC 引述 Arkham Intelligence，近 60 億美元數位資產分布在 55 個可能相關錢包地址。來源：CNBC 判讀這組數字，重點是追查地址歸屬與資金去向；相關地址間的轉帳應避免重複計算。

最後是逐鏈流出統計。Decrypt 統計至少 55.7 億美元，橫跨三條鏈。來源：Decrypt 用戶可依持有資產所在網路，對照下列流出規模：

三鏈加總與總額有零頭差異，照原報導數字並列。評估後續影響，應持續追蹤資金歸屬、凍結狀態與實際返還進度。

歷史比較只能提供量級：幣安在 2019 年曾損失 7,000 顆比特幣，當時約 4,000 萬美元。 若本次 55.7 億美元成立，規模將超過 Bybit 約 15 億美元事件的三倍；這項比較顯示本次估算的量級，值得用戶優先檢查集中保管的風險。來源：Decrypt

Tether 與 Circle 凍結 18 至 25 億美元，救得回來嗎

凍結數字應按各媒體的統計範圍分開追蹤。Decrypt 報導 Tether 在主收款地址凍結 9.751 億 USDT，Circle 於 21:04 UTC 凍結 8.23 億 USDC，合計約 18 億美元。來源：Decrypt CNBC 引述 Circle 執行長 Jeremy Allaire 稱凍結超過 8 億美元 USDC，Tether 執行長 Paolo Ardoino 稱停止與事件相關逾 15 億美元 USDT 的交易；CNBC 另外列出兩家合計 25.4 億美元。來源：CNBC

各報導的時間與地址範圍可能不同，應分別追蹤，避免交叉加總或直接相減；幣安尚未確認扣除凍結資產後的淨損失。

穩定幣凍結可理解為發行方對特定代幣與地址採取移轉限制，而非把整條鏈倒帶。讀者應分清「地址內代幣無法移動」與「資產已返還交易所」：前者是阻止繼續移轉，後者還需要確認權利歸屬及處置程序。若疑似攻擊者已先搬走或換成其他資產，原地址的限制不能自動追回所有後續資金。

CNBC 另轉述幣安共同創辦人何一稱，Ripple 協助阻止 2 億美元資金移動。來源：CNBC 這筆金額與發行方凍結數字是否重疊仍待釐清，追蹤重點是哪些地址已被限制、資金是否仍移動，以及何時出現可核對的返還公告。

價格與清算——跌的不是只有幣價，還有槓桿

10 月 30 日報導時的價位如下，可用來對照各資產在事件期間的市場反應：

HYPE 上漲反映市場資金選擇，評估是否持有仍應回到自身曝險與平台安全資訊。

Blockport 記錄幣安現貨在 10 月 29 日的盤中低點為 78,297 美元。來源：Blockport 這與上表採樣時間及報價口徑不同，應並列保留，不要把較早的盤中低點誤稱為整場事件最低價。

同一來源稱，24 小時加密市場清算近 10 億美元，其中約 5.32 億美元集中在一小時內；比特幣約 2.89 億美元、以太幣約 2.36 億美元，兩者各有逾 82% 為多單。來源：Blockport 清算反映槓桿倉位被迫結束。若你仍有合約部位，先查看保證金與強制平倉條件；提領受限時，跨平台補保證金的計畫也可能無法按預期執行。

總體背景同樣承壓。InteractiveCrypto 報導，Fed 在 10 月 28 日維持利率不變，但有兩票主張立即升息；10 月 29 日 PCE 數據又強化市場對 12 月升息的預期。來源：InteractiveCrypto 評估行情時，應同時追蹤安全事件與利率預期，依自己的保證金和現金需求調整部位。

Blockport 另引述 DefiLlama 共同創辦人 0xngmi 估計，幣安託管資產約 1,440 億美元，並提出不到 1% 的損失可能由資產負債表吸收的看法。來源：Blockport 這項判斷以損失比例為前提，評估賠付能力仍應查閱具體覆蓋安排，並區分客戶託管資產與公司資金。

台灣用戶現在該做的 6 件事

1. 先確認提領狀態，別反覆重試或亂轉鏈。 從自行開啟的幣安 App 進入資產與提領頁面，查看所持幣種、目標網路及維護公告；TechCrunch 引述發言人 Ross O’Leary 證實，因安全事件已預防性暫停多條網路提領。來源：TechCrunch 若已有申請，先查狀態與交易雜湊，再決定後續操作；不要因原網路停用就改選接收端不支援的鏈。

2. 只信自行確認的官方管道。 使用 App 內公告與幣安官方 X 貼文 交叉核對，不從陌生私訊、廣告或搜尋結果中的客服入口登入。防範假客服與假「資產救援」，是避免二次損失的首要防線：凡要求提供驗證碼、助記詞、私鑰或先轉幣才能解凍者，都先停止互動；幣安也提醒不要信任非官方連結及索取帳號資訊的請求。來源：TechCrunch

3. 檢查 2FA 與防釣魚碼，換掉重複使用的密碼。 在 App 的帳戶安全設定中，確認雙重驗證仍由自己控制、檢查登入裝置並移除不認識的工作階段，同時確認防釣魚碼設定。若密碼與其他網站共用，改用獨立密碼，也檢查綁定信箱；使用防釣魚碼輔助辨識郵件，開啟連結前仍要核對網域。

4. 截圖並匯出資產與交易紀錄。 留下能辨識帳戶的資產頁、幣種數量、提領申請狀態、訂單與客服案件紀錄，能下載明細時也保留原始檔。另記下交易雜湊、收款地址及公告內容，將資料存到自己可控制的位置；跨境爭議時，完整明細、公告與往來紀錄能幫助釐清請求內容。

5. 分散曝險，別把搬家當成風險消失。 列出各平台的資產、未結束部位與近期出入金需求，再決定哪些資金需要留在交易所；長期部位可在熟悉備份與復原流程後考慮自託管。Bybit 在 2025 年也曾發生約 15 億美元被駭事件，CNBC 另提到 Bitget 近期被盜逾 3.5 億美元，分散的目的不是換一家集中押注。來源：CNBC 真要移轉時，確認兩端網路相容、收款資訊正確且提領開放，先以自己能承受的小額確認到帳。

6. 自託管也要防委託與 approve 風險。 簽署前讀取錢包顯示的授權對象與內容，不理解就取消，尤其不要為了所謂救援、驗證或空投授權陌生程式。EIP-7702 委託可持續存在，後續行為取決於委託程式邏輯，不能以「這次沒簽轉帳」判斷資產必然安全。來源：Decrypt 使用錢包官方文件核對委託及代幣授權的檢查方式，不把一般 approve 撤銷視為必然清除了帳戶委託；自託管也代表備份、復原與錯誤簽署後果須自行承擔。

台灣法規視角——先核對登記與申訴窗口

使用境外平台前，先核對簽約主體是否完成台灣登記，以及爭議發生後的受理窗口。人在台灣仍可報案或尋求法律協助，實際請求程序則須依帳戶契約與適用規範確認。

據媒體報導，幣安於 2026 年 8 月 10 日被 VASP 公會列入警示名單，主因是尚未完成金管會洗錢防制登記。來源：數位時代 讀者應以最新官方名單核對帳戶所屬業者的登記狀態。

請讀者自己點開金管會證期局虛擬資產服務專區 ，核對最新登記名單與實際簽約的公司名稱，再查看VASP 公會警示名單 。核對時以公司名稱與登記資訊為準；洗錢防制登記與資安、賠付安排仍須分別評估。

對未在台灣完成登記的境外平台，實務上不能預設有對應的本地受監理業者替你受理並完成資產返還；平台端的申訴與契約請求，往往仍須透過境外客服、簽約主體與跨境程序處理。操作上，先保存服務條款、帳戶所屬法人與客服案件編號，必要時向本地主管機關詢問適用窗口或尋求法律協助，別把跨境處理困難理解為放棄留證的理由。

出入金還有資訊核對要求。依金管會相關辦法，接收方虛擬資產服務商在移轉價值逾新台幣 3 萬元時，應將所持資訊與轉出方提供的接收人姓名或名稱、接收錢包資訊進行核對；相關適用範圍與期程另有規定，應一併查閱。來源：金管會法規 這是業者的核對義務，不是轉帳禁止門檻，也不是把資金拆小就能迴避審查。若準備把資產轉入本地平台，先詢問接收規則並備妥來源紀錄，避免緊急移轉後才發現資料不符而待查。

接下來 72 小時看什麼

接下來 72 小時，建議先追官方是否明確確認事件性質、損失口徑、受影響網路與具體賠付安排。TechCrunch 轉述 CZ 認為公司「很可能被駭」，並預期用戶資金會完全覆蓋，但沒有提供依據；幣安尚未確認完整損失與可核對的賠付方案。來源：TechCrunch 「資金安全」的聲明與已公布執行程序，應分開判讀。

再看鏈上資金是否持續移動。確認地址標籤是否有更新、發行方限制是否擴大，以及移動究竟屬於疑似攻擊者操作還是平台防護調度，並優先採用有交易紀錄可對照的更新。可從Decrypt 原報導 與CNBC 相關報導 追查後續修正，避免沿用舊截圖。

價格面可把 BTC 能否收復 80,000 美元列為本文設定的整數觀察位，用來追蹤價格變化；先前跌勢的報導基準見來源：CNBC 。追蹤 ETF 資金流時，核對交易日期、統計涵蓋範圍與是否為完整時段，再判斷資金反應；短線價格回升本身無法證明事件已解除。

出入金與工具

本文含合作推廣連結，透過連結註冊或使用服務，本站可能取得合作報酬。 這類事件後，應先分散並控制單一平台曝險。推廣連結只在你確實要開新戶、而且已自行核對該平台對台灣的服務資格與適用條款時才有意義；若資格不符或仍不清楚，就不要因推廣入口而開戶入金。

幣安使用者應優先透過既有 App 查看公告、保存紀錄與確認提領狀態。如需處理既有帳戶問題，直接使用 App 內的官方客服與案件查詢功能；以下合作入口供評估開戶用途。

若考慮 Bybit 作為另一個工具，仍須核對它對台灣的服務資格、契約主體與自身可承受曝險。Bybit 在 2025 年同樣發生約 15 億美元被駭事件，開新戶不代表保管風險消失。來源：CNBC 請先查看官方登記專區 與公會警示名單 ，不要把本文列出連結解讀為已完成資格核准。

先留下你能控制的證據，釐清每個帳戶的用途，再決定是否移轉。每次操作都應能回答：資金要去哪裡、誰能動用它、出了問題要向哪個契約主體提出請求。