自託管

今天美國在投票，但真正讓你的部位縮水的不是開票結果。10 月 29 日幣安被搬走 63 億美元，11 月 1 日比特幣收款工具 BTCPay 叫所有營運者把自己的伺服器關掉，11 月 2 日巴西最大交易所 Mercado Bitcoin 直接停止存提款。三天、三起、三種不同的地方，指向同一個問題：你的幣，私鑰到底在誰手上。 如果你最近才剛匯款進某間交易所，先做一件事——確認你用的是今天產生的新地址，不是三個月前存在手機截圖裡的那一個。這不是潔癖，11 月 2 日那天有 35,853 個存款地址被清空。 48 小時時間軸 台北時間 事件 金額 目前狀態 10/29（四） 幣安熱錢包遭入侵 約 63 億美元 11/1 起分階段恢復提領，稱已補回約 95% 11/1（六） FBI 公告歸因北韓 TraderTraitor — 要求節點、跨鏈服務、DeFi 封鎖相關地址 11/2（日）06:25 BTCPay Server 要求營運者執行關機腳本 未公布總額 調查中，最新 2.4.7 無可信被盜回報 11/2（一） Mercado Bitcoin 暫停存提款 鏈上統計 4,850 萬美元 交易所稱已控制、客戶無損失 幣安：63 億之後，保護基金的比特幣少了一半 幣安這起是史上最大規模的加密貨幣竊案。FBI 在 10 月 31 日發布公告，把這次行動歸類為北韓的「TraderTraitor」，並點名資金正被大量轉換成以太幣，接下來會透過 DeFi 與即時兌換服務進入下一階段洗錢；公告同時要求 THORNode 營運者、RPC 節點、即時兌換商與 DeFi 服務封鎖名單上的地址，完整地址清單在 FBI 公告裡 。 ...

幣安說會補回用戶的錢，但舊準備金表已無法回答：現在的幣，夠不夠還？承諾補足與錢包到帳，是不同的事。 自有資金到位，不等於提領恢復 據 CoinDesk 10 月 30 日報導，幣安表示已備妥超過 63.4 億美元自有資金，其中 50 億美元已是同幣種現貨，其餘透過交易所與 OTC 買回，目標讓受影響用戶餘額一對一恢復。這表示讀者要追的是各幣種補回進度，不能只看美元總值。 產業夥伴另凍結約 30 億美元，不計入上述自有資金；不能把兩者相加，就當成可立即提領的準備金。 CoinDesk 同日另一篇報導指出，提領目前仍暫停。共同執行長 Richard Teng 提出的目標是週日 11/1 恢復提領，完整調查與準備金報告預計週一 11/2 公布。前者是營運目標，後者才涉及補洞與入侵原因的完整交代。 被盜熱錢包，本來就支撐客戶資產 CoinDesk 的準備金分析指出，關鍵在 Binance 14：它列在 10/1 公布的準備金證明錢包清單內，當時持有 12.6 億 USDT 與 89,475 顆 ETH。所以「熱錢包被盜」不能被解讀成與客戶準備金無關。 當時 ETH 儲備率剛好 100%，資產與客戶負債打平；USDC 則是 108.26%。不同幣種的餘裕不能混為一談，穩定幣超額也不代表以太幣已補齊。 此次約 204,500 顆 ETH 被轉走，占申報 ETH 儲備約 5.6%。計算概念是「流失顆數除以原申報儲備」；以原本打平的基準扣掉損失，備付率便降至約 94%。這是沿用舊負債與儲備基準、尚未計入補回的推算，不是即時查帳結果，也不是所有幣種的共同備付率。 讀準備金，先看日期、負債與範圍 先看快照日期。準備金證明呈現的是某個時點，快照後的轉出、補款與提領，都可能改變結果。舊報表即使正確，也不能保證今天足額。 再看負債總額。只公布錢包資產，沒有同幣種客戶負債作分母，就無法判斷是否夠還；也要讀清楚負債涵蓋範圍及驗證方式。 最後看錢包清單與託管範圍：熱錢包是否納入、第三方託管資產如何證明控制權，有沒有質押或其他權利限制。PoR 不是完整財務審計；某刻的存量證明，不能單獨交代企業全部負債或安全控管。 最高 400 USDC｜完成活動任務解鎖獎勵 透過活動連結註冊 → 完成身分驗證 → 依活動頁要求入金並完成達標交易，繼續完成適用的活動任務。獎勵資格、領取方式及先到先得名額以官方活動頁為準，並非註冊即保證領取 400 USDC。 ...

幣安熱錢包疑似流出至少 55.7 億美元，幣安尚未確認遭駭與損失。鏈上報導將首筆以太坊交易指向 10 月 29 日 20:24 UTC。來源：Decrypt 截至台灣時間 10 月 30 日上午，多鏈提領暫停與穩定幣凍結成為焦點，幣安則表示用戶資金安全。來源：TechCrunch CNBC 報導比特幣跌破 78,000 美元、報 77,994.96 美元。來源：CNBC 對台灣用戶，眼前要做的是確認提領狀態、保留帳戶證據與降低集中曝險，別讓急著搬錢成為新的損失。 先看時間軸與手法——EIP-7702 委託是這次的關鍵字 據 Decrypt 報導，首筆以太坊交易轉出 167,464 ETH 及 63 種代幣，其中包括 16.15 億 USDT。 關鍵線索在交易前三分鐘：一個由 Tornado Cash 出資的地址，向幣安熱錢包提交 EIP-7702 委託。來源：Decrypt 追蹤這起事件，應先把委託發生時間與後續轉帳順序對照，釐清帳戶何時開始受程式操作。 Decrypt 引述 Phylax Systems 創辦人 Odysseas Lamtzidi 說法，這類委託讓一般錢包可以執行智慧合約程式碼。委託生效後可持續存在；若委託程式允許，後續轉帳可能不必再取得該錢包的新簽名。來源：Decrypt 因此，判讀風險不能只問「我有沒有簽這筆轉帳」，還要問「過去是否授權了能代為操作的程式」。 提交委託的地址與提供必要授權簽名的人是不同概念，攻擊者如何取得必要簽名仍不明。來源：Decrypt 檢查錢包時，應分別核對一般代幣 approve 與帳戶委託，兩者的授權範圍不同。 可從Etherscan 交易紀錄 查看鏈上操作，對照完整地址、交易時間與官方後續說明。追蹤時直接使用已核對的網址，遇到私訊提供的「安全檢查」入口就停止操作。 為什麼數字從 20 億到 57 億都有——三種估算怎麼讀 首先是分析師的初步範圍。TechCrunch 報導至少 20 億美元流出，部分估計超過 57 億美元，且盜取可能仍在進行；幣安尚未確認金額與資金移動性質。來源：TechCrunch 這個範圍足以提醒用戶立即檢查曝險，最終損失則須等待調查結算。 ...

2026 年 10 月，Electrum 官方修補了一個高風險漏洞：惡意伺服器可以吞掉你剛送出的比特幣交易，換成一筆付款給攻擊者的假交易，然後安靜等你按下「加速」。至少一名使用者就在提高手續費的那一刻，把幣簽給了對方。官方安全公告 本週比特幣在約八萬美元附近震盪，這是行情背景，並非本文發稿當下的即時成交價。CoinDesk 比特幣報價頁 聯準會利率決策預定於台北時間 10 月 29 日凌晨 02:00 公布，記者會為 02:30；時間由美東行程換算。聯準會官方行事曆 價格在跳、交易又卡住，加速就成了直覺反應 價格跳動、準備轉帳進交易所，偏偏錢包顯示交易遲遲未確認，這時「加速」很容易變成直覺反應。Electrum 最新揭露的漏洞，利用的正是這個操作習慣：使用者以為只是補手續費，實際卻替被換掉的交易重新簽名。 截至本月，自託管的風險可以從幾條事件線看懂：Electrum 的交易驗證漏洞、Keystone 的客戶資料外洩，以及 Trezor 物流資料外洩與 Ledger 經銷通路改機所凸顯的供應鏈問題。時間線必須分清楚：Trezor 事件較早發生，不能全部描述成本月才遭入侵；個資外洩，也不能直接寫成錢包私鑰已被偷走。 Electrum 漏洞如何把加速變成錯誤付款 Electrum 官方於 2026 年 10 月 24 日發布安全公告，將 GHSA-6jp4-8v48-cc5v 列為高風險；受影響版本為低於 4.8.3，修補版本為 4.8.3。官方安全公告 版本紀錄則把這次安全更新標記為 10 月 23 日，這與隔日公開公告的日期不同。官方版本紀錄 Electrum 是輕錢包，不在使用者電腦上完整驗證所有區塊鏈資料。尚未被區塊收錄、留在記憶池（mempool）的交易資訊，依既有設計仰賴連線中的主伺服器回報。Electrum 官方 FAQ 先藏住原始交易，再等待使用者重新簽名 攻擊流程可拆成四步。首先，使用者正常送出原始交易；接著，惡意伺服器扣住它，回報花費同一筆資金、卻改成攻擊者收款地址的偽造交易。這筆偽造交易原本的簽章無效，不能直接當作有效付款。官方攻擊流程說明 第三步，錢包介面把偽造交易顯示成未確認，原始交易反而不見了。最後，使用者啟用「以較高手續費替換交易」（Replace-by-Fee，簡稱 RBF），錢包便可能替錯誤內容重新簽署，讓攻擊者取得有效付款。危險發生在再次授權的那一刻，並不是伺服器憑空破解了私鑰。官方安全公告 官方收到兩份使用者通報，至少一名使用者已因提高手續費而損失資金；其中一個案例的偽造交易手續費為零，容易讓人想替它加速。CoinDesk 報導 已知資料未公布被盜金額與涉案伺服器，不應自行推算損失規模。 更容易被忽略的是，攻擊地址刻意讓末四碼與真正收款地址相同。CoinDesk 報導 因此，只掃過地址尾端就按確認，恰好會落入這次攻擊設計好的盲點。 更新之後，完整地址仍然要看 先暫停替可疑交易加速，從自己輸入的官方網址取得更新；查核時官方下載頁列出的版本為 Electrum-4.8.3。官方下載頁 下載後依官網說明驗證軟體簽章，不要改用陌生訊息、廣告或假客服提供的安裝檔。 ...

前言：公鑰曝光是風險條件，不是失竊通知 看到「數百萬枚比特幣公鑰已曝光」，很容易以為私鑰外洩，甚至有人正在搬走資產。這兩件事差得很遠。公鑰本來就是驗證簽章所需的資訊；問題在於，未來若出現足夠強大的容錯量子電腦，今天安全的公私鑰關係可能被破解。 依 CoinDesk 2026 年 10 月 16 日報導 ，九家加密公司在前一天宣布成立量子聯盟（Quantum Alliance）。聯盟估計約 640 萬枚 BTC 的公鑰已曝光，其中約 110 萬枚 被認為與中本聰有關。同一報導也明確記載聯盟的界線：目前沒有任何現存量子電腦，能透過這種方式竊取這些比特幣。 所以，這篇文章要回答的是資產如何盤點、升級如何準備，以及治理要付出什麼代價。對台灣持有者而言，最實際的起點是辨認自己的地址與金鑰使用方式，並防範借用「抗量子」名義的詐騙。量子新聞不能直接推導出買進、賣出或更換幣種的結論。 量子聯盟是什麼？640 萬枚又代表什麼？ 依上述 CoinDesk 在 2026 年 10 月 16 日的報導，聯盟的工作方向是建立共同安全測試與遷移指引，涵蓋比特幣、以太坊等網路。報導點名資安公司 Hacken、Cardano 創辦人 Charles Hoskinson 的 Midnight Foundation、抗量子 Layer 1 公鏈 Quantus，以及 Postquant Labs。 KuCoin 2026 年 10 月 16 日轉述 BlockBeats 的快訊 同樣說明共有九家業者，但本次可讀版本只逐一列出上述四家，因此本文不把未出現在該版本的名字寫成已由這則快訊確認的完整名單。 聯盟能做的是讓業者使用較一致的測試條件，解釋什麼叫「抗量子」、如何驗證，以及跨系統遷移需要哪些配套。它不是比特幣的管理機關，也沒有自行凍結鏈上資產或替全網啟用升級的權力。一份標準發布後，仍要有人實作、審查、測試與採用。 數量也必須照來源解讀。CoinDesk 與 KuCoin 在 2026 年 10 月 16 日記載的聯盟口徑是「約 640 萬枚、約占供應量 30.2%」。這是來源並列的估算，本文不把兩者視為可直接驗算的精確比例，也不擅自替來源補上供應量分母。中本聰約 110 萬枚的歸屬同樣是估計，不能當成經本人確認的帳戶清單。 ...