Security Alliance 估算 Binance 這起 63 億美元級攻擊，駭客不是衝進來搶錢就走，而是在系統裡拿到了 8 週的存取權。我認為這比合約漏洞更難看：一個大型 exchange 被長期滲透，代表攻擊者已經把錢包、簽名、監控、應變流程全部摸熟。Bitget 的 3.88 億美元案件也被點名有類似多階段入侵模式，這不是單一倒霉，是同一種病。
把事件拆開看，最刺眼的不是「被駭」兩個字，而是時間軸。8 週不是幾分鐘的閃電攻擊，足夠駭客觀察提現熱區、測試權限、模擬簽名，甚至故意小筆移動資產，看值班人員會不會半夜跳起來。對 Binance 這種平台來說，熱錢包、冷錢包、多簽、監控告警、跨鏈橋、smart contract 權限、內部審批，全部都在同一張攻擊面地圖上。只要有一個角色被拿到，後面就不是單點失守，而是整條風控鏈路被當成迷宮。
我比較在意的是，市場還是太習慣把交易所事故簡化成「智能合約漏洞」。這說法很安全，聽起來也專業，但它把責任從組織推到程式碼。程式碼可能有 bug，但 8 週的 access 更像權限治理問題：誰能簽名？誰能批准？誰能繞過多簽？哪些 key 被熱使用？哪些 API 有提現權限？值班工程師能不能在告警觸發後 10 分鐘內凍結熱錢包？如果這些問題沒有答案，下一場事故只是換個 exchange 名字。
多階段入侵這個詞聽起來冷，但操作起來很髒。駭客可能先從一個小專案的 frontend 植入，拿到內部 API 權限，再透過社工讓 someone 批准一笔小额测试转账。對大型 exchange 來說，真正難防的不是鏈上 smart contract，而是內部權限像洋蔥一樣被一層層剝開。Web3 常把「去中心化」掛在嘴上，但交易所內部常常是高度中心化的權限樹，只要 root 被碰到，整棵樹都會抖。
贏家通常不是受害最輕的人，而是最早就把風控當生意的人。冷錢包服務商、鏈上監控工具、交易所保險基金、做 MPC 錢包的公司、提供 on-chain monitoring 的團隊，都會拿到更多預算。機構資金也會重新計算交易所風險，把 Binance 這類平台從「交易入口」降級成「可接受風險節點」。普通用戶看起來是輸家，但真正受伤的往往是那些把全部資產放在交易所、又沒有提現紀錄意識的人。
| 立場 | 誰受益 | 誰受傷 | 我的判斷 |
|---|---|---|---|
| 平台風控 | 冷錢包、多簽、監控供應商 | 依賴單一交易所的用戶 | 風控預算會增加，但執行速度仍是生死線 |
| 機構資金 | 有獨立保管與鏈上分析能力的機構 | 沒有即時對帳機制的中小平台 | 他們會把交易所當作交易通道，不當保管人 |
| 散戶 | 願意學習提現與授權管理的人 | 把交易所當銀行的人 | 散戶風險不在鏈上，而在授權與信任 |
| 駭客 | 能長期滲透與分批提領的人 | 所有慢半拍的風控流程 | 攻擊成本下降，防守成本上升 |
當駭客能在交易所裡住 8 週，真正的漏洞不一定是
smart contract，而是誰能簽名、誰能批准、誰能在半夜叫醒值班工程師。
Bitget 的 3.88 億美元案件被拿来對比，重點不是金額大小，而是入侵路徑相似：先偵查，再取得權限，最後集中提領。這類模式很討厭，因為它不像閃電貸攻擊那樣漂亮，反而像駭客在後台慢慢翻抽屜。對市場來說，這代表防守方不能再只強調「我們用了多簽」或「我們有 audit」，因為攻擊者已經把多簽當流程漏洞，把審計報告當背景噪音。
資金流向會很誠實。機構不會只聽公告，他們會看哪些 smart contract 被升級、哪些 multisig 地址被替換、哪些 RPC 節點被切掉。普通用戶也可能開始把交易所當成交易通道，而不是保管人。對 Binance 來說，最痛的不是單次虧損，而是 信任折價。
我對 Binance 的期待很實際：完整 postmortem。不是官方聲明裡一句「已補齊漏洞」，而是列出哪些 key 被使用、哪些 permission 被撤銷、哪些監控告警被忽略、哪些內部審批被繞過。若只公布「已追回資金」或「已補強風控」，市場會用錢投票。大型 exchange 的信用不是靠緊急公告撐住，是靠每次事故後敢不敢把流程攤開。
延伸思考與常見問題
Q1：Binance 被駭客拿到 8 週存取權，代表智能合約被攻破嗎？
不一定，這類事件通常更像權限被濫用、私鑰被取得，或內部流程被繞過，智能合約漏洞只是可能入口之一。
Q2：為什麼 Bitget 的 3.88 億美元案件會被拿来對比？
因為兩者都出現多階段入侵模式，代表駭客可能先偵查、再取得權限，最後才集中提領，而不是單純隨機攻擊。
Q3：普通用戶現在最該檢查什麼？
先確認交易所提現與授權紀錄，並把長期不動的大額資產移到冷錢包，避免把全部風險押在單一平台的風控上。
