交易所被駭怎麼辦？5 個步驟：查儲備證明、提領與地址白名單

交易所被駭時，可以照這 5 步做：從官方管道確認消息、不理會補償和追回的私訊；用儲備證明和鏈上資料查交易所的狀況；看清楚開了哪些網路再提領；設好提領地址白名單、通行密鑰、防釣魚碼和 API 權限；最後想清楚錢之後放哪裡。

例子是這次的 Binance。10 月 30 日凌晨，Binance 的熱錢包被轉走大筆資產，Binance 當天上午公布的初步估計，總影響約 63 億美元。事件發生後我一直在更新〈幣安 Binance 遭駭 63 億美元：事件經過與最新進度〉。那幾天 PTT 的討論串裡，有人問 USDT 是不是轉不出幣安，也有人問：「冷錢包比較安全嗎？」事件還沒結束，下面的數字都是當時公布的（台灣時間），提領開到哪裡、補回多少，以事件專頁最新的更新為準。

1. 先從官方管道確認發生什麼事，別理會「補償」和「協助追回」

出事當下，光是損失金額就有好幾個版本。同一起事件，Binance 估約 63 億美元，TRM Labs 算 63.6 億，Elliptic 算 64.3 億，Decrypt 統計至少 55.7 億，差在各家算的範圍不同：有的只算熱錢包流出，有的算攻擊者收到的全部。看到數字，先問是誰算的、算的是什麼。

詐騙也會同時出現。Binance 10/30 05:24 發出第一份聲明時，就提醒用戶不要點非官方連結，也不要回應索取帳戶資料的訊息。11/1 晚上網路流傳一張截圖，說 Binance 會補償每位用戶 150 美元，Binance 官方 X 回覆這是假訊息、截圖經過竄改；共同執行長何一也說目前沒有任何現金券活動，提醒大家小心釣魚和詐騙連結。

收到私訊、客服電話、Telegram 帳號，可以先拿到 Binance 官方的 Binance Verify 查。這個工具能查網址、email、電話、Telegram 和社群帳號是不是官方的。頁面上也寫著：Binance 不會透過私人通訊向你要資金或代幣。所以私訊說可以幫你「追回」或「領補償」、但要你先轉幣或給驗證碼的，都不必回。

2. 自己查交易所的狀態：儲備證明和鏈上資金

儲備率要看幣種和快照時間

儲備證明（Proof of Reserves）是交易所持有的資產除以欠用戶的資產，100% 代表報告當下每 1 單位用戶資產都有至少 1 單位對應。11/3 Binance 儲備證明頁上最新一期是 10/31 08:00 的快照：BTC 100.04%、ETH 100%、USDT 100%、USDC 106.08%。

它是某一刻的快照，快照之後的交易，以及報告沒涵蓋的幣種，都不在裡面。Binance 11/2 20:49 的復原更新說，10/31 08:00 那次快照的完整零知識證明已經產出，持有 BTC、ETH、USDT、BNB、SOL、USDC、XRP、USD1、RLUSD、ZEC 的用戶可以用驗證工具確認自己的餘額至少 1:1 足額；下一次快照在 11/4。

用官方工具確認你的餘額被算進負債

各家都用 Merkle 樹，讓你在看不到別人資料的情況下，確認自己的餘額有被算進去。2026-11-03 我查了四家官方說明：

• Binance：登入網站，到「Wallet → Verification」，選要查的日期，就能看到自己的 Merkle Leaf、Record ID、涵蓋的幣種，以及當時的餘額。
• OKX：到 PoR 報告頁按「Details」，「Copy data」後存成檔名結尾是 _inclusion_proof.json 的檔案，和官方開源的 zk-STARK Validator 放在同一個資料夾執行，結果會顯示「Inclusion constraint validation passed」或「failed」。
• Bybit：進「Verify My Account」頁可以看到自己的 Merkle 路徑；要自己算的話，從儲備證明頁「Copy Data」存成 myProof.json，用 Bybit 在 GitHub 公開的 Java 程式驗證。官方也註明，帳號在某次審計之後才開，或沒有持有被審計的幣，那一期就查不到紀錄。
• Bitget：登入後到儲備證明頁按「My proof of assets」，再按「Verify」看 Merkle 樹，根雜湊和當月公布的一致，代表你的資產在快照裡；也可以「Download data」，用開源工具 MerkleValidator 自己跑。

Merkle 驗證回答的是「我這一筆有沒有被算進去」。總額加起來對不對、有沒有負數帳戶，Binance 和 OKX 另外用零知識證明檢查；OKX 的總額與非負檢查，也能下載「Liability report」裡的檔案，用同一個 Validator 跑。Binance 的儲備證明頁沒有列出具名的會計師事務所，主要靠密碼學和用戶自己核對。

鏈上數字要分清楚在算什麼

DefiLlama 統計的交易所鏈上資產，是公開錢包地址裡查得到的資產總額，不等於交易所的全部資產，也沒有扣掉欠用戶的錢。

這次 Binance 的公開錢包總值，事件前是 1,716.6 億美元，11/3 06:56 是 1,500.7 億美元，少了約 216 億。這裡面同時有被轉走的資產、用戶提領和幣價下跌，所以它不等於被盜金額。淨流入／流出只算幣量進出，但交易所在自己的錢包之間搬資產（例如換新地址），也可能被算進去，所以單看淨流出，不夠判斷交易所出了什麼事。Binance 11/1 就宣布，儲備證明的地址清單加入了新錢包，之後的提領都從新地址出。

3. 要不要提、怎麼提：先看開了哪些網路

Binance 11/1 14:04 先開 BTC 網路提領，到 20:36 共開了 15 個網路。USDT 可以從以太坊、BSC、OP、Arbitrum、Tron、Solana、Polygon、Avalanche C-Chain 和 TON 提出；其他資產與網路要等安全檢查完成後分階段開放，11/2 的更新說 11/3 起再開更多。

所以 USDT 轉不轉得出幣安，答案要看時間：10/30 到 11/1 下午確實提不出來；11/1 20:36 之後，上面 9 個網路的 USDT 已經能提。

剛開放時提領量衝高。Binance 公布 11/1 14:00 到 23:30 處理了 46.49 億美元提領、10.1 億美元充值，淨流出約 36.4 億美元，Binance 說這約是 10/28 儲備證明資料中 1,710 億美元管理資產的 2.1%。

如果決定提領，Binance 提領說明裡有幾條規則要照著做：

• 選的網路要和收款平台的網路一樣。官方寫明，送到錯的網路會永久損失。
• 需要 Memo（Tag）的網路一定要填，官方說沒填的話，對方會無法辨識地址。
• 第一次提到新地址，先送一小筆確認地址正確。
• 送出前看清楚畫面上的網路手續費和實際到帳金額。

4. 把帳號鎖緊：白名單、通行密鑰、防釣魚碼、API

• 提領地址白名單：在「Settings → Withdrawal」開啟後，只能提到白名單上的地址，開關要用通行密鑰（passkey）或 2FA 確認。修改白名單可能讓提領暫停 24、48 或 72 小時；另外還有「Whitelist Withdrawal Limit」，可以讓新加入的地址在你選的期間內不能提領，Binance 建議開著。
• 通行密鑰：Binance 說加了通行密鑰之後，所有連結的裝置都能用它做 2FA。
• 防釣魚碼：設定後，Binance 真正寄出的 email 和簡訊都會帶這組碼，碼不對或沒有，就可能是釣魚。長度 6 到 8 個字元。
• API 金鑰：沒限制 IP 的 HMAC 金鑰只能讀取；要開提領權限，一定要先加 IPv4 白名單。用不到提領權限的金鑰，就不要開。

5. 錢之後放哪裡：交易所和自己保管各有風險

這次 Binance 說會用 SAFU 基金和公司資金承擔所有損失，11/1 的第四次更新說受影響資產約 95% 已補回。不過這段期間，提領從 10/30 清晨暫停，到 11/1 下午才分批恢復，什麼時候能提要等交易所宣布。

自己保管，風險換成另一種。我在 Lab 做過 Ledger Nano X 植入物 3D 拆解：被改過的硬體錢包會在螢幕的 SPI 線上竊聽，在設定時抄走 24 個助記詞。Ledger 原廠驗證只檢查安全晶片，所以驗證照樣通過；這些機器是從 Lazada、Amazon、日本 Yahoo 拍賣、MediaMarkt、Ozon 等通路買到的。拆解用的植入物資料來自 Karpelès Lab 的原始研究（Ledger 植入物 OSINT 報告、GitHub 程式庫），內容是我自己整理的，與 Karpelès Lab 沒有官方關係，也未經其背書。

所以「冷錢包比較安全嗎」沒有一個通用的答案，兩邊的風險不一樣：放交易所，風險在平台的資安和提領控制；自己保管，風險在裝置從哪裡買、助記詞怎麼保管，以及自己操作有沒有出錯。

本文不是投資建議。加密貨幣價格波動大，請自己評估風險。