Coinbase凭什么说盗不了 99%冷存储拆开看是三条限制-游吧乐下载

币安10月29日那天丢掉的6.3亿美元，把一个问题摆到了所有人面前：一个交易所被攻破，是因为它的服务器没人看着吗。Coinbase在11月4日发出的那份说明里没有这么解释。它给的是一组工序：超过99%的客户资产放在联网之外，冷钱包私钥拆成几块、签名时也不拼回完整的一把，从冷到热有额度上限，提现出现异常峰值时先挂起等人工复核，最后一层是可以把签名密钥整体下线的开关。这些说法都出自公司自己的博文，没经过第三方审计，本文要把它们放回去年那些真出事的案例旁边，看看哪几条是可以核验的，哪几条只能算承诺。

冷存储这个词，盖住的是三道不同的门

普通人听到“冷存储”，脑子里出现的画面大概是硬盘锁在保险柜里。这个理解不算错，但它只描述了第一道门：钱包不联网。10月29日的事说明第一道门并不足够，币安同样有大额资产在冷库，攻击者绕的是另一条路。

按币安11月3日公布的事后复盘，攻击从6月开始：一名工程师在配置AI编码工具时下载了被篡改的软件包；9月有人假冒招聘方，把恶意文件伪装成笔试题；10月20日，攻击者用被控电脑和一个内部AI工具拿到了另外两名工程师的系统权限，进而取得部署凭证；到10月29日，他们在钱包基础设施里装上恶意程序，接进了内部的钱包签名服务。换句话说，被攻破的不是冷库的物理位置，而是“谁有权发起一次签名”这条审批链。签名服务一旦被接管，冷库里的钱也会按正常流程被签出去。

所以再看Coinbase描述的那几道门，重点不在“99%离网”，而在后面几条：私钥分片、从不完整重组，单个人没有常设权限，冷转热有速率上限，异常提现强制复核，以及可以整体下线的开关。这些设计解决的都是同一个问题：攻破一台电脑、偷到一个口令、甚至拿到一个员工的身份，单独一项都不足够。

额度上限那一条，才是真能算账的部分

前三道门属于技术承诺，外人看不到实现细节。第四道门可以侧着算一下：如果冷转热有速率上限，那么单次损失的天花板就被这个上限卡住。币安这次的损失之所以能到几十亿美元，一个可解释的原因是资金并非一次性被搬走，而是在钱包签名服务被接管的窗口里持续流出；按11月4日Arkham的统计口径，被盗的97.05万枚SOL里约81%已经通过THORChain换成比特币走出去了，真正还在原地的只剩18.2万枚，约1690万美元。

一条上限如果只是每小时能挪多少，它拦不住持续几天的慢速搬空。Coinbase的说法里没有给这个上限的具体数字，也没说异常检测是按单笔金额、按收款地址还是按提现总量触发，所以“99%”这个比例可以和“单次可得金额有限”同时成立，也可以和“只要时间足够长就照样能搬走”同时成立。读者能做的判断，是把这类说明当成设计意图，而不是已生效的保险。

交易所资金保管的三层结构示意

把说明放到三个真实案例旁边

币安：签名权限被接管

前面提到的路径里有一个细节值得单独拎出来：攻击者利用了以太坊的EIP-7702，这个机制允许钱包把交易权限委托给智能合约。币安在暂停提现之后仍发现有未授权转账，原因就在这里，权限已经写进链上，暂停提现关不掉它。而它用的多方计算（MPC）钱包，签名权分散在多方手里，撤销这些委托反而更麻烦。这件事的含义是，托管方的应急预案不仅要能暂停，还要能撤销已经生效的委托，而后者在MPC架构里不是靠一个开关就能解决的。

Mercado Bitcoin：恢复按阶段来

巴西的Mercado Bitcoin在11月2日被盗，Cointelegraph 11月4日拿到的说法是：从下周一（11月9日）开始恢复，但第一阶段只开放查看余额、对账单、持仓和投资，转账、提现和交易要等独立安全测试通过之后分批恢复。被盗金额按链上分析机构估算超过4600万美元，公司称已借助行业协作冻结超过1500万美元，并将动用自有资金回购补足缺口，资金来源里包括Tether在10月投入支持的2000万美元。这里没有“99%冷存储”的说法，但它演示了另一件事：恢复顺序本身就是风险披露，先让人看到余额，再谈能不能取，说明公司自己也不确定热钱包什么时候能重新上线。

Coinbase爱尔兰：历史上确实混过账

如果说前两个案例是安全问题，第三个更贴近“资产保管”这四个字。Coinbase爱尔兰子公司在10月22日与爱尔兰央行达成和解，缴了325万欧元罚款。公司自己列出的历史问题分在五类：2023年美国银行业危机期间，30名客户的美元存款被引导存入了另一家Coinbase实体的代客账户，与别的客户资金混在一起；脱欧迁移之后，一些客户继续往旧的英国账户打钱，系统层面后来才加上拦截；还有出于流动性安排，用爱尔兰的客户资金账户支付了其他实体的欧元提现。每一项都由当日的资金重平衡流程在当天搬回专户，公司也说明没有客户因此受损。

这一条与“有没有被黑”无关，它是运营层面的串账。对普通用户的启示很直接：冷存储管的是币会不会被动走，客户资金隔离管的是平台出问题时你的钱还在不在自己的户里，这两件事往往由不同的部门、不同的监管口径管。Coinbase用同一份博文讲安全设计，但这和解说的是另一条线上的事，不该混在一起读。

11月4日的资金流，为什么给出的信号相反

同一天，市场的反应是分裂的。比特币从11月4日03:00的低点75736美元一路回到23:00的81196美元，当晚美股因为中期选举结果走高，比特币跟着走。按11月5日08:00的现货数据，BTC报80780美元，24小时涨幅约5.0%。在这一晚里，币安的提现、BitMart的新一轮盗案、Mercado的暂停提现都没有变成抛压。

更能说明问题的是合约那头。11月4日23:00那根小时线成交了3.17亿美元的现货，同期币安BTC永续的未平仓名义额只从约77.0亿升到77.4亿，持仓几乎没动；账户多空比从前一天的2.35降到1.39；资金费率在4日那三个结算点都是0.01%，到5日08:00的当期回落到0.0024%。价格涨了、持仓没涨、费率没抬，这不是加杠杆追多的形态，更像空头在价格上行时平仓，加上一部分现货被买走。

11月4日比特币价格与未平仓合约走势对照

也就是说，资金没有离开市场，只是没有加大风险敞口。对一份“我们很安全”的说明来说，这是最好的市场环境：用户不急着把钱取出来，说明至少在当下，提现摩擦还没转化成赎回。

真正需要盯的，是余额那一栏有没有变

安全做得再好，如果用户开始把稳定币换成美元离场，交易所照样吃不消。按DefiLlama的全链统计，USDT的流通量从10月26日的1824.6亿美元降到11月4日的1783.4亿美元，八天净减约41.2亿美元；同期USDC从719.0亿美元降到709.5亿美元，减了约9.5亿。两家一起缩，说明这不是某一家的兑付压力，而是稳定币整体在收缩。

这个数字要看口径：DefiLlama统计的是各链上流通的份额，不等于Tether公司层面的赎回规模。USDT的赎回和换手经常在链下完成，链上数字少了，可能是持有人换了另一种稳定币，也可能是平台把库存收回了发行方，两种情形对价格的影响完全不同。把它当作一份体温计，别当作诊断书。

它和本文主题的关系在这里：一项托管安全承诺要成立，必须有人愿意继续把钱放在那里。如果接下来几天USDT和USDC的流通量继续以每天四五亿美元的速度往下走，说明赎回还在进行，那时候各家的冷热钱包设计与解冻速度就会被真正检验一次；如果数字先稳住、BTC的持仓再跟着回来，这场风波更像一次技术事故，不是托管信心的转折。

相关下载： 欧易okx交易所 v6.195.1大小：549.4M

三条可以自己核的事，和一条核不了的

核不了的先放在前面：冷钱包私钥怎么分片、签名时怎么重组、员工权限怎么分级，这些都在公司内部，公开材料里只有描述、没有审计报告。第三方证明如果日后出现（比如储备证明、托管审计），才可能把这条从“承诺”升级成“可验证”。

可以核的有三条。第一，链上提现的节奏：如果冷转热真有上限，大额提现应该表现为排队，而不是几小时内全部到账，这个用公开的提现到账记录就能看出来。第二，稳定币余额的方向：上面那组八天数据是基准，之后几天是继续缩还是回头，能说明赎回压力有没有过去。第三，合约持仓与现货的量价关系：如果价格继续涨而持仓始终不动、资金费率不抬，说明这轮上涨仍是空头回补主导，对托管机构的信心没有额外的加分。

最后要说清楚的是，这三个案例里最容易被误读的是第三件。Coinbase爱尔兰那笔325万欧元罚款没有客户损失，也不是黑客事件，但它恰好证明了“99%冷存储”这句话的边界：它回答的是币会不会被偷，不回答客户的欧元有没有和自己的钱待在一起。把这两件事分开看，才不至于把一份安全说明读成一份全面的托管背书。

比特币在11月4日那波上行里并没有因为盗案改变方向，但改变方向从来不是一两天的事。接下来一周，比行情更值得看的是提现有没有排队、稳定币有没有继续缩。这两项都稳，说明市场接受了整改；任何一项走坏，冷存储的比例就不再是重点。