20分鐘被盜63億美元！幣安沒讓用戶虧1毛錢，這才是最該警惕的地方：你買的是比特幣，還是交易所的信用？

20分鐘與3天

美東時間10月29日下午4點多（台灣時間30日凌晨），攻擊者從幣安在十條區塊鏈上的錢包，轉出約63億美元的資產。

根據區塊鏈分析公司TRM Labs的追蹤，其中大部分在約20分鐘內完成。這是有紀錄以來最大的加密貨幣竊案，規模約是2025年Bybit遭竊15億美元的四倍。美國聯邦調查局（FBI）隨後認定，幕後是北韓的駭客組織TraderTraitor。

入侵點也不是什麼高深的密碼破解。幣安的初步調查指出，破口可能出在一名負責系統部署與維運的工程師身上，他的筆記型電腦遭到入侵，攻擊者藉此進入內部系統，送出未經授權的提款交易（幣安後續也表示，入侵點不只一處）。TRM Labs研判，攻擊者事前至少花了36小時準備，測試程式、預先備妥交易簽章。

說穿了，這是一場準備了好幾天、動手只花20分鐘的行動。用戶這邊的時間，就過得慢多了。事發後幣安立刻暫停提款，直到11月1日才分階段恢復，比特幣網路最先開放。這段期間，比特幣一度下跌逾3%，跌到約7.6萬美元，是六週以來的低點。

錢被搬走只要一杯咖啡的時間，想拿回來，卻可能要等上好幾天。

幣安全額賠償背後：保障基金只扛了不到一成

這次事件，大家記住的多半是結局：幣安承諾全額賠償，提撥約63.4億美元因應損失，並在三天內用公司資金買回約95%的遭竊代幣。用戶幾乎沒有直接虧損。

很多人看到這裡似乎就放心了，但這才是最該警惕的地方。事發那幾天，不少幣安帳戶的使用者心裡應該都會想：「幣安都說要全賠了，應該沒事了吧？」這句話背後的假設是：虛擬貨幣大交易所出事了，就一定會賠。

那賠償的錢從哪裡來。幣安說明，資金來自用戶安全資產基金（Secure Asset Fund for Users，SAFU）、比特幣準備金、期貨保險基金，以及公司庫存資金。其中SAFU的規模約10億美元，共同執行長何一表示會動用其中一半。

按照何一的說法估算，動用的SAFU大約是5億美元上下，對上63億美元的損失，占比不到一成。

號稱「保護用戶」的保障基金，只扛了不到一成。剩下的九成多，靠的是幣安自己的家底，以及董事會願意拿出來賠付。換句話說，這次能全賠，是因為幣安選擇賠，也賠得起。但如果是換成一家規模小十倍的交易所，同樣的攻擊，結局很可能就完全不一樣了。

拿台灣的銀行存款保險來比喻，存款人在每一家銀行機構，最高有新台幣300萬元的存款保險，由中央存款保險公司依法承擔。存款保險有法源、有主管機關監督，銀行就算倒了，賠付也是照程序走。

交易所的保障基金就不同了，規模多大、什麼時候動用、動用多少，全由業者自己決定，也可以隨時改變。

銀行出事，存款人拿回錢靠的是法律；虛擬貨幣交易所出事，用戶拿回錢靠的是老闆的意願。平常兩者看起來差不多，真出了事，差別就大了。

加密貨幣會不會漲，只是第一層風險

多數人評估加密貨幣是否值得投資，往往只問一個問題：會不會漲？但這次事件讓我們看到，投資加密資產，其實同時背著好幾層風險。價格只是最上面、也最容易看見的那一層。

第一層，價格風險。波動大、可能大幅回檔，這是大多數投資人唯一會注意到的風險。但真正決定你的錢拿不拿得回來的，往往是下面這幾層。

第二層，交易所風險。資產放在交易所，你持有的其實是對交易所的債權。它還不還得出錢、內控做得好不好、經營者靠不靠得住，就是你資產安全的上限。

第三層，流動性風險。就算最後一毛不少，你也可能在最需要用錢、或最想調整部位的時候被鎖住。這次是三天，下次可不一定。

第四層，保管風險。如果選擇自己保管私鑰，風險就從交易所轉到你身上。私鑰弄丟、遭到釣魚、操作失誤，都沒有客服可以打。

第五層，法律救濟風險。虛擬貨幣沒有存款保險，交易所又多半註冊在境外，跨境求償曠日費時；被偷走的比特幣，也沒有任何機構能下令凍結。

回頭看這次幣安事件，第二、三、五層風險其實全都出現了，只是剛好被一家口袋夠深的公司擋了下來。

交易所大到不會倒？三個容易學錯的教訓

事情看起來落幕了。但從這幾天聽到的反應來看，還是有幾個想法需要進一步思考。

金融圈常聽到「大到不會倒」，這次交易所能全賠，是因為幣安夠大，也願意賠。

但願不願意，掌握在業者手上，不在你手上。把自己資產的安全，押在別人的善意上，怎麼看都不是一個好的投資決策。

也有人說：「那我全部搬到冷錢包就好了。」冷錢包確實能避開交易所被駭的風險，但風險並沒有消失，只是從交易所搬到了你自己身上。

在財富傳承的實務上，我們也看過這樣的例子，虛擬貨幣的持有人突然過世了，家人卻不知道私鑰密碼是多少，有的甚至根本不知道這筆資產存在。

銀行帳戶可以走繼承程序拿回來，私鑰遺失的比特幣，哪一個法院都幫不了你。

還有一種比較少人想到的：「去中心化，就比較安全」。這次被凍結的約30億美元，大多是穩定幣USDT與USDC，因為發行商Tether和Circle有權封鎖。那遭竊的18,270顆比特幣呢？被拆到19個錢包裡，沒有人能凍結，大家只能盯著它什麼時候移動。

說來有點諷刺，這場危機裡最後真正幫上忙的，反而是整個生態中最「中心化」的那一塊。加密貨幣既然「沒有人能控制」，被偷的時候，也就「沒有人能幫你追回」。

這本來就是一體兩面。被視為比特幣思想先驅之一的電腦科學家薩博（Nick Szabo），早在2001年就寫過一篇文章，標題是〈受信任的第三方就是安全漏洞〉（Trusted Third Parties Are Security Holes）。

比特幣的誕生，本來就是想擺脫對中介機構的依賴。結果多數投資人為了方便，又把比特幣交回了中介機構手上。

如何避免下一次出事

這次事件不必讓人從此不碰加密資產，但有幾件事，值得每位投資人重新檢查一遍。

先看部位。一個簡單的檢驗方法，是問問自己：如果這筆錢最後全部歸零，我的生活和退休計畫會不會受影響？如果會，那部位可能就太大了。

加密資產比較適合當你的衛星資產配置；核心資產的任務不一樣，它要負責讓你晚上睡得著覺。

再來，交易和保管最好分開。交易所只放近期要交易的金額；長期部位，要嘛自己保管，要嘛透過受監理的保管機制持有。方便和安全，很多時候只能選擇其中的一個。

所以選平台時，值得看的三件事是：第一，有沒有定期公布儲備證明（Proof of Reserves），也就是由第三方核對平台實際持有的資產，夠不夠支應所有用戶存放的金額；其次是保障基金占平台資產的比例；最後是平台所在地的監理強度。

如果決定自己保管，傳承就一定要先安排好。助記詞是一組通常12或24個英文單字、可以還原整個錢包的密碼。它抄在哪裡？有沒有分開存放、防火防潮？家裡誰知道它的存在、誰知道怎麼用？遺囑或信託裡有沒有交代？這些事，最好在出事之前就想清楚，別留給家人去猜。

台灣在制度面也正在補強。立法院今年6月30日三讀通過《虛擬資產服務法》，把業者從洗錢防制的登記制提升為許可制，並明定交易平臺、保管等七類服務型態；金管會表示仍有9項子法需要制定，目標最快明年第一季施行。

不過要提醒的是，專法保護的是境內合規業者的用戶。不少台灣投資人偏好境外平台，圖的是幣種多、手續費低，還能開槓桿；可是境外平台一旦出事，台灣的專法和金管會都管不到，求償只能回到業者註冊地的法律去處理，要花多少時間和成本，誰也說不準。

結語：要先知道你真正買的是什麼

11月1日，幣安恢復提款。王先生一早就把大部分比特幣轉了出來。

像他這樣的人不少，幣安恢復提款後，出現約36億美元的淨流出。錢一毛都沒少，可是看著轉帳完成的畫面，他心裡並沒有比較輕鬆。

他一直在想：如果那三天拖成三個月甚至三年，或者幣安當初決定不拿家底出來賠，他能怎麼辦？想了半天，答案是沒辦法。除了等，什麼也做不了。

他一直以為，自己買的是一種不必信任任何人的資產。這三天才發現，他其實把全部的信任，交給了一家從來沒認真研究過的公司。

駭客還會再來，交易所的防線也會繼續補強，沒有人能保證下一次不會出事。我們能決定的，是出事那一刻，自己的錢放在哪裡、放了多少、家人知不知道？

所以下次買進任何資產之前，不妨先問自己一句：我買的是這個資產，還是某個平台的承諾？

作者簡介_楊琇惠

阿爾發金融科技公司董事長

鑫友會前瞻政策顧問