幣安攻擊者的錢包改用 Gas Station 付手續費，交易經過 MetaMask 伺服器，IP 可能因此留下。
（前情提要：快訊》幣安疑似遭駭 25 億美元！約 16.7 萬枚以太坊＋16 億枚 USDT 流向新地址）
（背景補充：MetaMask新功能「Gas Station」上線：USDT、USDC等8代幣也能支付Gas費，好用嗎？）
幣安熱錢包今日清晨遭駭，攻擊者在其中一個存放 1.75 億 USDT 的錢包裡，用 MetaMask 的 Gas Station 功能、拿 USDT 而不是 ETH 付手續費。這一步會經過 MetaMask 自己的伺服器，可能留下 IP 等鏈下紀錄。
協議工程師 Justin Kalland 在 X 上指出這條線索，目前他描述的細節都對得上，而且這個錢包在用完 Gas Station 兩分鐘後，就被 Tether 凍結。
鏈上證據怎麼說？
時間線是這樣的：10 月 30 日清晨 5 點 8 分（台灣時間），這個錢包收到 1.75 億 USDT；約 2.5 分鐘後，另一個攻擊者錢包補進 2 枚 ETH 當作 Gas 費，與 Kalland 檢視的其他攻擊錢包做法一致。
多餘的一步發生在 5 點 12 分，同一個區塊連續出現三筆交易：Gas Station 先補進約 0.0337 枚 ETH；接著錢包對 KyberSwap 的路由合約做了無上限 USDT 授權，也就是讓該合約有權動用錢包裡的 USDT；最後轉出 127.67 USDT 給 Gas Station，等於用約 127 美元的 USDT 買下這些 Gas。
最耐人尋味的是金額。兩筆交易的 Gas 上限乘以各自最高費率後相加，與 Gas Station 補進的 ETH 僅差 5 wei（1 ETH 等於 10 的 18 次方 wei），換言之，MetaMask 一分不差地墊付了這兩筆交易的最高 Gas 預算。可是這個錢包當時已有 2 ETH，是所需金額的約 60 倍，根本不需要 MetaMask 代墊。
為什麼有 ETH 還走 Gas Station？Kalland 的推論是，攻擊者用 MetaMask 錢包，趕時間時誤選了 USDT 付 Gas。不過 MetaMask 官方說明寫的是，原生代幣不足時，MetaMask 才會自動改選符合資格的代幣，餘額足夠時則由使用者自行選擇。值得注意的是，這究竟是攻擊者手滑、介面預設，還是別的原因，鏈上資料看不出來，Kalland 自己也稱這是推論。
真的追得到人嗎？
不一定。推文下有網友質疑，駭走數十億美元的人不可能沒藏 IP，一定開了 VPN。Kalland 回應，這要看情況：人會犯錯，罪犯也是人，開瀏覽器或瀏覽器更新的那一秒，Tor 或 VPN 剛好沒開，或是連錯網路，就可能露餡。
關鍵在 MetaMask 留不留。MetaMask 隱私政策（2026 年 10 月 1 日修訂）寫道，僅在部分服務需要時暫時處理使用者的 IP 位址，用途例如防範 DDoS 攻擊，但沒有寫明儲存幾天。同一份政策也寫明，若法律要求，個人資訊可能被揭露給執法機關。Kalland 因此呼籲 MetaMask 立刻保全能保全的鏈下紀錄。截至發稿，MetaMask 官方尚未回應。
2022 年，Consensys 曾因旗下 Infura 收集 IP 引發社群反彈，事後表示會把儲存期縮短到 7 天。這僅是背景，現行政策並未寫明天數。
那 1.75 億 USDT 還動得了嗎？
5 點 14 分，Tether 的多簽錢包執行黑名單指令，把這個錢包列入黑名單（Tether 凍結交易），與 Gas Station 那一區塊相隔兩分鐘。錢包裡約 1.75 億 USDT 至今還在，但已無法動用。
攻擊者隨後把錢包裡的 ETH 轉走：5 點 46 分，約 22 枚 ETH 轉回另一個攻擊者錢包。換句話說，這次多付的 127 美元沒幫攻擊者搬走任何一筆 USDT，留下的可能僅有 MetaMask 伺服器上的那段連線紀錄。
📍相關報導📍
幣安遭駭近 20 萬枚 ETH 暫停出入金，Tether、Circle 聯手凍結超 23 億美元穩定幣
比特幣閃崩下探約 7.8 萬美元、以太坊跌破 $2250！幣安疑似遭駭訊息衝擊市場
小狐狸錢包 MetaMask推新功能「智慧交易」：防止以太坊MEV攻擊、減低Gas成本，如何開啟教學
