币安疑似热钱包被盗后的 Aave–DEX 价差套利：61 地址、347 万美元与教科书窗口复盘

Fri, 30 Oct 2026 00:00:00 +0000

结论先行： 用户转述的「事发后 6 小时内 61 个地址在 Aave 主网借入 ETH（不含黑客）、最高单地址约赚 347 万美元、前十合计约 636 万美元」可追溯到同一原始出处——X 用户 @0xNaiXi（昵称「奶昔」）于北京时间 2026-10-30 约 08:41（UTC 00:41）发布的链上复盘。ChainCatcher、Odaily 等媒体随后以「社区用户」口径转述，数字与原帖一致。

更关键的是：这不是「ETH 暴跌后借币现货做空」的故事。 实际机制几乎相反——黑客为规避稳定币冻结，在 Uniswap 等 DEX 用大量 USDT/山寨币换 ETH，把链上 ETH 瞬时买贵；Aave 仍按 Chainlink 汇总的交易所参考价记账，形成 15%–30% 的「DEX 溢价 vs 预言机」窗口。套利者按预言机价借出 ETH，在 DEX 高价卖成稳定币，待价差收敛后再买回还款。独立媒体 The Defiant / CryptoNews 亦记录到同一时段 Uniswap 相对 Binance 约 20% 溢价，与上述叙事互相印证。

对最高获利地址，本文用公开 RPC / Blockscout 做了路径抽查：地址真实存在且活跃；事发约 24 分钟后开始「借–（补抵押）–聚合器卖出」循环；主溢价窗口内可见约 20 笔大额 ETH 卖出，合计约 1.26 万枚——与「卖出 12289 ETH」量级一致。「61 个地址」与前十利润表仍主要依赖原作者逐笔统计，本文未独立重跑全样本。

一、事件与价格冲击：被盗资金如何把 DEX 上的 ETH「买贵」

1.1 时间线（与套利直接相关）

时间（北京时间）	时间（UTC）	事件
约 10-30 04:24	10-29 20:24	币安相关热钱包大额转出被广泛监测；ETH 等资产外流（媒体/链上统计合计约 55–58 亿美元量级，口径仍在变动）
04:40–05:40	20:40–21:40	原复盘称 Uniswap 上 ETH 成交约 2560–2750，个别 3000+；Aave/Chainlink 参考价约 2250–2290
约 04:48	约 20:48	最高获利地址开始在 Aave 借 ETH 并在聚合器卖出
约 04:57–05:01	20:57–21:01	黑客关联地址向 Aave 存入约 6000 万 USDT，借出约 19762 ETH（Decrypt / PANews / ACI 创始人口径）
约 06:44	22:44	Aave 官方：作为预防措施，冻结全部 DAO 运营的 V3/V4 市场，暂停新存入与新借款，仍可提款与还款
约 08:41	00:41(+1日)	@0xNaiXi 发布 61 地址 / 347 万复盘

币安侧同期调查「潜在安全问题」、暂停充提、承诺覆盖损失并公布冻结规模等，与本篇套利机制无直接因果，但构成「CEX 提币通道暂时失效 → 链上与所内定价更难被搬平」的宏观背景。

1.2 为何是「DEX 变贵」，不是「全市场跌到 2297」

直觉上容易把「卖 2580、买回 2297」理解成做空暴跌。原复盘与独立行情快照指向另一结构：

黑客需要不可冻结的 ETH。 USDT/USDC 可被发行方拉黑；ETH 不能。于是被盗稳定币与山寨币通过 Uniswap 等兑换为 ETH（Decrypt 等报道了多笔自 Uniswap 合约流入 exploiter 地址的 ETH）。
币安暂停提币后，交易员难以把 CEX 上相对便宜的 ETH 快速搬到链上砸平价差，窗口被拉长到约一小时量级（原复盘表述）。
Chainlink ETH/USD 等喂价主要锚定更厚的 CEX 市场，短时间内不会跟着单一 Uniswap 池的冲击定价同步飙升。Aave 用这类预言机给抵押与负债计价，于是出现：同一时刻，DEX 现货贵、借贷账本上的 ETH「便宜」。

独立交叉验证（The Defiant，经 CryptoNews 转载）：

美东时间 10-29 约 17:00 那一分钟，Uniswap V3 WETH/USDT 0.3% 池收盘约 2700.74 USDT/ETH；
同期 Binance ETH/USDT 约 2258.90，溢价约 19.56%；
展示的 Chainlink ETH/USD 参考约 2247.42；
Coinbase ETH/USD 亦在约 2230–2256 区间，贴近 CEX 而非 Uniswap 尖峰。

这与「Uniswap 2560–2750 / 预言机 2250–2290」同属一类现象：局部池被买穿，预言机与 CEX 仍在低位。

二、套利策略拆解：借的是「预言机价 ETH」，卖的是「池子价 ETH」

标准四步（旁观者套利，不是黑客本金路径）：

1) 向 Aave 存入 USDC/USDT（或使用事先已存好的抵押）
2) 按 Chainlink/Aave 预言机价借入 ETH（负债按 ~2250–2290 计价）
3) 经 DEX / 聚合器（如 0x Allowance Holder）按池内高价卖成稳定币
4) 价差收敛后，用稳定币买回 ETH，偿还 Aave 借款；稳定币净增加额即为毛利

2.1 为什么「借 ETH 再卖」能赚，而不是「在 DEX 直接卖自己的 ETH」

若自有 ETH 在 CEX 价附近购入，到 DEX 溢价卖出，那是普通现货溢价套利，但需要先持有大量 ETH。
通过 Aave：抵押稳定币 → 借出 ETH → 高价卖掉，相当于用借贷库存参与溢价收割，资本效率更高；还款时买回的 ETH 数量与借入接近，锁定的是卖出价与买回价之差。
Aave 合约无需漏洞。原作者原话大意：本质是 CEX/预言机与 DEX 的价差搬砖，Aave 只是「按交易所价格向外借出 ETH 的窗口」。

2.2 与清算、预言机、资金费率的关系（以及容易混淆之处）

概念	在这次窗口中的角色
Chainlink / Aave 预言机	决定借多少 ETH、健康因子；窗口内相对 DEX「偏低」，是套利得以成立的前提
清算	若借 ETH 后 DEX/预言机 ETH 继续大涨且抵押不足，仓位可被清算；故大户倾向分批、控制杠杆。黑客那笔 6000 万 USDT / 19762 ETH 头寸，ACI 创始人 Marc Zeller 称健康因子约 1.04，ETH 若涨到约 2365 美元附近才易触发清算——与旁观者套利是不同主体
资金费率 / 永续合约	本次原复盘统计的是 Aave 现货借贷 + DEX 现货，不是合约资金费套利；CEX 暂停提币时，期现、资金费与链上溢价可能同时扭曲，但不宜把 347 万直接归因于费率
Aave 利率	短窗口内利息相对百万美元级价差通常是次要成本；原统计亦声明未扣 gas

2.3 主要风险（对模仿者，而非道德评判）

价差瞬间收敛或反向插针：卖出后若预言机上修或 DEX 回落过快，买回成本恶化。
健康因子：抵押率不够时，ETH 相对抵押品上涨会挤压仓位。
拥堵与 gas：小资金可能被手续费吃掉。
协议风控：Aave 随后冻结新借，晚到者借不到。
地址误伤风险：极端舆情下，与黑客资金流「看起来相近」的地址可能被审查或前端限制（社区回复中有人提到「被当黑客地址冻结就尴尬」——属操作与合规风险提示，非已证实结果）。

三、数据核实：61 / 顶一 / 前十

3.1 原始出处

作者： @0xNaiXi（奶昔）
时间： 2026-10-30 00:41:36 UTC（北京时间 08:41:36）
链接： https://x.com/0xNaiXi/status/2115967318274789609
媒体转述： ChainCatcher（09:06 BJ）、Odaily（09:00 BJ；标题写「两小时」，原帖强调价差约一小时、样本窗 6 小时）

3.2 原说法与自洽性检查

说法	核实状态
事发后 6 小时内 61 个地址在 Aave 主网借 ETH，不含黑客	有明确出处；本文未独立枚举全部 61 个。原帖附图注明排除黑客地址 `0x8d53903625b8e839b9Df4bd28B0EFb1CD6b8639A`
顶一卖出 12289 ETH，均价约 2580；买回 12314 ETH，均价约 2297；利润约 347 万美元	利润算术近似自洽：(12289\times2580 - 12314\times2297 \approx 342.0) 万美元，与「约 347 万」差约 1.4%，可用加权均价取整、未平仓按 2280 计价等解释（原帖亦称未扣 gas、未归还部分按 2280 计）
前十合计约 636 万美元	与原帖附图利润加总一致（347+78+67+43+29+21+15+13+12+11=636）
206 笔卖出平均高于预言机约 10%，最高超 30%	仅见原作者统计，未独立重算
价差窗口约在 BJ 04:40–05:40	与 The Defiant 记录的美东 16:45–17:03（即 UTC 20:45–21:03 / BJ 04:45–05:03）溢价时段重叠；原帖称 05:40 后基本抹平

3.3 顶一地址：链上抽查（独立于原帖利润表）

完整地址（纠正 OCR 常见误读 …B88252…）：

0x0cdd9cBB825212C6cC5b0B36239e94218ee661D8

抽查结果（2026-10-30 上午，公开节点 / Blockscout）：

账户活跃（nonce 达数百级），并非空地址。
约 20:48 UTC（BJ 04:48） 起出现与 Aave Pool V3（0x87870bca…）及 ETH 网关类合约（0xd01607c3…）的密集交互，随后经方法 ID 0x2213bc0b 的聚合器路径转出大额 ETH——与原帖「Borrow → Supply → Swap」截图一致。
在 UTC 20:45–21:45（覆盖主溢价窗）内，该地址经上述聚合器路径、单笔 value>1 ETH 的卖出约 20 笔，合计约 12582 ETH。若去掉其中一笔 299 ETH，约 12283 ETH，与「12289」几乎吻合；原帖称「分 18 笔、每笔 300–1000 ETH」，与「多数大单在 399–1000」相符。
其后数十分钟至两小时内，可见大量向 Aave 的还款类调用，以及向同一网关合约转入大额 ETH（买回还贷阶段），与「价差回落后续买回」叙述一致。

代表性卖出交易（UTC，value 为交易附带 ETH）：

UTC 时间	约卖出 ETH	Tx
20:49:11	500	`0x7e56dd5576366b648c2e8e17536681d7ea5247bebff431e4cb2e524a6f2c1807`
21:12:47	1000	`0x3d6f0c9fc580961659e812da229498d7cc865ccf83dd23e7fad5c55127cfd20b`
21:17:35	1000	`0xc5342a9fa627175cf630c2f20de6b36ed8be868eef60abead16ae9d07b09939f`
21:28:47	595	`0x25afd028a7c923f2216976ffe0309c8f84262043f7b85c5828fa9693b23bcbd9`

说明：上述抽查验证的是路径与数量级；逐笔 VWAP=2580/2297、精确毛利 347 万仍以原作者统计为准，本文未对全部中间换汇做全量会计重算。

四、前十地址列表（出自 @0xNaiXi 附图；活动性已抽查）

原帖排除的黑客地址：0x8d53903625b8e839b9Df4bd28B0EFb1CD6b8639A（与「存 6000 万 U、借约 1.98 万 ETH」的 Exploiter 3 叙事对应；RPC 可见低 nonce 活动）。

#	地址	原帖估利	原帖卖出摘要	链上活动抽查（nonce，约）
1	`0x0cdd9cBB825212C6cC5b0B36239e94218ee661D8`	~347 万美元	12289 ETH / 均价 2580；买回 12314 / 2297	高活跃（nonce≈461）
2	`0xfa653acCA123c3d4aF1f5f24daf8CF57DE963beb`	~78 万	1067 ETH / 3014	nonce=1（像一次性执行钱包）
3	`0xCaaB6ff98989fDD4F47e7DB6152e6fB47994EC1e`	~67 万	1560 ETH / 2710	高活跃
4	`0xa3a1443A166FE8501973A8233Aa13F766E682f7d`	~43 万	2995 ETH / 2424	有活跃
5	`0xcD40532686B94aBc88b06B9705AAcBc14c8364D6`	~29 万	998 ETH / 2570	高活跃
6	`0x41F6A54A627D31D7744cdf4a470cB3A32D6Cb114`	~21 万	542 ETH / 2665	有活跃
7	`0x50f02612EA1F79a84ef72d6912a5452F40a88eDd`	~15 万	单笔 211 ETH / 3011	nonce=1
8	`0x9C5b0eB419e52d5d229d01898190a05c357cAD08`	~13 万	854 ETH / 2428	有活跃
9	`0x3B15CEc2d922Ab0Ef74688bcc1056461049f89CB`	~12 万	525 ETH / 2507	高活跃
10	`0x9e1fdc4eD12D7cb16D30542254781eB7D0f3290c`	~11 万	452 ETH / 2523	有活跃

合计（原帖）：约 636 万美元（未扣 gas）。
除第 1 名外，其余地址的精确盈亏路径未在本文逐笔复算；表中利润均标注为原作者估计。

五、利润从哪来，谁在「买单」

用会计直觉拆开：

直接对手盘： Uniswap 等池中的 LP，以及同方向接流动的交易者。黑客（及跟随买盘）把池子价格打到溢价区；套利者卖出，相当于把溢价卖给池子，LP 在高位被动成为买方库存的一部分。
系统性来源： 「可冻结稳定币 → 不可冻结 ETH」的挤兑式兑换，叠加 CEX 提币暂停，使通常秒级消失的基差存活数十分钟。
Aave 存款人 / 协议： 旁观者借走的是池内 ETH 流动性，短期推高利用率与借款利率；协议本身按设计赚取利息，并非被「盗用」。黑客那笔债务占 wETH 储备约 0.9%（Marc Zeller），与这 61 个旁观者是不同现金流。
谁赚走了 347 万： 链上看是已部署好抵押、能在 20–30 分钟内自动或半自动执行分笔卖出的地址；原帖强调「弹药要提前放好」——等新闻再充 U，窗口往往已过。

黑客 vs 旁观者（事实区分）：

	黑客关联地址	61 个旁观者（原统计）
资金来源	疑似自币安热钱包转出的资产	自有抵押（如顶一称事先存约 3700 万 USDC）
在 Aave 的目的	把可变冻结的 USDT 变成 ETH 并转走	收割 DEX–预言机价差
规模例子	单地址约借 19762 ETH	顶一卖出约 1.2 万 ETH 量级
是否还贷动机	分析多认为动力很弱	原复盘描述为买回还款锁定利润

六、局限与未核实项

「61」为原作者计数，未用 Aave 事件日志做独立全量重跑。
顶一以外前九名的精确利润、全部 tx 哈希未逐一会计复核。
均价 2580 / 2297 为原作者 VWAP；本文仅验证卖出 ETH 数量级与路径，未重建全部 swap 的 USDT 入账。
毛利未扣 gas；拥堵期成本对小资金不可忽略。
跨钱包倒手再卖的利润，原帖声明未计入。
币安事件终局损失、官方法律定性仍以交易所与执法披露为准；本文只讨论已观测的价差与借贷行为。
部分媒体标题写「两小时获利」，与原帖「价差约一小时 + 六小时样本窗」不完全同一口径。

七、参考来源（完整 URL）

原始复盘：https://x.com/0xNaiXi/status/2115967318274789609
ChainCatcher 转述：https://www.chaincatcher.com/article/2300192
Odaily 转述：https://www.odaily.news/zh-CN/newsflash/528955
Uniswap vs Binance ~20% 溢价（CryptoNews 转 The Defiant）：https://cryptonews.net/news/ethereum/33673719/
Decrypt：黑客经 Uniswap/Aave 换 ETH、Aave 随后冻结：https://decrypt.co/382194/binance-hack-exit-ramps-defi-exchange-ethereum
Aave 官方冻结声明：https://x.com/aave/status/2115937863162339637
ACI / Marc Zeller 论黑客 Aave 债务（Odaily）：https://www.odaily.news/zh-CN/newsflash/528902
顶一地址（Etherscan）：https://etherscan.io/address/0x0cdd9cBB825212C6cC5b0B36239e94218ee661D8
黑客借币相关快讯（PANews）：https://www.panewslab.com/zh/articles/01a189c4-4e80-7286-8bd6-cf68de64186e

调研时点：北京时间 2026-10-30 上午。数据以当时公开链上节点、Blockscout 与上述一手帖文/报道为准；市场与冻结状态可能迅速变化。本文为事实复盘，不构成投资建议。

赤兔金马奖 – 金马的博客