每次有交易所出事，討論最後都會回到同一個地方：幣該放冷錢包還是熱錢包，該不該放在交易所。
9 月 Bitget 那次，這個框架接不住。攻擊者沒有偷到任何一把私鑰。他們在系統裡待了三週半，把提幣的放行邏輯摸清楚，然後餵進一批系統本來就會批准的指令。
失敗的不是保管方式，也不是密碼學。失敗的是自動放行：資金移動的那一刻，做決定的是一套在比對規則的程式，而不是一個在判斷語意的人。
這件事值得台灣用戶看，是因為它不只發生在交易所。每一個能替你下單的自動下單程式、每一個你授權過額度卻忘了取消的合約，都建立在同一個安排上。底下四個問題，是用來看清楚你手上那個能動多少錢。
本文於 2026 年 10 月 23日由Antalpha更新，納入 10 月初公布的 SlowMist 與 Mandiant 調查結果。
什麼是自動放行
自動放行指的是任何一種安排：軟體為一筆會移動資產的交易產生有效簽章，而在那之前沒有人逐筆審視過這筆交易。
這個說法涵蓋的範圍比多數人想的廣。交易所內部經過自動檢查就放行提幣的系統，是自動放行。持有熱錢包私鑰的自動下單機器人，是自動放行。你在 2024 年授權給某個去中心化交易所、之後再也沒取消的額度，是一種延遲的自動放行——你預先批准了那份合約在你不再盯著的條件下動用你的資金。帶有花費上限的 session key，是有天花板的自動放行。
它們共通的只有一件事：在資金移動的那一刻，做決定的是比對規則的程式碼，不是判斷語意的人。
Bitget 那次，機理上發生了什麼
2026 年 9 月 24 日，Bitget 偵測到熱錢包與溫錢包出現未經授權的轉出。金額最後定在 3.875 億美元，涉及 11 條鏈，由初報的 3.516 億上修而來。冷錢包未受影響。提幣先暫停、後分階段恢復，10 月 2 日完成。損失由 Bitget 自行承擔，未轉嫁用戶。追回極為有限：Circle、Tether 與 NEAR Intents 合計凍結約 110 萬美元，約佔被盜金額的 0.3%。
沒有任何私鑰被偷，這一點 Bitget 執行長在首批報導把成因認定為私鑰外洩之後，親自出面澄清過。
依據 10 月初公布的 SlowMist 與 Mandiant 調查：攻擊者利用了 Bitget 環境內一個第三方安全產品的零日漏洞，在服務進程下執行隱藏腳本讀取環境變數中的資料庫密碼，由此取得存取權。SlowMist 將現有日誌中最早的惡意活動定在 2026 年 8 月 31 日。轉出發生在 9 月 24 日。
中間隔了大約三週半，而攻擊者把這段時間用掉了。Mandiant 發現他們在那台被攻陷的安全設備上植入 web shell、建立命令與控制通道，再橫向移動到 Bitget 的生產環境錢包任務伺服器，在上面部署惡意套件。SlowMist 從環境中復原出一個被刪除的工具，形容它高度貼合該錢包系統的提幣邏輯。Bitget 自己的說法是，攻擊者取得高權限內部憑證，用來發出偽造的提幣指令，產生「繞過既有風控的異常轉帳」。
所以整個順序是：從安全軟體進來，待三週，摸清提幣流程依據什麼批准，造一個會講這套流程語言的工具，然後開口要錢。
**簽名系統沒有被攻破。它是被研究透了，然後被滿足了。**這件事沒有密碼學上的修補方案，因為密碼學環節什麼都沒壞。流程執行的每一道控制都正確執行了，只是執行在一批沒有任何人讀過的指令上。
Bitget 表示 IP 行為模式與鏈上分析指向北韓方面，Elliptic 與 TRM Labs 也報告了與先前盜案洗錢錢包的重疊。本文後面的論點不依賴這項歸因。
進來的那扇門，是一個安全產品
這個細節值得單獨拿出來，因為它推廣得很糟。
入口是 Bitget 為了讓自己更安全而採購的軟體。一台安全設備按定義就坐在信任邊界的內側，這正是它有用的原因，也是它值得被攻擊的原因。Bitget 事後已通知該廠商並停用相關功能，等待修補。
把這件事放到任何你讓它靠近你資金的東西上。那個程式自己的程式碼是一個問題。它呼叫的節點、它信任的價格來源、它引入的函式庫、它用來簽名的瀏覽器擴充套件，全部屬於同一片攻擊面，而這些你一個都沒審過。
為什麼這不是一則交易所新聞
任何一次交易所事故之後，反射動作都是去談保管：把幣提出來，自己拿私鑰，問題解決。
保管確實是一個真實變數。但把 Bitget 理解成一則保管事故，會錯過這次事件真正展示的東西，而那個東西更不舒服、也更當下：一套自動審批流程，可以被任何在裡面待上三週的人逆向出來，然後餵進它本來就被設計來批准的指令。
接著想想整個加密產業在 2026 年做了什麼。會讀行情並執行的代理、你睡覺時替你再平衡的機器人、把一句自然語言變成一串鏈上動作的助手。這些產品存在的理由，就是把人從執行的那一刻移開，因為移開本身就是產品。沒有人想要一個需要你醒著的代理。
所以問題不是 AI 代理會不會自動放行。多數非放行不可，否則它什麼都做不了。問題是這個自動放行握有多大權限，以及當有人餵給它一個格式完美的謊言時，爆炸半徑有多大。
還要注意一件事：一套規則之所以可被攻擊，正因為它一致。自動審批必須是確定性的才有用，而確定性意味著它可以被學習。只要有足夠的存取權與足夠的耐心，一個有決心的攻擊者不需要擊敗規則，他只需要讀懂規則。
Bitget 是這個失敗模式第一次在機構規模上公開引爆。它不會是最後一次，而下一次更可能是一個消費級的代理，不是一家交易所。
簽名權限的四個檔位
「託管」與「非託管」這組二分法太粗。至少存在四個位置，而且失效方式各不相同。
| 安排 | 誰能動資金 | 失效方式 | 爆炸半徑 |
|---|---|---|---|
| 完全託管 | 平台，依其自身控制機制 | 平台內部遭入侵，Bitget 即為標準案例 | 平台持有的全部，且為共池 |
| 委託私鑰 | 替你持有熱錢包私鑰的機器人或代理 | 私鑰被竊取，或代理被餵入錯誤指令 | 該私鑰能控制的全部 |
| Session key 與授權額度 | 合約或代理，在預先批准的上限內 | 被遺忘的長期授權；被攻陷的合約在額度內抽乾 | 你預先批准的額度，而且通常是無上限 |
| 逐筆人工簽名 | 只有你，每筆一次 | 釣魚、盲簽、社交工程 | 一筆交易，前提是你有讀 |
最後一列並沒有寫「安全」。它寫的是爆炸半徑等於一筆交易，而這才是真正被提供的安全性質。
四個問題
一、誰持有那把能動資金的私鑰
不是問「誰保管資產」，那個問法只會換來一句行銷答案。具體的問題是：哪一方手上握有能產生有效轉帳的簽章材料。
如果答案是你以外的任何一方，那麼那一方的內部安全就是你的安全，包含他們的後端系統、他們的部署流程、他們的供應商，以及他們最糟的那一天。Bitget 的用戶沒有被攻陷，被攻陷的是 Bitget 環境裡的一台安全設備，而那就足夠了。
這個問題還有幾乎沒人問的後半段：哪些程式碼構得到那個負責簽名的東西？持鑰者是一個答案。有路徑通往持鑰者的軟體清單，是一份長得多的名單，而在 Bitget 這次，名單上包含一個專門為了降低風險而買進來的產品。
二、一條偽造指令最多能動多少
這是沒有人問、卻決定一次入侵會讓你損失多少的問題。
一個能動你全部餘額的代理，爆炸半徑無上限。一個被限制在每筆、每日、每個對手方固定金額內的代理，爆炸半徑有界。在一場靠「讓壞指令看起來正常」運作的攻擊裡，上限是唯一還有效的控制，因為其他所有控制都已經被滿足了。
直接問那個數字。Bitget 展示了沒有那個數字的代價：共池的熱錢包與溫錢包基礎設施沒有任何逐筆上限能中斷那個序列，3.875 億美元流出 11 條鏈，其中約 110 萬美元被凍結。
三、審核的是交易的語意，還是只有格式
自動驗證檢查的是一筆交易格式是否正確：欄位對不對、簽章有沒有效、狀態一不一致、有沒有超出規則。它無法檢查這筆交易是不是你想要的那一筆，因為「想要」不是位元組的屬性。唯一有能力判斷語意的元件，是一個知道自己本來要做什麼的人。
這也是為什麼「每筆都由你簽名」這個說法比聽起來弱。一個不讀提示就按下確認的人，只是一個更慢、更貴的自動放行器。安全性來自審閱，不來自那一下點擊。任何把人放進這個迴圈、卻又把提示設計成可以快速略過的產品，等於留下了責任而丟掉了好處。
四、你的錢包上還掛著哪些長期授權
多數人在為一個新代理跑這套檢查的時候，身上還背著一個舊代理留下的無上限風險。
代幣授權會留存。你在 2024 年授權給某個去中心化交易所，介面為了省後續的手續費而要求了無上限額度，而那份額度到今天還活著。如果那份合約日後被攻陷，攻擊者不需要你的私鑰。你已經簽過了。
這是保管論戰一路跳過的那個自我保管失效模式。你的私鑰可以完全安全，問題出在你的權限。
自我保管不是答案，它是另一個問題
自己拿私鑰不會降低風險，它只是把風險搬了個位置。你移除了平台內部遭入侵的暴露，換來的是釣魚、惡意簽名請求、抽乾錢包的網站、地址投毒，以及你在某個狀態不好的夜裡的注意力。這一類損失並不罕見，而且和 Bitget 的用戶不同，你沒有保護基金。
這件事業內的教育者自己就講得很直白。Ledger Academy 的商業利益在於賣自我保管硬體，他們仍然發了一篇叫〈正視自我保管最大的幾個誤解〉的文章。當廠商自己說自家產品存在值得澄清的誤解時，那些誤解大概是真的。
沒有哪一種模式全面勝出。你應該做到的是說得出自己承擔了哪些風險，而上面四個問題就是用來把它們找出來。
其他三家做了什麼
以下全部出自各家自己的公開資料。
| 平台 | 上線時間 | 約束機制 | 檔位 |
|---|---|---|---|
| Binance AI Pro | 2026-10-19 | 隔離的 AI 策略子帳戶，只能手動轉入，代理無法提領至外部地址；先紙面交易；上線前需獨立的審查與核准步驟 | 架構級，作用在帳戶層 |
| OKX AI | 2026-06-30 | 代理市場與任務市場，代理之間互相雇用，以穩定幣結算，爭議由質押評審網路處理 | 事後仲裁 |
| Minara Harness | 2026-09-08 | Minara 自述為將研究與執行帶進同一個代理工作區，「附帶確認要求與操作限制」 | 依其自述為流程級 |
Binance 的做法和我們形成最有意思的對照，因為它從相反的方向回答了同一個問題。Binance 把這個原則稱為「有界自主」，而它畫的界線圍著帳戶，不是圍著每個動作。代理在一個只有使用者能轉入、且沒有任何路徑通往外部地址的子帳戶裡運作。在牆內它有相當大的自由，在牆外它從結構上什麼都沒有。
那是一道架構級的護欄，而且是好的那種。它的失效方式也和逐筆簽名不同。逐筆簽名保護每一筆交易，代價是要求使用者讀每一則提示；帳戶邊界對每筆交易什麼都不要求，但把損失上限鎖在帳戶裡的金額。兩者沒有誰嚴格勝出，它們失效的方式不一樣，而使用者應該知道自己選的是哪一種失效。
Binance 也明確說明了自家檢查不涵蓋什麼，這點值得複述，因為很少有上線公告願意寫：平台的程式碼檢查確認策略能無錯誤執行，不評估它會不會賺錢。
OKX 做的是另一件事。那個市場讓代理雇用其他代理並在彼此之間結算，控制機制是一套在爭議發生之後處理的質押評審網路。對一個商務網路來說這是合理設計，對資產保管來說則很弱，因為仲裁跑在錢已經動完之後。它適合回答「這個代理有沒有交付它承諾的服務」，不適合回答「這筆轉帳到底該不該發生」。
Minara 的 Harness 頁面提到確認要求與操作限制，但沒有公布細節，所以我們依其自述將它放在流程級，無法由公開資料進一步驗證。
每一種設計在回答的問題其實不同
把四者並排，會發現它們不在同一個軸上競爭。
帳戶邊界回答的是：最多會損失多少。簽名閘回答的是：是誰做的決定。評審網路回答的是：出事之後誰賠。工具描述裡的一句指令回答的是：模型被要求做什麼——而那和模型會做什麼不是同一件事。
一個認真的代理平台大概需要其中不只一種。只有第四種的那些，值得多看兩眼。
接上一個代理之前該問的四件事
四個問題，上面點名的每個平台都有公開答案。
有多少工具能寫入，你看得到那份清單嗎？
一份你能逐條列出的清冊，和一段用行銷文案描述的能力範圍，是兩種不同的風險。如果那個平台支援 MCP，tools/list 一次呼叫就能回答，不需要信任任何人。
一條壞指令的硬上限是多少？
Binance AI Pro 的答案是那個隔離帳戶的餘額。逐筆簽名模式的答案是一筆交易。如果答案是一段關於謹慎設計的句子，而不是一個數字或一道邊界，那就是沒有上限。
保護最危險那個動作的是哪一檔，和保護最安全那個動作的是同一檔嗎？
有意義的不是平均值，是碰得到錢的那條最弱路徑。
模型本身能提供什麼？
一個能指定收款地址的模型，就是一個可以被誘導指定錯誤地址的模型。要問那些危險欄位是來自模型，還是來自鏈上。
Nina 站在哪裡
Nina 是 Antalpha（NASDAQ: ANTA）的 Web3 原生 AI Agent，涵蓋加密貨幣、預測市場與美股。它分析行情並擬出交易，連接使用者自己的非託管錢包，不保存私鑰，也不代替使用者交易。
我們把 Nina 建在一道簽名閘上。Antalpha 技術文件把架構描述為五步流程，第四步就是這道閘：交易被擬好，由使用者簽名。文件原話是，使用者資產的控制權「永遠停在第四步，在你自己的錢包裡」。
對應上面四個問題：持鑰的是使用者，因為 Nina 連接使用者自己的錢包、不保存私鑰。一條偽造指令的爆炸半徑是一筆交易，而且只在使用者簽名之後才成立。語意審核發生在簽名閘，核准是一個架構上跳不過去的人類動作。長期授權是唯一一處 Nina 主動替你出手的地方：它跨鏈檢查錢包授權，標出高風險額度，用一次簽名取消它們；兌換之前也會掃描代幣合約，合約有問題就擋下交易。
第三個問題的強度完全取決於使用者。Nina 把審核移到使用者那一側，那是它該在的位置，而一個不讀就核准的使用者等於把這層保護交了回去。沒有任何架構能修好這件事。
Nina 是一層情報，不是一個資安產品。它為每則回答附上資料來源與新鮮度徽章，狀態分成即時驗證、延遲、部分可得與不足，資料撐不起結論時它會直說，而不是生一個數字出來。完整的來源清單與各自更新頻率公布在 How Nina Works。那是一套針對分析的透明機制，不是對你交易所在鏈的稽核。
授權那一塊你也不必只聽我們的。任何一個區塊鏈瀏覽器都會列出你地址上的授權額度。Nina 的檢查結果應該和它一致，如果兩者對不上，請相信瀏覽器。
接下來十分鐘
真正有用的動作大約十分鐘，而且沒有一項需要工具。
跑一次錢包授權檢查，取消所有你目前用不到的額度。多數人會找到至少一筆自己早就忘了、授權給一個已經不再使用的介面的無上限額度。
然後，對每一個能碰到你資金的代理、機器人或平台，把第二個問題的答案寫下來。如果你找不到一個數字，暴露就是你的全部餘額，而且應該照這個數字來對待。
最後，下一次錢包提示跳出來時，在按下核准之前讀一遍收款地址和金額。那個閱讀動作就是逐筆簽名的全部價值，略過它等於把價值退還回去。
Bitget 展示的不是自動化系統會失敗。它展示的是自動化系統會成功，完全照規格成功，為那個願意花時間搞懂它會接受什麼的人成功。一套審批流程對站在它裡面的人來說是一份公開的規則書，而唯一不能被研究到就範的元件，是一個知道自己本來要做什麼的人。
常見問題
什麼是自動放行？
自動放行指任何一種由軟體為會移動資產的交易產生有效簽章、而在那之前沒有人逐筆審視過該筆交易的安排，包含交易所後端的自動提幣流程、持有熱錢包私鑰的下單機器人，以及長期未取消的代幣授權額度。
Bitget 被盜是因為私鑰外洩嗎？
不是。SlowMist 與 Mandiant 的調查發現，攻擊者利用 Bitget 環境內一個第三方安全產品的零日漏洞，橫向移動到生產環境錢包任務伺服器，再使用高權限內部憑證發出繞過既有風控的偽造提幣指令。沒有任何私鑰被竊取。
自我保管就安全了嗎？
不是。自我保管移除了平台內部遭入侵的暴露，同時加入了釣魚、惡意簽名請求、抽乾錢包的網站，以及被遺忘的代幣授權。它改變的是你承擔哪些風險，不是消除風險。
錢包安全最常被忽略的風險是什麼？
長期未取消的代幣授權。一份曾經授予合約的無上限額度會無限期有效，日後該合約一旦被攻陷，攻擊者不需要碰到私鑰就能移走資金。
Nina 在沒有我簽名的情況下能動我的資金嗎？
不能。Nina 連接使用者自己的非託管錢包，不保存私鑰，每一筆交易都必須由使用者從自己的錢包簽名。
攻擊者是怎麼進到 Bitget 的？
依 SlowMist 與 Mandiant 的調查，攻擊者利用了 Bitget 環境內一個第三方安全產品的零日漏洞，現有日誌中最早的惡意活動為 2026 年 8 月 31 日，之後橫向移動到 Bitget 的生產環境錢包任務伺服器，於 2026 年 9 月 24 日轉出資金。
自動下單機器人到底安不安全？
安全與否取決於簽名架構，而不是模型好壞。要問的是：誰持有能動資金的私鑰、一條指令最多能動多少、是否有人審核交易語意、以及錢包上還掛著哪些長期授權。
Nina 是 Antalpha（NASDAQ: ANTA）的 Web3 原生 AI Agent，涵蓋加密貨幣、預測市場與美股：結論前置的分析，附具名來源與時效標記，以及全天候盯盤的哨兵模式。非託管，不持有資金、不代為交易、不抽取本金或利潤；執行路徑上收取一筆透明的路由費。本文僅供資訊參考，不構成投資建議，亦非價格預測。官方管道：antalpha.com、App Store 與 Google Play 上的「Antalpha AI」、x.com/antalpha_ai。
