币安疑似热钱包被盗后的 Aave–DEX 价差套利：61 地址、347 万美元与教科书窗口复盘

结论先行： 用户转述的「事发后 6 小时内 61 个地址在 Aave 主网借入 ETH（不含黑客）、最高单地址约赚 347 万美元、前十合计约 636 万美元」可追溯到同一原始出处——X 用户 @0xNaiXi（昵称「奶昔」）于北京时间 2026-10-30 约 08:41（UTC 00:41）发布的链上复盘。ChainCatcher、Odaily 等媒体随后以「社区用户」口径转述，数字与原帖一致。

更关键的是：这不是「ETH 暴跌后借币现货做空」的故事。 实际机制几乎相反——黑客为规避稳定币冻结，在 Uniswap 等 DEX 用大量 USDT/山寨币换 ETH，把链上 ETH 瞬时买贵；Aave 仍按 Chainlink 汇总的交易所参考价记账，形成 15%–30% 的「DEX 溢价 vs 预言机」窗口。套利者按预言机价借出 ETH，在 DEX 高价卖成稳定币，待价差收敛后再买回还款。独立媒体 The Defiant / CryptoNews 亦记录到同一时段 Uniswap 相对 Binance 约 20% 溢价，与上述叙事互相印证。

对最高获利地址，本文用公开 RPC / Blockscout 做了路径抽查：地址真实存在且活跃；事发约 24 分钟后开始「借–（补抵押）–聚合器卖出」循环；主溢价窗口内可见约 20 笔大额 ETH 卖出，合计约 1.26 万枚——与「卖出 12289 ETH」量级一致。「61 个地址」与前十利润表仍主要依赖原作者逐笔统计，本文未独立重跑全样本。

一、事件与价格冲击：被盗资金如何把 DEX 上的 ETH「买贵」

1.1 时间线（与套利直接相关）

币安侧同期调查「潜在安全问题」、暂停充提、承诺覆盖损失并公布冻结规模等，与本篇套利机制无直接因果，但构成「CEX 提币通道暂时失效 → 链上与所内定价更难被搬平」的宏观背景。

1.2 为何是「DEX 变贵」，不是「全市场跌到 2297」

直觉上容易把「卖 2580、买回 2297」理解成做空暴跌。原复盘与独立行情快照指向另一结构：

1. 黑客需要不可冻结的 ETH。 USDT/USDC 可被发行方拉黑；ETH 不能。于是被盗稳定币与山寨币通过 Uniswap 等兑换为 ETH（Decrypt 等报道了多笔自 Uniswap 合约流入 exploiter 地址的 ETH）。
2. 币安暂停提币后，交易员难以把 CEX 上相对便宜的 ETH 快速搬到链上砸平价差，窗口被拉长到约一小时量级（原复盘表述）。
3. Chainlink ETH/USD 等喂价主要锚定更厚的 CEX 市场，短时间内不会跟着单一 Uniswap 池的冲击定价同步飙升。Aave 用这类预言机给抵押与负债计价，于是出现：同一时刻，DEX 现货贵、借贷账本上的 ETH「便宜」。

独立交叉验证（The Defiant，经 CryptoNews 转载）：

• 美东时间 10-29 约 17:00 那一分钟，Uniswap V3 WETH/USDT 0.3% 池收盘约 2700.74 USDT/ETH；
• 同期 Binance ETH/USDT 约 2258.90，溢价约 19.56%；
• 展示的 Chainlink ETH/USD 参考约 2247.42；
• Coinbase ETH/USD 亦在约 2230–2256 区间，贴近 CEX 而非 Uniswap 尖峰。

这与「Uniswap 2560–2750 / 预言机 2250–2290」同属一类现象：局部池被买穿，预言机与 CEX 仍在低位。

二、套利策略拆解：借的是「预言机价 ETH」，卖的是「池子价 ETH」

标准四步（旁观者套利，不是黑客本金路径）：

1) 向 Aave 存入 USDC/USDT（或使用事先已存好的抵押）
2) 按 Chainlink/Aave 预言机价借入 ETH（负债按 ~2250–2290 计价）
3) 经 DEX / 聚合器（如 0x Allowance Holder）按池内高价卖成稳定币
4) 价差收敛后，用稳定币买回 ETH，偿还 Aave 借款；稳定币净增加额即为毛利

2.1 为什么「借 ETH 再卖」能赚，而不是「在 DEX 直接卖自己的 ETH」

• 若自有 ETH 在 CEX 价附近购入，到 DEX 溢价卖出，那是普通现货溢价套利，但需要先持有大量 ETH。
• 通过 Aave：抵押稳定币 → 借出 ETH → 高价卖掉，相当于用借贷库存参与溢价收割，资本效率更高；还款时买回的 ETH 数量与借入接近，锁定的是卖出价与买回价之差。
• Aave 合约无需漏洞。原作者原话大意：本质是 CEX/预言机与 DEX 的价差搬砖，Aave 只是「按交易所价格向外借出 ETH 的窗口」。

2.2 与清算、预言机、资金费率的关系（以及容易混淆之处）

2.3 主要风险（对模仿者，而非道德评判）

1. 价差瞬间收敛或反向插针：卖出后若预言机上修或 DEX 回落过快，买回成本恶化。
2. 健康因子：抵押率不够时，ETH 相对抵押品上涨会挤压仓位。
3. 拥堵与 gas：小资金可能被手续费吃掉。
4. 协议风控：Aave 随后冻结新借，晚到者借不到。
5. 地址误伤风险：极端舆情下，与黑客资金流「看起来相近」的地址可能被审查或前端限制（社区回复中有人提到「被当黑客地址冻结就尴尬」——属操作与合规风险提示，非已证实结果）。

三、数据核实：61 / 顶一 / 前十

3.1 原始出处

• 作者： @0xNaiXi（奶昔）
• 时间： 2026-10-30 00:41:36 UTC（北京时间 08:41:36）
• 链接： https://x.com/0xNaiXi/status/2115967318274789609
• 媒体转述： ChainCatcher（09:06 BJ）、Odaily（09:00 BJ；标题写「两小时」，原帖强调价差约一小时、样本窗 6 小时）

3.2 原说法与自洽性检查

3.3 顶一地址：链上抽查（独立于原帖利润表）

完整地址（纠正 OCR 常见误读 …B88252…）：

0x0cdd9cBB825212C6cC5b0B36239e94218ee661D8

抽查结果（2026-10-30 上午，公开节点 / Blockscout）：

• 账户活跃（nonce 达数百级），并非空地址。
• 约 20:48 UTC（BJ 04:48） 起出现与 Aave Pool V3（0x87870bca…）及 ETH 网关类合约（0xd01607c3…）的密集交互，随后经方法 ID 0x2213bc0b 的聚合器路径转出大额 ETH——与原帖「Borrow → Supply → Swap」截图一致。
• 在 UTC 20:45–21:45（覆盖主溢价窗）内，该地址经上述聚合器路径、单笔 value>1 ETH 的卖出约 20 笔，合计约 12582 ETH。若去掉其中一笔 299 ETH，约 12283 ETH，与「12289」几乎吻合；原帖称「分 18 笔、每笔 300–1000 ETH」，与「多数大单在 399–1000」相符。
• 其后数十分钟至两小时内，可见大量向 Aave 的还款类调用，以及向同一网关合约转入大额 ETH（买回还贷阶段），与「价差回落后续买回」叙述一致。

代表性卖出交易（UTC，value 为交易附带 ETH）：

说明：上述抽查验证的是路径与数量级；逐笔 VWAP=2580/2297、精确毛利 347 万仍以原作者统计为准，本文未对全部中间换汇做全量会计重算。

四、前十地址列表（出自 @0xNaiXi 附图；活动性已抽查）

原帖排除的黑客地址：0x8d53903625b8e839b9Df4bd28B0EFb1CD6b8639A（与「存 6000 万 U、借约 1.98 万 ETH」的 Exploiter 3 叙事对应；RPC 可见低 nonce 活动）。

合计（原帖）：约 636 万美元（未扣 gas）。
除第 1 名外，其余地址的精确盈亏路径未在本文逐笔复算；表中利润均标注为原作者估计。

五、利润从哪来，谁在「买单」

用会计直觉拆开：

1. 直接对手盘： Uniswap 等池中的 LP，以及同方向接流动的交易者。黑客（及跟随买盘）把池子价格打到溢价区；套利者卖出，相当于把溢价卖给池子，LP 在高位被动成为买方库存的一部分。
2. 系统性来源： 「可冻结稳定币 → 不可冻结 ETH」的挤兑式兑换，叠加 CEX 提币暂停，使通常秒级消失的基差存活数十分钟。
3. Aave 存款人 / 协议： 旁观者借走的是池内 ETH 流动性，短期推高利用率与借款利率；协议本身按设计赚取利息，并非被「盗用」。黑客那笔债务占 wETH 储备约 0.9%（Marc Zeller），与这 61 个旁观者是不同现金流。
4. 谁赚走了 347 万： 链上看是已部署好抵押、能在 20–30 分钟内自动或半自动执行分笔卖出的地址；原帖强调「弹药要提前放好」——等新闻再充 U，窗口往往已过。

黑客 vs 旁观者（事实区分）：

六、局限与未核实项

1. 「61」为原作者计数，未用 Aave 事件日志做独立全量重跑。
2. 顶一以外前九名的精确利润、全部 tx 哈希未逐一会计复核。
3. 均价 2580 / 2297 为原作者 VWAP；本文仅验证卖出 ETH 数量级与路径，未重建全部 swap 的 USDT 入账。
4. 毛利未扣 gas；拥堵期成本对小资金不可忽略。
5. 跨钱包倒手再卖的利润，原帖声明未计入。
6. 币安事件终局损失、官方法律定性仍以交易所与执法披露为准；本文只讨论已观测的价差与借贷行为。
7. 部分媒体标题写「两小时获利」，与原帖「价差约一小时 + 六小时样本窗」不完全同一口径。

七、参考来源（完整 URL）

1. 原始复盘：https://x.com/0xNaiXi/status/2115967318274789609
2. ChainCatcher 转述：https://www.chaincatcher.com/article/2300192
3. Odaily 转述：https://www.odaily.news/zh-CN/newsflash/528955
4. Uniswap vs Binance ~20% 溢价（CryptoNews 转 The Defiant）：https://cryptonews.net/news/ethereum/33673719/
5. Decrypt：黑客经 Uniswap/Aave 换 ETH、Aave 随后冻结：https://decrypt.co/382194/binance-hack-exit-ramps-defi-exchange-ethereum
6. Aave 官方冻结声明：https://x.com/aave/status/2115937863162339637
7. ACI / Marc Zeller 论黑客 Aave 债务（Odaily）：https://www.odaily.news/zh-CN/newsflash/528902
8. 顶一地址（Etherscan）：https://etherscan.io/address/0x0cdd9cBB825212C6cC5b0B36239e94218ee661D8
9. 黑客借币相关快讯（PANews）：https://www.panewslab.com/zh/articles/01a189c4-4e80-7286-8bd6-cf68de64186e

调研时点：北京时间 2026-10-30 上午。数据以当时公开链上节点、Blockscout 与上述一手帖文/报道为准；市场与冻结状态可能迅速变化。本文为事实复盘，不构成投资建议。