撰文：immrape

编译：AididiaoJP，Foresight News

本文描述的是公开账号行为中的统计规律。文中的「阵营」归属，依据的是账号公开内容和互动模式中可见的生态亲和信号，属于推断，不构成对任何机构或个人雇佣、指使他人的指控。「协同」在此是行为学概念，不是法律上的串谋认定。本文不转述包含辱骂或人身攻击的内容；文中点名或涉及的任何机构、个人，均可就数据和推断作出回应。

核心发现

• 规模：事发约 78 小时内，1083 个样本账号发布了 11700 条针对币安的敌意推文，合计约 2093 万次曝光。其中 79.6% 不是独立发帖，而是依附在他人帖子下的回复；另有 3354 条经逐条核实为虚假信息，归入 15 种谣言类型。
• 节奏：敌意内容不是事发后自然衰减的情绪发泄。它跟着币安每一次公开动作切换主题：承诺赔付后，话题转向「内鬼」；披露影响规模和初步调查后，转向「资不抵债」和「草台班子」；公布提现时间表后，转向「挤兑动员」；提现恢复后，转向「流出被夸大」和「导流去竞品」。
• 协同：641 个最活跃账号中，452 个与其他账号存在可观察的协同关系，合计 1186 组成对链接。444 个账号构成一张连通的网络，自动聚类为 11 个群体，语言、话题和协同风格差异明显——呈现的是几个相对独立的「阵营」。
• 休眠—激活：964 个账号（89%）平时几乎不提币安，日均不超过 0.2 条，却在事件期间集体激活，发帖频率是基线的 24.6 倍。其中 116 个还在此前两次币安相关争议中出现过。
• 目的：虚假信息集中在三类：否认事件真实性（自导自演 / 内鬼）、否认偿付能力（资不抵债 / 第二个 FTX）、否认提现可用（不敢开提现 / 一开就挤兑）。三类都指向同一个行为结果：在用户最需要冷静的时候，催促他们提币。
• 另一面：数据也显示，触达主要由少数头部账号驱动：粉丝超过 5 万的账号只发了 6.2% 的负面推文，却存在 68.0% 的曝光；134 个按水军规则得分最高的账号，合计只占 0.6% 曝光。只盯小号会低估这场操作，把所有批评者都当水军同样错误。

CZ 和何一多次说过，币安遭受有组织的声誉攻击。行业里的惯常反应是嗤之以鼻——每个出事的交易所好像都这么说。本文的出发点不是替谁辩护，而是回答一个数据能检验的问题：币安被盗后，X 上那些唱衰、质疑甚至辱骂的声音，是散户情绪的自然流露，还是有人在组织、分工、指挥？复盘给出的答案是：一场真实的安全事件旁边，确实并行着一场可观察的社交媒体叙事操作，有节奏，有分工。它的目标不只是币安，还包括那几天打开 X、想知道自己资产是否安全的每一个普通用户。

一、事件：78 小时里币安做了什么

2026 年 10 月 30 日凌晨，币安一个热钱包遭攻击，涉及约 63 亿美元资产，是加密行业史上以美元计规模最大的安全事件。下表列出随后 78 小时的主要公开回应节点，均为 UTC+8，并已与推文 ID 内嵌时间戳逐一核对。

币安主要应对时间线（UTC+8）

时间线本身不复杂：确认、止血、兜底、补血、验证、恢复。任何金融机构的危机应对，都是这套标准动作。但把同期 X 上关于币安的讨论叠到这条时间线上，画面就完全不同了。

针对币安应对措施事件的攻击量（按小时计）。虚线标示币安的里程碑事件；柱状图显示每小时的恶意推文数量，虚假信息以红色显示。

攻击方（上图；圆点大小代表曝光量）与币安应对措施（下图）的关键事件，逐段呈现。上图重点展示事件发生后的前 20 小时；下图涵盖剩余时间。

二、方法：如何定义「攻击」，如何把批评排除在外

先说清楚本文不研究什么。事发后，大量用户在社交媒体表达担忧、追问进展、批评回应速度、描述自己提现被卡的经历。这很正常，甚至健康。一个托管着数亿用户资产的平台出了事故，恐慌和质疑完全合理。

分析刻意排除四类内容：事发初期对资金的正常恐慌和担忧；合理追问，比如储备证明何时公布、某代币提现为何还没开，且不带恶意结论；事实报道和链上数据；真实用户的真实不满。

本文数据由作者在事发后三天采集。借助 AI 工具，对事件期间 X 上参与币安相关讨论的账号做批量扫描，只要满足以下至少一个可验证条件，就纳入样本：反复发布可证伪的虚假信息；辱骂、威胁或人身攻击个人；在多个不相关帖子下集中、重复发布同质化的敌意内容；与样本内其他账号表现出稳定协同。每个样本账号都保留了纳入依据和原文链接，最终样本 1083 个。

在此基础上，采集这些账号在事件期间（10 月 30 日 05:00 至 11 月 2 日 20:00）发布的全部币安相关原创帖和回复。剔除纯转发后，得到 1083 个账号的 11700 条推文，合计 2093 万次曝光。其中 3354 条经逐条判断为虚假，归入 15 种谣言类型。

协同方面，对每对账号计算六个可观察信号：是否出现在同一帖子的评论区；是否@或回复彼此；是否互相关注；是否单向关注；是否在短窗口内与同一第三账号互动；是否发布近乎相同的内容。单个信号可能是巧合，但同一对账号反复叠加多个信号，巧合就难以解释。协同网络部分聚焦事件期间最活跃的 641 个账号，观察窗口为 10 月 30 日 20:00 至 11 月 2 日 20:00。

需要说明：本文只能观察公开行为，无法也不试图判定任何账号的真实身份或资金来源。

三、节奏：攻击跟着回应走，不跟着情绪走

如果社交媒体上的负面噪音只是用户在发泄，它应该是一条相对简单的曲线：事发后急剧冲高，随着信息明朗缓慢回落。但数据显示，敌意内容的主题不断切换，每次切换都紧贴币安的一次公开动作——有时还跑在前面。

第一天每小时敌对账户的发帖数量（实线）和虚假信息的比例（虚线）

最初几小时：恐慌主导，阴谋论零星

10 月 30 日凌晨事发后，平台上讨论炸开，主调是恐慌和好奇：钱还在不在、谁干的、多大。样本账号中，「自导自演」「内鬼」的说法在消息爆出后一小时内就出现，但多为零星、试探性提问，典型说法是「这会不会是内鬼？」。这一阶段虚假信息约占样本产出的 30%，其余大多是情绪表达和转发信息。

早期能识别的节点只有几个：05:06 有账号转述「Tether 冻结了 9.71 亿，币安还没发声明」——攻击点不是金额，是沉默；05:13 一条「提不出钱，结束了」的帖子获得 181 条评论，是负面帖子中评论最多的。这更像信息真空中的警报，而不是系统性叙事。

承诺赔付后：阴谋论登台

08:13，币安宣布承担全部损失。按常理，这最该让焦虑用户松一口气。但数据里，「自导自演 / 内鬼 / 有内应」叙事恰恰在这个节点后进入最密集阶段，在随后的「损失估算与初步调查」阶段达到每小时 9.3 条，是该叙事全周期最高。

转折点在当天上午 10 点前后。10:11，一个中文账号发帖称「币安 14 提交了 50 个 7702 授权，一个生效了，很可能有内应配合」，获得 34.2 万次曝光，是这一阶段传播最广、误导性最强的帖子，比币安 10:25 披露攻击路径早 14 分钟。这套叙事的逻辑值得单独拆开看：如果币安愿意赔，说明钱本来就是它的；如果黑客没拿走 BNB，说明是内鬼；如果冻结来得这么快，说明早有准备。每一个本应证明有效响应的事实，都被重新解释成犯罪证据。这是不可证伪的叙事——任何反驳都能被塞进「反应过度」的框架。

影响规模和初步调查公布后：「要倒了」和「草台班子」

10:25，币安披露约 63 亿美元的影响规模和初步调查。此后，「跑路」「崩盘」「资不抵债」「第二个 FTX」叙事快速扩张，在随后的「补血开始」阶段（10 月 30 日 11:00 至 10 月 31 日 14:30）达到平均每小时 6.9 条。该叙事共 465 条，来自 219 个账号，约 317 万次曝光，是本次事件曝光量最高的单一叙事。

值得注意的是这套叙事与暂停提现的关系。安全事件未查清前暂停提现，是防止损失扩散的标准做法；攻击路径未完全堵死就仓促恢复提现，可能招来二次攻击。但在攻击叙事里，暂停提现一律被读成「没钱了」或「不敢开」，并被用作要求币安「立刻开提现」的杠杆。

初步调查提到「一名 DevOps 工程师的笔记本电脑可能被攻破」。仅三分钟后，10:28，反驳就出现了：「一台笔记本能抽走 63 亿？」「技术薄弱」「草台班子」叙事在这一阶段达到每小时 4.2 条，是其他阶段的二到四倍。一些高曝光内容对调查结论进行再加工——把「可能涉及」写成定论，或引申出「不止一个钱包被攻破」「BTC 也丢了」等未经证实的说法，单条帖子曝光超过 10 万。

11 月 1 日晚，中英文社区开始流传一个谣言：币安一名运维工程师与朝鲜女间谍有感情纠葛，事发当天把笔记本电脑搁在一边。作者在 X 上检索 10 月 30 日以来的相关帖子：最早可追溯版本出现在 11 月 1 日 21:22，由一个约 7000 粉丝的英文新闻聚合账号以全大写快讯形式发布，并称消息来自链上侦探 ZachXBT。该帖获得约 63.4 万次浏览、4458 次点赞、258 次转发、367 条回复。约 1.5 小时后，一个约 70 万粉丝的英文 KOL 以「币安被盗可能涉及内鬼」为标题转发，约 6.3 万次浏览。中文版本在 21:49 前后出现，随后大量措辞几乎一致的翻译版本，多数开头是「新的、未经证实的指控称……」。

11 月 2 日凌晨 1 点左右，何一公开回应：「这个故事更戏剧性，但不是真的，ZachXBT 也没说过。」转发否认的英文快讯获得约 6.9 万次浏览。但否认之后，中文社区的传播并未停止。11 月 2 日上午，一个约 9.6 万粉丝的中文账号持续发帖，开头是「史上最大金融盗窃，最荒诞的一环可能不是代码，而是一段恋情」，约 1.2 万次浏览、42 条回复；另一个约 9 万粉丝的账号以「朝鲜女间谍『色诱』币安工程师的谍战剧情」为题发帖，约 7600 次浏览；协同网络第 1 簇的一个核心账号也在 08:43 发帖称「传闻一名 DevOps 工程师与朝鲜女间谍相恋」，约 3000 次浏览，只在末尾附上何一的否认。一些中文用户也察觉到异常，发帖说「最近老看到一模一样的帖子……全是 AI 生成的填充内容，改来改去反复发」。

公平地说一句：这条谣言的始发账号不在样本内。按样本口径，相关内容约 68 条、约 23 万次曝光，样本账号参与有限。列在这里，是因为它强化了「技术薄弱」叙事——前者给后者套了一个更好传播的故事外壳。

时间表公布后：等待期被改写成「拖延」

10 月 30 日 23:23，何一发布视频，给出 42 小时恢复时间表；11 月 1 日 12:48，币安公布第一阶段恢复提现时间。在正常信息环境里，这是用户最该松口气的时刻。攻击方同时推了两条线。

一条把等待改写成拖延，把兜底说成造假。英文「自导自演」叙事的主要信源之一在 10 月 31 日 12:26 发帖称「币安伪造了一场数十亿美元的黑客事件，目的是赖掉客户负债」，获得 27.9 万次曝光；「内鬼」叙事也有了新读法：公布提现时间只是「拖延战术」，为了「更方便转移资产」。另一条线号召「开门就跑」：早在 10 月 30 日 22:38，一个三天内与另一攻击账号有 36 条回复往来的账号就用全大写发帖「币安恢复提现的那一刻，立刻把资金转出去」——比提现真正恢复早了近 40 小时；10 月 31 日 20:22，另一账号写道「假设币安开了提现……很快又会关，引发恶性循环和挤兑，直接崩掉！」它不陈述事实，而是提前铺好情绪轨道，让读者在提现打开时自动滑进去。

提现恢复时：挤兑动员达到峰值

动员类内容——「现在就走」「能提的第一分钟就提」「挤兑」——在「分阶段恢复」阶段（11 月 1 日 14:00 至 16:12）冲到每小时 11.2 条，是前四个阶段平均值的四倍多，也是本次事件所有叙事中单阶段强度最高的。两条叙事在此打配合：一条制造「必须马上离开」的紧迫感，另一条解释「为什么官方说法不可信」。

叙事轮换：各阶段每小时的敌对推文数量。每一行代表一种叙事类型；颜色越深，表示该叙事在该阶段越接近其峰值，不同的叙事在不同的阶段达到峰值。

提现恢复后：夸大流出、导流竞品

提现恢复后，敌意内容的焦点转向流出数据。11 月 2 日 02:02，CZ 披露提现恢复后 12 小时净流出为 2.1%。仅六分钟后，02:08，一个高频英文账号发帖称「币安今天正经历史上最高净流出，-42.5 亿美元」，随后发中文版：「过去 12 小时……净流出创纪录达到 43.6 亿美元」，并配上类比「FTX 从正常到崩盘用了不到 48 小时」，07:19 又补充「已超过 FTX 崩盘前的净流出」，单条帖子获得 19.3 万次曝光；当天 12:23，数字更新为「61 亿美元」，并称「552 个代币中 531 个仍无法提现」。

两组数据在数值上未必冲突，几十亿美元的绝对流出和 2.1% 的占比可能说的是同一件事。差别在讲法：前者抽掉分母，嫁接 FTX 类比，把一次普通的提现高峰包装成崩盘前夜。

同一阶段，导流竞品的内容增多：在讨论被盗的同时，劝用户「先转到某某交易所避避风险」，或者说「所有交易所里只有某某从没被黑过」。这类内容数量不多（31 条），但单条传播效率高，合计近 20 万次曝光。典型样本：11 月 1 日 14:37，BTC 提现恢复 17 分钟后，一个中文 KOL 发帖「一个 A9 的朋友说，再也不把币放币安了，哪怕年化 6% 以上……朝鲜打开了币安的潘多拉魔盒」，获得 10.8 万次曝光；核心信息是「没有主权背书，放别处更安全」。英文社区也出现类似措辞，比如「如果币安倒了，Hyperliquid 会不会成为行业领先交易所」。

补偿谣言：制造「被区别对待」感

11 月 1 日晚，一批「提现补偿 150 美元」的虚假说法开始出现，模板句是「提现暂停免费补偿 150 美元，去奖励中心查看」。35 条相关帖子中，27 条集中在 11 月 1 日 19:00 至 11 月 2 日 01:00 的六小时内，其中 20:00 这一个小时就有 9 条；五个账号发布相同措辞，其中一个只有两个粉丝。21:11，币安在原帖下回复：「这是虚假信息，截图经过数字篡改。」

虚假的「150 美元提现补偿」广告：五个账户在六小时内发布相同的内容，其中包含钓鱼链接，将用户引导至「奖励中心」。

至于「不提现就能领现金奖励」或「特定地区用户专属」的说法，样本中只零星出现，尚未达到可测量规模，本文不做量化结论。但这类说法的结构与上述叙事一致：不直接攻击平台，而是制造用户「被区别对待」的感觉，同时进一步促使提现。币安已明确表示，从未以不提现为条件向任何地区用户提供奖励。

几条贯穿始终的暗线

• 政治化：「币安的保护伞是特朗普」「交了保护费」等说法共 377 条，在补血阶段达到峰值。
• 翻旧账：把本次事件与 2025 年市场剧烈波动挂钩，称被盗是为了「洗白旧账」——280 条、69 万次曝光，在事发后前两个阶段最密集。
• 市场操纵：「人造牛市」「市场跌是因为币安砸盘」「他们改写 K 线」——253 条，来自 148 个账号。11 月 1 日 13:32，已有账号在问「如果币安挺过这轮挤兑，会不会主动推人造牛市？」
• 预置叙事：在币安采取任何行动之前，就有账号提前宣称它「接下来肯定会推高收益产品」「肯定会拉盘上币」，并预先把这些动作标注为「资不抵债的证据」。11 月 2 日 20:25，币安推出最高 10% 年化的用户奖励计划——危机后的行业标准动作——正好落进预设的解释框架。无论币安做不做，位置都已经不利。

四、谣言分类：哪些说法传得最远

3354 条被判虚假的帖子按核心主张归为 15 类。按累计曝光排序，主要类型如下。

各类虚假信息的累计曝光量、帖子数量和账户数量

]

主要谣言类型

几个细节值得注意。第一，「技术假证明」类数量不大，但单条传播最远——平均每条约 6800 次曝光，接近「自导自演」类的四倍。这类内容通常以长帖出现，引用真实术语（7702 授权、多签、热钱包编号），在技术细节的外壳下得出错误结论；例如「BTC 用 ECDSA，Solana 用 Ed25519，一台笔记本 20 分钟签不了十条链」。对没有技术背景的读者，它比纯情绪指控更有说服力。

第二，「冒用币安名义的虚假信息」只有 5 条，却获得近 30 万次曝光。这类内容伪造官方补偿方案或上币公告，往往附带钓鱼链接，可能是所有类型中对用户最直接有害的。

第三，这些叙事彼此矛盾。同一批账号既说「币安自导自演」（意味着钱没真丢），又说「币安资不抵债」（意味着钱真丢了且赔不起）；既说「币安不敢开提现」，提现开了又说「开提现是为了转移资产」。在事实讨论中，这些主张不可能同时成立；在一个以制造不确定性为目的的叙事里，它们不需要自洽——每一条只需在不同时刻完成自己的任务。

五、协同：一张网络，几个阵营

如果这些内容来自互不相关的个体，账号之间的关系应该稀疏而随机。数据显示的是另一种结构。641 个最活跃账号中，452 个至少与另一个账号存在协同关系，共 1186 条成对协同链接。按信号类型拆分：651 条互相@或回复；466 条同时出现在同一评论区；267 条在短窗口内与同一第三账号互动；224 条单向关注；143 条互相关注；67 条近乎相同内容。这些链接中，608 条同时带有两种以上信号。

444 个账号构成一张连通的网络——从其中任一账号出发，都能沿协同关系走到其余 443 个。

攻击账户的协调网络（最大连通分量）。圆点越大，表示该账户的协调联系越多；颜色标记代表不同的协调范围。

最紧密的账号对更能说明「协同」是什么意思：权重最高的一对，三天内互相@或回复 36 次；另一对同时出现在五个相同评论区、互动五次、发布近乎相同内容八次；还有两个账号之间有两条「100% 相同内容」的记录。网络的中心节点同样说明问题：连接最多的账号与 63 个账号相连，发布 29 条敌意推文，获得 74.1 万次曝光；另一个账号三天只发 7 条，却获得 74.2 万次曝光，与 41 个账号相连。相比之下，两个「刷屏号」各发 120 多条，各自曝光不足一千，却是评论区里最密集的连接点。前者定调，后者供量——这种分工本身就是组织痕迹。

网络详情：连接度最高的核心节点（中心）及其 63 个关联账户。红线表示与核心节点的协调连接；灰线表示关联账户之间的连接。

对这张网络运行无监督社区检测（算法只看关系结构，不参考任何人工标签），得到 11 个簇。前五个在规模、语言和协同风格上差异明显。

前五大协调集群

第三集群尤其值得注意。66 个账号三天发布 1135 条帖子，人均 17 条，合计曝光却只有约 17 万次——人均不足 2600。这些账号几乎从不独立发帖，而是成批出现在相同帖子的评论区，最常出现在币安高管和核心账号的帖子下。它们的工作不是让更多人看到某种观点，而是让看到帖子的人觉得「大家都这么想」。

网络详情：集群 3（评论串集群）。成员之间的联系主要体现在「共同出现在同一评论串中」。

评论区的两种战术

第一种是「蜂拥造势」。当一个账号发布敌意内容，同一批账号在短窗口内涌入评论区，附和、补充、放大指控。对随手点开帖子的普通用户，看到的不是一个人的观点，而是一屏一致的声音。样本复盘的多条高曝光敌意帖中，样本账号评论占比在 25% 到 47% 之间，这些评论占该帖曝光量的 22% 到 44%；某小号的一条帖子下，12 个评论者有 11 个属于样本。

第二种是「围攻清场」。当用户发帖为币安辩护，或只是客观陈述官方信息，同一批账号进入评论区，用「舔狗」「币安的狗」「收了多少」「水军」等标签攻击发帖者，不针对内容。事件期间，133 个样本账号发布 234 条此类帖子，79% 是他人帖子下的回复。这套逻辑类似校园霸凌的孤立机制：不直接攻击目标，而让每个靠近目标的人付出代价。一个普通用户发一句「我相信币安能处理好」，换来几十条人身攻击——下次他大概率会选择沉默。这是寒蝉效应：它压制的不是某个观点，而是表达意愿。

对个人的攻击

事件期间，421 条帖子主要是针对币安创始人和联合创始人的人身攻击，来自 103 个账号。相当一部分针对何一的孕期，用极其侮辱性的语言，单条曝光超过 10 万，部分升级为对未出生孩子的诅咒。本文不转述这些内容。应该说，这类内容与安全事件毫无关系；它的存在只说明一件事——对部分参与者来说，目的从来不是讨论事件，而是攻击人。

阵营

依据账号公开内容中可见的生态亲和信号（例如长期集中推广某平台、与该平台员工高频互动、持续把流量导向竞品同时攻击币安），对部分账号做了阵营标注。必须再次强调：这些标签描述的是公开内容中的倾向，不是任何雇佣关系的认定。

按营地标签统计的账号和浏览量（1,083 个账号）

两个结构性事实值得注意。第一，人均曝光最高的不是最大群体：69 个显示某衍生品平台生态亲和特征的账号，人均约 3.9 万次曝光；19 个疑似维权者相关账号，人均约 3.8 万；107 个显示某交易所生态亲和特征的账号，人均约 2.5 万；而 874 个未标注账号人均约 1.7 万。第二，「未标注」不等于「孤立个体」。它们未标注，是因为公开内容中未观察到明确的平台推广或与平台员工的直接互动，出于谨慎保留为「独立」；但在协同网络中，许多与标注账号处在同一簇中，共享评论区、互动对象和相似的叙事节奏。作者的推断是，其中一部分可能受第三方雇佣、以声誉攻击为业，但目前没有直接证据。

452 个协同网络账号中，按同一标准可以看得更细：63 个标注为 OKX 亲和（含 33 个疑似 OKX），多为中文，发布 343 条敌意推文、91.7 万次曝光；23 个标注为 HyperLiquid 亲和，只占总量的 5.1%，却拿走 14.3% 的曝光，平均连接度在所有阵营中最高；13 个疑似维权者，话术以人身攻击和旧怨为主；4 个账号带有中国海外政治团体（郭文贵的「新中国联邦」）特征，把事件解读为政治阴谋。346 个独立账号中，189 个（54.6%）至少与一个阵营账号直接相连；独立账号与 OKX 亲和账号之间有 240 条链接，远多于 OKX 阵营内部的 42 条。数据指向这一点：几组生态亲和特征不同的账号，在同一窗口内密集参与了针对币安的攻击，彼此存在交叉协作；但数据不能证明 OKX、HyperLiquid 或任何机构知情、组织或资助了这些活动。此前行业怀疑 Bitget 相关账号参与，本次数据中未发现对应的阵营账号。

左图：按信号类型统计的协调链路数量（一条链路可能承载多个信号）；右图：营地之间的链路数量（对角线为营地内部链路）。

各阵营要的东西明显不同：有的主攻「资不抵债」和挤兑动员，同时推广替代平台；有的主攻「翻旧账」，借事件重提早前争议；有的以政治化叙事为中心。耐人寻味的是，一个标注为 OKX 亲和的账号 10 月 31 日公开批评某衍生品平台的新闻账号「借机挖用户……吃人血馒头」——这些阵营可能没有统一的指挥中心，但在这 78 小时里，行动在时间上高度重叠，效果上相互叠加。

六、休眠与激活：只在攻击币安时醒来的账号

为检验这些账号是否只是「这几天碰巧特别活跃」，作者在完成采样后回溯了全部 1083 个账号此前的公开帖子，比较了几个时间窗口：两个没有重大币安争议的普通十天窗口（2026 年 6 月和 8 月），以及两个此前的币安相关争议窗口（2026 年 1 至 2 月的「Cathie Wood」争议和 2026 年 3 月的伊朗相关指控）。

平时几乎沉默。 普通窗口里，这些账号合计每天只发约 131 条币安相关内容；其中 964 个（89%）日均不超过 0.2 条——多数账号一周都不会提一次币安。

事件期间集体激活。 事件期间，同样这些账号日均发布 3228 条币安相关内容，是正常水平的 24.6 倍。按协同网络口径，452 个账号中有 200 个（44.2%）三天只发了一两条敌意推文，却仍与其他账号存在可验证的协同关系——「低频高连接」。

此前的争议中也激活过。 2026 年初「Cathie Wood」争议期间，同样这些账号日均发布 480 条币安相关内容，是正常水平的 3.7 倍；382 个账号在该窗口发过帖。该窗口十天内，有 72 条帖子的评论区出现五个以上样本账号同时出现，而同等长度的普通窗口只有四条。

部分账号跨事件复现。 116 个账号在「Cathie Wood」和伊朗两轮事件中都发布过币安相关内容。

公平地说：3 月伊朗相关指控窗口，这些账号的整体发帖强度（日均 113 条）与正常基线相当，整体没有明显激活；但有 133 个账号在该窗口发帖，评论区同时出现的情况有所上升。这说明「跨事件同步激活」不是整个样本的普遍特征，而集中在子集。

一个典型例子：某英文账号在两个普通窗口都没发过币安相关内容；「Cathie Wood」争议期间日均约 6 条，主题是「某某币还没上币安」；本次事件期间日均超过 17 条。它不讨论市场，不讨论行业，只在币安成为话题时出现。

七、它在争夺什么：一场社会工程操作

社会工程的核心不是技术，而是利用心理弱点实现控制。把上面的数据拼起来，这场叙事操作的轮廓就出来了。

它不制造事件，它寄生于事件。 安全事件是真的，用户的担忧是真的，部分批评也是真的。叙事操作做的是把结论嫁接到真实情绪上：把「暂停提现」嫁接到「没钱了」，把「承担损失」嫁接到「自导自演」，把「提现高峰」嫁接到「FTX 崩盘」。

它跟着回应切换话题，有时跑在前面。 每次币安公布新进展、旧叙事失去力道，新叙事就在同一窗口内接管：内鬼论出现在攻击路径披露前 14 分钟；「一台笔记本」质疑出现在披露后 3 分钟；「创纪录净流出」出现在「净流出 2.1%」公布后 6 分钟；竞品叙事出现在提现恢复后 17 分钟；「开门就跑」动员出现在提现真正恢复前近 40 小时。

它混在真实用户里。 79.6% 的内容是回复而非原创帖，很多在真实用户的帖子下。旁观者很难分清哪些评论是真实用户的担忧，哪些是有组织的声音。这种混淆本身就是目的之一：它让任何回应都看起来像「压制用户」。

它有明确分工。 粉丝不足 300 的账号发了 44.1% 的负面推文，却只产生 5.1% 的曝光；粉丝超过 5 万的账号只占发帖量的 6.2%，却拿走 68.0% 的曝光。头部账号定调，小号在评论区供量、打围攻、放钓鱼钩。

负面帖子占比和曝光量占比（按作者粉丝等级划分）：小账号带来「数量」，大账号带来「覆盖面」。

它压制而非辩论。 对支持者的人身攻击、对创始人的侮辱，不是事实讨论，而是试图改变谁敢说话。而这一切最终指向一个行为结果：让尽可能多的用户在尽可能短的时间里把资产转出去。这恰恰是安全事件期间，对平台和用户自己都最危险的事。如果挤兑真的形成，伤害不会局限在一家公司；它会击中每一个在恐慌中低价甩卖、或因拥堵错过窗口的普通用户。

这一次，挤兑没有发生。提现恢复 12 小时后，98% 的用户选择留下。这首先是用户判断力的功劳——在信息噪音最大的时刻，多数人选择等官方信息、查链上数据、自己下判断。

八、局限、反证与待核实事项

第一，协同不等于雇佣。同时出现在评论区或互相回复，也可能是观点相近的真实用户自然聚集；账号行为高度相关，不直接意味着付费或指使。第二，阵营标签不等于企业指使。本文的 OKX 亲和、HyperLiquid 亲和、疑似维权者标签，是基于公开行为的分类；没有直接证据表明任何机构官方参与、策划或资助了攻击。第三，本文只依赖公开数据，无法覆盖已删除或受保护账号的内容；历史窗口检索受关键词范围限制，可能低估实际发帖量。第四，协同网络观察窗口从 10 月 30 日 20:00 开始，事发后约前 15 小时的关系数据缺失，第一天的协同可能被低估。

数据本身也给出对「水军大军」叙事不利的事实。按可验证规则得分最高的 134 个疑似水军账号，占样本 9%，其敌意帖子合计只获得约 1.8 万次曝光——0.6%；被识别为纯「水军群发」模板的内容只有 5419 次曝光。三个曝光最高的谣言类型中，疑似水军账号只占 8.5% 到 27.8%。宏大叙事主要由少数头部账号驱动；水军更多做的是填充和钓鱼。此外，疑似维权者有真实不满，他们的参与未必是组织产物；许多用户基于真实损失和真实担忧发言，他们的批评应与本文讨论的协同行为严格区分。

主要论点及证据强度

本文点名或涉及的机构（包括 OKX、HyperLiquid 和 Bitget）及相关个人账号，均有权就本文数据和推断作出回应和澄清；收到回应或相反证据后，本文会相应更新。

九、结论：当你看到「现在就走」

回到开头的问题：币安是否遭受了有组织的声誉攻击？以这 78 小时的公开推文为样本，数据的回答是：存在一张规模可观的攻击网络，内部高度互联，跟着币安回应的节奏换挡；其中有几个生态亲和特征不同、目标不同的群体，可能不听命于同一个指挥中心，却在同一窗口各自行动，并在评论区互相策应。这张网络的「触达」主要来自少数头部账号；「密度」来自大量平时沉默、粉丝不多、却高度连接的小号。

数据也提醒克制。协同是可测量的事实；雇佣和指使是需要更多证据的结论。批评本身不是攻击，大多数质疑者是真实用户。真正值得警惕的，是那种恰在恐慌最高点换挡、恰在支持者聚集处成群出现、恰在对方开口前就写好结论的声音。

对交易所来说，这次事件的教训是：危机沟通中，只有承诺和可验证的数字能穿透噪音——兜底、金额、时间表、储备证明。币安已表示会继续以可验证形式披露信息，调查完成后发布完整技术复盘，持续举报冒名发布的虚假补偿、虚假上币公告和钓鱼链接，并对涉及人身威胁的内容保留证据、移交法务评估。

对每个普通用户，也许只有一条建议：危机中，看平台公告和链上数据。看到评论区一屏一致的声音，多看一眼这些账号平时在聊什么；看到惊人的数字，问一句分母是什么；看到「现在就走，来不及了」，问一句谁最希望你此刻做这个决定。

附录：方法论

观察范围：2026 年 10 月 30 日 05:00 至 11 月 2 日 20:00（UTC+8）；历史对比窗口（回溯样本账号早前公开帖）为 2026 年 1 月 27 日至 2 月 5 日、3 月 10 日至 14 日、6 月 1 日至 10 日、8 月 10 日至 19 日。所有时间均与推文 ID 内嵌时间戳核对。

样本：作者在事件三天内采集，用 AI 扫描 X 上参与讨论的账号，1083 个符合标准的账号纳入样本，共采集约 11700 条帖子。剔除纯转发，保留原创帖、回复和引用。协同网络部分聚焦 641 个最活跃账号（观察窗口 10 月 30 日 20:00 至 11 月 2 日 20:00）。

虚假信息判断：每条的核心主张对照官方公告、链上数据和权威第三方信息判断，归入 15 类之一；无法证实也无法证伪的观点性表述不计入虚假信息。

叙事分类：基于关键词和语义规则，一条内容可同时属于多个叙事；阶段强度按各阶段时长换算为每小时条数。

协同：对两账号间的六类信号加权求和；用 Louvain 模块度算法识别簇，不使用任何人工阵营标签。

疑似水军评分：按粉丝少于 50、关注数超过粉丝数三倍、粉丝少于 500 而发帖超过 2000、近期注册、只发回复、反复发布相同文本等规则计分；总分 4 分及以上判为疑似。