【经管大课堂·管理学原理】币安63亿美元被盗：中心化交易所的内控失效与治理赤字

案例背景

2026年10月30日，全球最大的加密货币交易所币安披露遭黑客入侵，被盗资产规模约63亿美元，成为加密货币发展史上金额最高的盗窃事件。事发后，币安紧急启动一系列应急措施：追踪并冻结部分链上地址、暂停相关提现通道、承诺以自有资金兜底并公布赔付安排，力图在最短时间内稳住用户与市场信心。几乎同一周，国际评级机构标普将Meta的信贷展望下调至负面。两家体量悬殊、业务迥异的企业被并置在同一束聚光灯下，构成耐人寻味的对照：当外部评价体系开始为“治理质量”重新定价时，规模与增速已不再是唯一的护城河。

币安长期以“全球最大交易所”自我定位，业务横跨现货、合约、理财、公链与自有代币，用户遍布各地，但注册地几经迁移、实际控制人高度集中、董事会构成与监督机制始终不对外透明。此次失窃并非孤立的技术事故，而是把中心化托管模式下长期积累的治理问题一次性摊开在公众面前：数十亿美元资产的安全，最终取决于少数人对私钥、风控流程与内部权限的安排。

核心分析

一、中心化托管：效率红利与单点风险的同一枚硬币

中心化交易所的本质，是以集中账本和撮合引擎替代点对点的搜寻与信任建立，用效率换取用户的资产控制权。用户把币存入平台，平台便同时扮演托管人、清算人、做市商与上币审查者四重角色，风险在同一条业务链上层层叠加。佩罗（Charles Perrow）的“正常事故理论”指出，在紧耦合、交互复杂性高的系统中，重大事故不是例外而是系统属性的必然产物——当多个本应相互隔离的模块共享同一套权限与同一批人，一次钓鱼、一个被攻破的运维终端，就足以穿透全部防线。

更深一层的反讽在于组织形式。韦伯式科层制以专业化分工、书面规则、等级授权来吸收不确定性，而加密行业对外讲述的却是“扁平、敏捷、去中介”的故事。币安的实际运行形态，是一个有命令链而无制衡链的准科层组织：规则写在代码里，解释权却集中在创始人手中；安全团队向业务负责人汇报，而非向独立的风险委员会汇报。科层制的控制效能来自“职位而非个人”，一旦组织把关键控制点重新绑回个人，制度就退化为装饰。

二、内部人控制与董事会监督缺位

詹森与麦克林（Jensen & Meckling）的委托代理框架，为理解这场事故提供了直接入口。用户是委托人，平台管理层是代理人，二者之间存在双重不对称：一是信息不对称，用户无法观测冷热钱包比例、权限分层、密钥分片方案与员工背景审查记录；二是目标不对称，管理层从平台规模与代币价格中获得期权式的上行收益，而资产损失的尾部风险由用户承担。收益内部化、风险外部化，构成了典型的道德风险结构。

在这种结构下，董事会的缺位不是形式问题而是实质问题。有效的董事会应承担三项不可让渡的职能：聘任与解聘关键风险岗位、审批风险偏好与容忍度、通过独立审计验证控制执行。当这三项职能缺失，组织就失去了“把个体判断转换为组织判断”的机制。内部控制整合框架（COSO）强调控制环境、风险评估、控制活动、信息与沟通、监督五要素，其中控制环境是其余四要素的地基——若最高层把安全视为“工程问题”而非“治理问题”，再精密的技术方案也只能被动地追赶事故。

三、密钥管理的委托代理难题与危机响应的可信度

密钥管理是委托代理问题最锋利的切片。技术上，门限签名与多签机制可以消除单点失守，但其有效性取决于一个治理前提：钥匙持有人彼此不隶属、利益不重合、可被独立追责。若分片持有人同属一条汇报线、共享同一套考核与晋升，多签就退化为仪式——它防住了外部攻击者，防不住内部协同。

事后响应的可信度同样受制于制度而非话术。情境危机沟通理论（SCCT）认为，危机责任归因越高，组织越需要采取“道歉—补偿—整改”的重建型策略。币安承诺以自有资金兜底，属于补偿型举措，方向上正确；但信任修复的关键变量是可验证性：是否引入独立第三方审计、是否公开可核对的链上地址与赔付时间表、是否披露整改后的权限架构。缺少可验证性，承诺就会陷入“再保证—再怀疑”的循环，每一次表态都在消耗而非积累信用。标普下调Meta展望的同期动作提示了一个更宏观的趋势：外部评级与信用体系正在把治理透明度纳入定价，而加密行业尚未建立同等强度的外部约束，只能用事后救助替代事前制衡。

管理启示

第一，托管型平台的治理第一性原理是“谁承担尾部风险，谁就必须进入决策结构”。用户让渡了资产控制权，就应当通过独立托管、储备证明、治理代表等机制获得对等的监督权。凡是将风险外部化而将决策内部化的安排，长期必然产生治理赤字，而赤字的偿还方式通常是一次性的巨额损失。

第二，内部控制不是合规成本，而是产品本身。冷热钱包隔离、权限最小化、强制轮岗、双人复核、独立渗透测试，这些流程共同构成“可被信任”这一产品的生产线。资源基础观强调有价值、稀缺、难以模仿、不可替代的资源构成持续竞争优势；在金融中介行业，信任恰恰是唯一难以模仿的资源，而它只能由可验证的制度持续生产，无法由公关声明一次性购得。

第三，规模不构成安全边际，反而放大事故的外部性。当组织的系统性重要程度上升，其治理标准必须同步升级，否则一次失效就会外溢为行业性信任危机。监管、评级、审计与行业自律的缺位，最终都要由用户以损失的方式补票。

其他思考

1. 若交易所在事发前引入独立托管与储备证明，用户是否愿意为安全性支付更高的手续费？安全的市场化定价为何在加密行业难以成立？
2. 董事会中设置“安全与风险委员会”能否真正约束创始人主导的决策？在创始人拥有绝对投票权的情况下，什么样的治理设计才具有实际约束力？
3. 危机之后的“承诺兜底”与“公开可验证”之间，哪一种更能修复信任？如果二者只能选其一，你会如何权衡？

关键词：中心化托管、内部人控制、委托代理、危机沟通、内部控制
来源：财新网、联合早报 | 整理：经管大课堂