潜伏半年盗走 63 亿美元：币安 EIP-7702 攻防复盘

据 Woofun AI 消息，于 11 月 3 日发布《10 月 29 日安全事件初步调查结果及应对措施更新》报告，正式披露了一起涉及约 63 亿美元资产被盗的严重安全事件。此次攻击并非简单的单次入侵，而是一场精心策划、分阶段实施且技术高度复杂的长期渗透行动，其核心在于黑客通过供应链污染与社会工程学手段潜伏数月，最终利用 EIP-7702 授权机制绕过正常提币流程，实现了对热钱包签名权限的非法窃取与资金转移。

攻击的溯源链条可追溯至 2026 年 6 月的一次供应链渗透。当时，币安钱包运维团队的一名工程师（文中称为工程师 A）在搜索引擎中检索一款热门的 AI 编程工具时，下载了搜索结果中被篡改的 Homebrew 安装包。

尽管币安安全团队随后监测到异常并更换了相关设备、轮换密钥，但工程师 A 以及钱包基础设施团队其他同事的信息已暴露给黑客，导致钱包基础设施权限出现漏洞。此后，攻击者持续潜伏，并于 9 月发起社会工程攻击。一名伪装成项目总监的人员通过招聘平台联系另一名软件工程师（文中称为工程师 B），该工程师的简历页面标注了其在币安的任职经历。攻击者安排了两轮面试：第一轮为视频面试，假冒 HR 通过分享社交媒体账号、照片和视频建立信任；第二轮则在主流社交聊天软件上进行，由自称虚构公司 CEO 的人员进行。在面试尾声，对方要求工程师 B 在办公电脑下载一份'作业文件'，内含恶意代码仓库。该软件工程师将仓库下载到工作电脑并按说明进行设置，其中一份 3414 字节的文件成功绕过终端安全防护，并利用内部 AI 工具找到与工程师 A 相关的痕迹。

值得注意的是，2026 年全年，币安安全团队累计发现并处置 57 起疑似关联朝鲜的网络威胁，这类攻击表明国家支持的黑客组织持续瞄准加密行业，手段包括虚假面试、伪装成主流开发工具的恶意程序、被篡改的软件包与浏览器插件、虚假视频会议软件，以及以窃取凭证、植入远控木马为目的的社会工程。

在获取初步立足点后，攻击者于 10 月 20 日以内网 AI 工具作为跳板，拿下工程师 B 被入侵的电脑后，借助内部 AI 工具横向控制钱包运维团队工程师 A 以及另一名钱包软件工程师（文中称为工程师 C）。随后，攻击者发现工程师 A 电脑上存有容器部署权限令牌。10 月 29 日 17:15–19:56（世界协调时间），攻击者登录工程师 C 的电脑，使用从工程师 A 处窃取的凭证，部署容器并运行恶意脚本，正式发起对钱包签名链路的侵入。

这一过程展示了攻击者如何利用内部工具链的互信关系，从边缘节点逐步渗透至核心基础设施，最终获取了足以操控热钱包签名的关键权限。

资金外流过程在多条公链上快速铺开，技术细节极具隐蔽性。UTC 时间 20:05–20:09，币安 5 个热钱包向攻击者控制地址转出 2.3346 亿枚 。部署在 与 链上的币安热钱包，分别转出约 970,500 枚 、4420 万枚 至攻击者地址。随后，币安热钱包向攻击者地址转出 18,270 枚 。

更关键的突破发生在以太坊网络，攻击者滥用 EIP-7702 授权机制。EIP-7702 允许账户在不泄露私钥的前提下，将部分执行权限委托给智能合约。本次攻击中，攻击者借助该机制，让一个由其控制的智能合约获得币安热钱包的部分执行权限。攻击者一共发送 50 笔签名交易，操纵账户随机数（nonce），建立恶意委托授权。授权一旦生效，攻击者就可以脱离币安正常提币链路持续划转资产。最后一笔非法转账为 2961.9 枚 ，于 UTC 时间 23:56 在链上确认。这笔交易此前已经广播，处于待确认状态，之后才最终上链。自此之后，再未监测到新增非法转账。