58 亿美元被盗始末：攻击者 2 次演练与 64 种代币清单

据 Woofun AI 消息， 热钱包遭遇精心策划的链上攻击，导致约 58 亿美元资产在数分钟内被批量转移。 联合创始人于 10 月 30 日发布深度复盘视频，揭示了攻击者利用 EIP-7702 授权机制、提前进行两次演练并预设 64 种代币转移清单的完整技术路径。此次事件不仅暴露了交易所热钱包签名环节的安全隐患，更展示了攻击者在资产扫荡与反冻结博弈中的极端效率。

攻击始于 10 月 30 日凌晨 4 时 20 分，一笔包含 50 项授权请求的交易被广播上链，授权方为 Binance 交易平台的一个热钱包，且该交易使用了此钱包自身的私钥进行签名。约 3 分多钟后，钱包内资产遭到批量转移。按今早币价估算，三条链上合计被转走资产约 58 亿美元，其中涉及比特币的 14 亿美元资产，Binance 尚未确认是否被盗。此次事件涉及 EIP-7702 授权机制，签署此类授权后，钱包将由一段特定程序接管，直至授权撤销。

攻击者的程序具有单一指向性，仅认一个控制人且仅执行转移资产。这 50 张授权请求附带了连续的 50 个序号，当序列号与钱包当前状态匹配时即告生效。目前问题指向签名环节，究竟是私钥泄露还是签名系统遭利用，Binance 尚未公布。事前迹象显示，自前天下午起，攻击者曾三次从 混币器中提取小额资金作为手续费。在前一晚至凌晨期间，其利用测试钱包进行了两次演练，最后一次演练结束距正式行动尚有 3 个半小时。

Woofun AI 整理数据显示，攻击者预先制定了涵盖 64 种代币的转移清单，这种高度结构化的准备表明攻击并非随机行为，而是经过长期策划的定向打击。

4 时 24 分，首次批量转移完成，包括 16.7 万枚 、16 亿 及 60 余种其他代币，仅留下 1 枚 ETH。24 秒后，Binance 第二个热钱包转出 2.8 万枚 ETH，本次系直接使用攻击者私钥签署的转账指令。4 时 41 分，攻击者借助第一个钱包的身份，指令受其调度的 合约钱包转出 8.23 亿枚 USDC。至早晨 6 时 40 分，攻击者已往返操作四次。在资产转移的同时，一场冻结与反冻结的博弈同步展开。

由于 USDT、USDC 等稳定币发行方具备冻结能力，而 ETH 难以被冻结，攻击者迅速将可冻结资产兑换为不可冻结资产。其中，4.35 亿 USDT 被兑换为 16 万枚 ETH。按最新价格计算，这些 ETH 仅价值 3.64 亿美元，单此一项兑换操作即产生 7000 万美元亏损。随着冻结措施落地， 冻结 13.8 亿 USDT，Circle 冻结 8.23 亿 USDC，Ripple 冻结 4054 万 及其他几种代币。

这种以巨额亏损为代价的资产转换，凸显了攻击者对流动性与匿名性的极端追求，也反映了当前稳定币合规冻结机制在应对高速链上攻击时的滞后性。

此次攻击标志着 Web3 安全威胁从简单的私钥窃取演变为复杂的智能合约授权滥用。攻击者对 EIP-7702 机制的精准利用，以及对多链资产的快速扫荡，显示出极高的技术素养与组织化特征。

尽管稳定币发行方迅速响应并冻结了大部分稳定币资产，但攻击者通过兑换 ETH 成功规避了部分追踪，且 Binance 尚未确认全部损失情况。这一事件警示行业，热钱包的安全架构需从单一的私钥保护转向对授权机制、签名环境及异常交易模式的全面监控。未来，随着类似 EIP-7702 等账户抽象标准的普及，交易所与用户需重新评估授权风险，建立更敏捷的链上防御体系，以应对日益 sophisticated 的攻击手段。