EIP-7702 漏洞致 63 亿美元被盗，Binance 全额兜底

据 Woofun AI 消息，全球最大加密交易所 确认遭受重大安全事件，预估损失达 63 亿美元（约合 9920 亿日元），并承诺动用用户保护基金（）及自有资金进行全额赔偿，确保用户资产零风险。

此次攻击源于负责开发与运维的工程师笔记本电脑被入侵，攻击者借此渗透服务容器并发起非法提款。Woofun AI 整理数据显示，背景中超过 25 亿美元的多种加密货币从存储以太坊的热钱包转移至新地址，创始人 虽未发布正式声明但已明确资金安全。技术层面，安全公司 指出攻击者利用了以太坊 功能，该功能允许将钱包操作权限移交外部程序，但需匹配账户随机数（nonce）。

由于无法确定热钱包 '币安 14' 的随机数，攻击者一次性发送 50 条编号不同（18914775 至 18914824）的授权指令，其中仅 1 条成功匹配，致使权限落入恶意程序。该程序设定仅允许攻击者指定地址转移 及 代币，虽预留 1ETH 作为手续费，但后续转入资产均面临被盗风险。目前 Binance 已暂停所有出入金，取消受影响地址授权，并与执法部门及区块链分析伙伴追踪资金，联合泰达币、 和 等合作伙伴在链上冻结约 30 亿美元资产，且未发现钱包私钥泄露迹象，后续将公布更新后的储备金证明。

这是继早期交易所安全事故后，首次因智能合约升级特性（EIP-7702）被滥用导致的大规模盗刷，凸显了基础设施权限管理的脆弱性。随着 30 亿美元资产被冻结，追回比例有望提升，但行业对热钱包权限隔离机制的重构迫在眉睫。