币安 63 亿被盗案复盘：EIP-7702 权限委托成黑客提款机

据 Woofun AI 消息，以太坊智能合约权限委托技术 在币安近期遭遇的巨额黑客攻击中扮演了关键助推角色。尽管安全分析指出该提案本身并非攻击根源，但其赋予普通钱包智能合约能力的特性，被攻击者转化为绕过传统风控、加速资产转移的工具，深刻揭示了去中心化金融基础设施中权限管理的潜在脆弱性。

此次攻击的技术路径显示出极高的预谋性与对新技术的滥用能力。事件发生于 10 月 29 日，攻击者利用了 去年 5 月在以太坊 Factom 升级中引入的 EIP-7702 提案。该提案旨在让由私钥管理的普通钱包具备智能合约功能，从而支持批量交易或代付手续费，但在安全层面，一旦权限被委托，恶意合约即可操控钱包资产。

Woofun AI 整理数据显示，区块链安全公司 Block Aid 发现，攻击者为针对币安主要以太坊热钱包'币安 14'，预先准备了 50 个经过预签名的 EIP-7702 授权。通过精心安排交易顺序，攻击者满足了持续活跃钱包的授权条件，使其中一项授权生效，进而将钱包执行权移交至恶意合约。随后，仅凭一次交易，攻击者便提取了 167,464 个以太坊（）、16.15 亿个泰达币（）及约 60 种其他代币，总价值约 25 亿美元。更危险的是，由于权限委托不会自动解除，攻击者还利用同一机制窃取了后续存入该合约账户的资金。

关于损失根源的争议焦点在于签名系统入侵与权限委托风险的叠加效应。币安初步调查指出，可能是开发运营工程师的笔记本电脑遭入侵，导致内部服务系统被非法访问，但未发现私钥泄露证据。

值得注意的是，此次攻击并非局限于以太坊网络，比特币、Arbitrum、Avalanche 等多链网络同时受损，总损失达 63 亿美元，因此 EIP-7702 并非唯一致损因素。Block Aid 联合创始人兼首席执行官伊多·贝纳坦在接受采访时强调，即便没有 EIP-7702，资金仍可能被窃取，但该功能允许攻击者一次性提取大量资产并规避基于单笔提现金额和地址的传统安全检查。自推出之初，EIP-7702 便面临滥用质疑。

数字资产交易平台 Wintermute 在去年 5 月分析指出，早期许多权限委托案例均涉及自动提取受损钱包资产的恶意合约。同年 9 月，World Liberty Financial Token 持有者也报告了因恶意权限委托导致的资产损失。以太坊官方文档同样警告，将权限委托给恶意合约可能导致失去对整个钱包资产的控制权，建议仅允许可信合约并明确授权范围。行业观点认为，交易所需建立专门监控智能合约权限变更的体系，包括实施白名单制度、实时监控权限委托以及在入侵发生时立即取消授权，以应对这种新型风险。

在善后与合规层面，币安已采取紧急措施以稳定市场信心并追回损失。该交易所表示已拨出超过 63.4 亿美元的公司资金用于弥补此次黑客攻击造成的用户损失，同时还有约 30 亿美元的相关资产已被冻结。

目前，币安正积极与执法机构及行业相关企业合作，试图通过法律与技术手段追回这些被冻结的资产。这一事件标志着智能合约权限管理从便利性工具向高风险攻击向量的转变，迫使整个加密行业重新审视并重构基于 EIP-7702 等新技术的安全标准。随着多链生态的融合，单一网络的安全漏洞可能引发系统性风险，交易所必须从被动防御转向主动监控，特别是在处理涉及权限委托的复杂交易时，需建立更严格的审批与熔断机制，以防止类似'提款机'式的资产瞬间蒸发再次发生。