Tornado Cash

Richard

Ethereum

周四，一只币安钱包签署了一项权限，允许攻击者控制的合约操作该钱包。不到四分钟后，约 25 亿美元的以太坊和代币被盗。
这只是币安称在多个区块链上被盗约63亿美元中的一部分。在以太坊上，攻击者利用了一项名为EIP-7702的功能，该名称源自其以太坊改进提案编号。该功能作为Pectra升级的一部分，于2025年5月上线。
要理解周四事件的重要性，我们先从普通以太坊钱包的概念说起。
<h2 id="">钱包失控</h2>
大多数以太坊钱包，从零售用户的浏览器钱包到交易所的热钱包，均由私钥控制。该私钥用于签署交易，钱包则负责发送交易。普通钱包无法遵循自身的规则，例如每日支出限额或批准接收者名单。
能够遵循规则的钱包是智能合约，一种运行代码的独立账户。
EIP-7702 允许普通钱包借用该代码。钱包签署一条称为授权的短消息，该授权指向一个智能合约。一旦授权被接受，钱包便会执行该合约的代码，就如同是其自身代码一样。
任何人均可提交已签署的授权至网络，该授权将持续有效，直至链上记录了替换或取消操作。
该功能旨在让日常钱包批量处理支付，并由他人支付其费用。上线数周内，做市商 Wintermute <a href="https://www.coindesk.com/tech/2025/06/02/post-pectra-upgrade-malicious-ethereum-contracts-are-trying-to-drain-wallets-but-to-no-avail-wintermute" rel="noopener noreferrer nofollow">发现</a> 大多数 EIP-7702 委托指向了复制粘贴的“清扫者”脚本。这些脚本在钱包密钥泄露后，会自动将资金转移给窃贼。
攻击者于周四利用这一功能，使持有数十亿美元的币安钱包执行了自有的清扫操作。
<h2 id="">区块链先锋</h2>
攻击者的主要钱包，<a href="https://etherscan.io/address/0x7C8601d4645b93cea45F71e118A729332e6B5CA0" rel="noopener noreferrer nofollow">0x7C86…5CA0</a>，据称，自周三起，通过混币服务Tornado Cash以小额提款方式获得资金。<a href="https://drk.vc/news/binance-14-eip-7702-drain" rel="noopener noreferrer nofollow">网络重建</a>.
在协调世界时周四下午，攻击者在自己的钱包上进行了攻击演练。大约在协调世界时16:00左右，他们部署了一个清扫合约，<a href="https://etherscan.io/address/0x63e842B054Bd624a465454D533C33F573e9c6fAe" rel="noopener noreferrer nofollow">0x63e8…6fAe</a>，其代码仅允许攻击者的钱包操作该合约。
在协调世界时20:20:59，攻击者发送了一个<a href="https://etherscan.io/tx/0xad99264d5532ae0dd04b2004eebda05f25657e70dacb764f7ac8d4ccd051298b" rel="noopener noreferrer nofollow">交易</a>。它包含了 50 个授权，每一个都由 Etherscan 标记为“Binance 14”的钱包签署——这是与 Binance 相关的众多钱包之一——且每个授权都将 Binance 14 指向清扫器。
币安14 保持一个称为 nonce 的计数器，每当发送交易时该计数器都会递增。每个签名授权在网络处理时必须与账户的计数器相匹配。
但币安14处理的提款数量众多，其编号不断变化。攻击者随后准备了涵盖连续编号的50个许可，从18,914,775至18,914,824，为恶意交易的着陆提供空间，同时钱包保持运行。
根据 CoinDesk 评估的 Etherscan 数据，网络接受了编号为 18,914,809 的交易，忽略了其他 49 笔。在该以太坊区块中较早的五笔交易中，Binance 14 发送了编号为 18,914,808 的交易，使得 18,914,809 成为下一个交易编号。
这意味着有人获得了 50 个有效签名，允许 Binance 14 运行攻击者的代码，每个签名均对应其交易计数器的不同值。<img src="https://cdn.sanity.io/images/s3y3vcno/production/f0067d8f854a81ef4d1285ed479726f8157db0e3-1920x1080.png?w=800&amp;fit=max&amp;auto=format" alt="币安为连续的交易计数值签署了14个共计50个权限，而以太坊仅接受了其中匹配的那个。（Shaurya Malwa/CoinDesk）" title="币安为连续的nonce签署了14个包含50个权限的交易，而以太坊仅接受了匹配的那一个。（Shaurya Malwa/CoinDesk）">
在协调世界时20:24:23，攻击者通过币安14号发起了清扫操作。在一次<a href="https://etherscan.io/tx/0x53bd38b816c23e74134786c29a8c18d792777998a3b9326047b583100e88e2f3" rel="noopener noreferrer nofollow">交易</a>，其向攻击者转移了约167,464枚以太坊和63种代币，其中包括约16亿USDT。
收购并未就此结束。币安自身的系统继续将客户存款路由至币安14，而攻击者又分别在协调世界时21:04和21:44将其清空。
攻击者还使用了Binance 14的借用代码，对另一个Binance智能钱包Hot Wallet 34进行了下单操作，并从中提取了8.23亿USDC，<a href="https://www.trmlabs.com/resources/blog/north-korea-steals-usd-6-36-billion-from-binance-in-the-largest-hack-in-history" rel="noopener noreferrer nofollow">TRM 实验室</a> 说道。
Binance 14 在恶意委托下持续了近四个小时。周五 00:10:35 UTC，该钱包 <a href="https://etherscan.io/tx/0xafbf94c92a8d749988411669fa14d4f8866d9b4420b4ebd299f28e958dac7209" rel="noopener noreferrer nofollow">撤销了权限</a>，清除攻击者的代码。
<h2 id="">签名的来源</h2>
以太坊交易详细记录了这起更大规模盗窃案的一部分。攻击者还转移了18,270枚比特币、数亿元XRP以及索拉纳、波场和其他网络上的资金。
根据 TRM Labs 的报告，这些区块链未采用 EIP-7702，且被盗资金是通过普通签名转账方式离开了 Binance 的钱包。
共同点在于，这些交易均带有币安控制的钱包的有效签名。攻击者如何获得在不同区块链上生成这些签名的权限，仍在调查中。<img src="https://cdn.sanity.io/images/s3y3vcno/production/81c876e0ffd52e97609651b373ade39179e340ea-1384x770.png?w=800&amp;fit=max&amp;auto=format" alt="攻击者的代码在币安14内部运行了近四个小时，随后钱包才清除了授权。（Shaurya Malwa/CoinDesk）" title="攻击者的代码在币安14内部运行了近四个小时，直到钱包解除委托。（Shaurya Malwa/CoinDesk）">
币安联合首席执行官 Richard Teng <a href="https://x.com/_RichardTeng/status/2116072080525656150" rel="noopener noreferrer nofollow">周五表示</a> 初步调查结果显示，一名 DevOps 工程师的笔记本电脑可能已被攻破，攻击者借此得以访问服务容器并提交未经授权的提款请求。
攻击者并非仅使用了一名工程师的权限，这也不是单一的“单击”操作，" Teng 在 X 上写道。"这涉及了一个更为复杂的攻击过程。
他表示，调查未将责任归咎于任何个人，且未发现钱包私钥泄露的证据。
币安随后在 X 上表示，调查人员发现了除最初怀疑的笔记本电脑之外的其他入侵点。该交易所未透露这些入侵点的具体位置，也未解释攻击者如何获取授权其钱包进行转账所需的签名。
一种可能性是攻击者诱使币安自身的签名基础设施生成了授权。币安尚未公布完整的攻击路径。
EIP-7702 授权指定账户将运行的代码，但不设定收款方或消费金额。因此，批准恶意代码可能会暴露钱包现有资金以及以后存入的任何资产。
币安已将总损失估计为63亿美元，并承诺将使用其SAFU紧急基金及公司资金覆盖所有损失。其周五表示，约30亿美元的受影响资产已被冻结。
<a href="https://coindesk.com/zh/tech/2026/10/30/here-s-how-one-ethereum-permission-let-an-attacker-drain-usd2-5-billion-from-binance" rel="noopener noreferrer nofollow">See this article on CoinDesk</a>

这是一项以太坊升级如何帮助减少币安 60 亿美元损失中的一部分

Table of Contents

CoinDesk 中国人

Other articles published on Oct 30, 2026

Join our free newsletter for daily crypto updates!