币安遭黑客攻击：EIP-7702漏洞被利用，损失25亿美元

攻击概述

币安的黑客攻击突显了与以太坊EIP-7702相关的重大安全漏洞，该漏洞于2025年5月引入。此更新使标准钱包能够像智能合约一样运作。攻击者利用这一特性，侵入了币安14号热钱包，导致约25亿美元的损失，这也是多个区块链上估计总损失63亿美元的一部分。

技术分析

在EIP-7702之前，以太坊在外部拥有账户（EOAs）和合约账户之间保持了明确的区分。EIP-7702模糊了这些界限，允许EOAs授权合约代表其执行交易。这带来了潜在风险；如果一个恶意合约被授权，整个账户可能会被攻陷，而无需直接窃取私钥。

攻击者为币安14号钱包签署了50个授权请求，但只有一个与当前的nonce匹配，使得恶意代码得以成功执行。这导致了大量资产的转移，包括167,464个ETH和16亿美元的USDT，授权后不久即被转移。

安全影响与应对措施

币安和安全公司Blockaid均表示，此次泄露源于一个被攻陷的内部服务，该服务能够提交未经授权的提现交易，而不是直接盗取私钥。币安表示已冻结约30亿美元的被盗资产，而TRM Labs估计总损失为63.6亿美元。

为了在未来降低此类风险，交易所必须对交易类型实施更严格的控制，并利用诸如合约白名单和在执行前进行交易模拟等保护措施。币安承诺将在调查完成后提供详细的事后分析，呼吁其他交易所重新评估其配置，以防止类似的攻击。