社区拆解币安被盗：有效签名与 EIP-7702Community breaks down Binance hack: valid signatures and EIP-7702
BIT_672 发线程拆解币安被盗，称 EIP-7702 是 Pectra 升级上线的功能：普通 EOA 可签一笔授权，把账户委托给合约代码执行逻辑，授权生效后能一笔交易扫光钱包内多类代币，无需逐个签名。此次攻击中，黑客入侵或操纵币安签名基础设施，取得热钱包 Binance14 的有效签名，签署 EIP-7702 委托给其扫荡合约。其强调 EIP-7702 本身没有底层代码漏洞，只是作案工具。BIT_672 posted a thread breaking down the Binance hack, saying EIP-7702 is a feature shipped in the Pectra upgrade: a regular EOA can sign an authorization delegating its account to contract code, and once active, one transaction can sweep multiple token types without signing each transfer. In this attack, the hacker compromised or manipulated Binance’s signing infrastructure, obtained a valid signature from the Binance14 hot wallet, and signed an EIP-7702 delegation to a sweeper contract. The thread stresses that EIP-7702 has no underlying code vulnerability and was only the tool.
来源 · 2 条Sources · 2
- @BruceBlue
币安这次热钱包事件，最值得记住的不是 EIP-7702，而是一个老问题：系统把“有效签名”当成了“所有者的真实意图”。私钥可能没离开系统，签名权限被拿走了。 事实、失效的环节、起作用的防线，以及链上电路规则能做和不能做的事，写成了一篇文章 ⬇️ https://t.co/fTlqsT6ziC
- @BIT_672
这次币安被盗，黑客用了EIP-7702这个机制完成洗劫， 但EIP-7702本身没有底层代码漏洞，它只是作案工具，不是根源漏洞。 拆解清楚 1. EIP-7702是什么 Pectra升级上线的功能：普通EOA钱包（外部账户）可以签一笔授权，把自己的账户委托给一段合约代码执行逻辑。 一旦授权生效，这个钱包就可以执行合约逻辑，一笔交易扫光钱包里所有种类代币，不用逐个签名转账。 2. 这次攻击流程 黑客入侵/操纵了币安的签名基础设施，拿到了币安热钱包（Binance14）的有效签名，签了EIP-7702委托授权，把钱包委托给黑客自己写的扫荡合约（sweeper合约）。 授权上链之后，黑客