彭博复盘币安盗案以太坊授权漏洞

一、十五美元手续费撬动数十亿美元失窃

彭博社对以太坊链上交易的复盘显示，2026年10月29日，全球最大加密货币交易所币安（Binance）遭遇了一起规模惊人的盗窃案，被盗资产总值约63亿美元。复盘发现，黑客利用了以太坊一项名为EIP-7702的软件升级功能，仅支付约15美元网络手续费，就在以太坊上为币安钱包设置了一项代理权限。这项权限随后成为整起案件的关键突破口，让黑客得以在极短时间内转移巨额资产。整个转走过程仅用约三分半钟，速度之快令业内震惊，也让这起案件成为加密货币历史上金额最大的盗窃事件之一。彭博社的报道在北京时间2026年11月6日发布，距离案发已有数日，但链上记录依然清晰地还原了攻击路径。币安发言人证实，EIP-7702在此次攻击中发挥了重要作用，这一表态也印证了外界此前的技术推测。案件发生后，市场对以太坊升级功能的安全边界展开了广泛讨论，焦点集中在授权机制是否被低估了风险。

二、代理权限如何成为攻击突破口

根据彭博社的复盘，黑客在设置代理权限之后，仅用一笔交易就卷走了约25亿美元资产，占被盗总额约40%，其中包括167464枚以太币（ETH）和60多种其他代币，泰达币（USDT）稳定币的价值约16亿美元。区块链情报公司Elliptic的报告进一步显示，黑客最终利用同一权限累计转走约36亿美元，说明这项代理权限并非一次性工具，而是在攻击过程中被反复使用。币安此前披露，攻击始于虚假招聘面试诱骗工程师下载恶意代码，攻击者通过这种社会工程学手段先行潜入内部系统，再结合链上授权漏洞完成资金转移。美国联邦调查局（FBI）已将攻击归咎于朝鲜关联黑客组织，这一认定也让案件上升到地缘安全层面。从技术角度看，EIP-7702本意是让普通账户获得类似智能合约账户的灵活授权能力，但在本案中，这种灵活性被攻击者反向利用，成为绕过传统防护的关键一环。业内人士指出，授权一旦设置便具备持续效力，若缺乏严格的时效限制与权限回收机制，单点失守就可能演变为系统性损失。

三、交易所补救与行业警示

事发之后，币安称已撤销受影响的委托授权、重建钱包基础设施并更新签名与监控机制，试图从制度与技术两个层面堵住漏洞。币安同时表示，已冻结约28.5亿美元被盗资产，并以公司资金补足约98%的受影响代币，以此降低用户损失。这起案件给整个行业敲响了警钟：钱包授权、签名流程与内部人员安全同样重要，任何一环出现疏漏都可能被放大为巨额损失。对于普通持有者而言，定期检查钱包授权记录、及时撤销不再使用的委托授权，是成本很低却十分有效的自我保护方式。交易所与钱包服务商同样需要在新功能上线之前，把授权的有效期、权限范围与异常监控做得更细致，而不是等到事故发生后再来补救。技术升级带来的便利与风险往往并存，如何在创新与安全之间找到平衡，将是加密行业在未来一段时间里必须持续回答的问题。

信源跟踪： 彭博社、凤凰网财经 | 数据时间： 北京时间 2026年11月6日