2026 年 10 月 Binance 黑客事件：EIP-7702 漏洞如何掏空熱錢包數十億資金
介紹
2026 年 10 月 30 日，幣安熱錢包發生重大安全事件，引發了對 EIP-7702、交易簽名基礎設施及跨平台安全協調風險的質疑。該事件涉及一系列 EIP-7702 授權請求，據稱這些請求使得未經授權的資產從與幣安相關的錢包中轉出。早期的鏈上估計顯示，跨多個網絡轉移的資產價值約為 58 億美元，但此數字不應與幣安確認的淨損失混淆。
該事件突顯了一個重要區別：EIP-7702是以太坊協議功能，旨在支援智能帳戶功能，而非會自動暴露使用該功能的每個錢包的漏洞。所報告的失敗似乎涉及簽名和授權過程。幣安表示將承擔損失，暫時停止充幣與提幣，並已展開安全檢查。同時，穩定幣發行方和區塊鏈生態參與者已採取措施凍結或保障與該事件相關的資產。
2026 年 10 月 Binance 熱錢包事件是如何發生的？
所報告的攻擊涉及由幣安熱錢包簽署的未經授權的 EIP-7702 授權，允許攻擊者控制的程式碼發起資產轉帳。現有的鏈上分析指向交易簽署過程出現故障，儘管在初步報告出現時，幣安尚未發布最終的技術調查結果。
根據 Bitfish——Cobo 的共同創辦人——的分析，該事件約於 UTC+8 時間 4:20 a.m. 開始。一筆包含 50 個授權請求的交易被鏈上廣播，這些請求是使用與 Binance 熱錢包相關的私鑰簽署的。幾分鐘後，資產開始分批從錢包轉出。
該分析描述了一個功能明確的授權程式：它識別指定的控制器並執行資產轉帳。這 50 個請求攜帶了連續的交易 nonce，使得授權在序列與錢包當前狀態匹配時生效。報告還描述了在主要操作前進行的兩筆測試交易，表明攻擊者已提前準備好轉帳流程。
EIP-7702 是如何實現未經授權的轉帳的？
EIP-7702 允許外部擁有帳戶（EOA）通過授權指定的代碼地址，臨時採用智慧合約功能。此功能作為以太坊 Pectra 升級的一部分推出，旨在支援更靈活的帳戶行為，包括改善錢包體驗和可程式化交易執行。
根據 EIP-7702，帳戶會簽署一項授權，指定在該帳戶上下文中執行的代碼。這可以啟用批次操作和更複雜的交易流程等功能。然而，此授權具有安全敏感性：若使用者或錢包簽署了非預期的授權，指定的代碼可能會獲得執行簽署者未意圖之操作的權限。
在幣安事件中，所報告的疑慮並非 EIP-7702 本身已被破解。相反，現有的分析表明，簽名系統可能批准了一組未經授權的請求。Blockaid 執行長 Ido Ben-Natan 表示，此事件可能源於被入侵的簽名系統，而非私鑰被直接竊取。幣安尚未在 cited 報告中確認確切的攻擊路徑。
這種區分至關重要。即使私鑰仍由平台保管，被入侵的簽名流程也可能被操縱以批准惡意交易。因此，安全控制措施不僅必須驗證交易的簽署者身份，還必須確認交易的目的地、授權範圍、代碼和預期效果是否合法。
轉移了多少？
根據鏈上活動的初步估計，跨多個網絡轉帳的資產總價值約為 $5.8 億美元，但轉移的金額不一定代表最終的經濟損失。資產價格會波動，部分轉帳可能被凍結，且此事件的完整範圍尚需幣安及相關調查人員確認。
Bifish 的同一份分析指出，涉及 ETH、USDT、USDC 及其他代幣的大額轉帳。報告還指出，資產在以太坊和 Tron 之間移動，而另一筆比特幣錢包的移動尚未確認是否與該事件有關，或僅為幣安的緊急轉帳。這一區別至關重要，因為單憑鏈上轉帳並不能證明資產遭竊。
該分析進一步指出，攻擊者試圖將可能被穩定幣發行方凍結的資產轉換為具有不同控制特性的資產，從而導致快速轉換活動。據報導，隨著事件應對措施的展開，Tether、Circle 及其他發行方凍結了一些相關代幣。這些早期數據應視為持續更新的估計值，而非最終審計損失報告。
幣安如何應對此次安全事件？
幣安的即時回應包括暫停充幣和提幣、進行安全檢查、追蹤受影響資產，並與其他行業參與者協調。該交易所還表示，將承擔與此次事件相關的損失，同時強調客戶資金仍處於安全狀態。
根據幣安聯合首席執行官何一表示，幣安在團隊調查事件、凍結相關資產並與執法部門協調期間，暫時停止了充幣與提幣。何一表示，公司將承擔此次攻擊所造成的全部損失，並在調查完成後發布詳細的事件審查報告。她還建議用戶僅依賴幣安官方渠道的資訊。
臨時服務中止是一項預防性的安全措施。在調查進行期間限制充幣和提現，有助於平台評估錢包完整性、審查交易簽署系統，並在團隊追蹤可疑轉帳時減少不確定性。這也可能給需要移動資產的用戶帶來不便，因此及時且清晰的溝通至關重要。
幣安對客戶資金說了什麼？
Binance 表示，用戶資金仍處於安全狀態，並將承擔此次事件所導致的損失。這是一項公司承諾與賠償保證，而非已完成技術調查或獨立核實最終損失的替代方案。
Yi He 表示，幣安正在進行安全掃描，以驗證用戶資金的安全性。她還提到其他行業參與者在凍結與該事件相關資產方面所取得的進展，並呼籲 First Digital 協助處理應對工作中仍餘下的 FDUSD。
Binance 的公開立場因此包含三個部分：保護客戶餘額、調查簽名和錢包系統，以及與外部方協調以控制受影響資產的流動。公司表示，一旦調查完成，將提供更完整的說明。在該報告發布之前，確切的技術原因和最終財務影響應視為尚未解決。
其他加密貨幣公司和協議如何回應？
該事件促使穩定幣發行方、DeFi 風險團隊和區塊鏈生態系統參與者採取協調應對措施。他們的行動包括凍結資產、限制借貸市場的活動，並將與受影響地址相關的代幣移至受控存儲中。
為何 Aave 冻結了市場？
Aave 的風險應對措施著重於透過其借貸市場限制潛在風險敞口。根據報告，LlamaRisk、Aave Labs 及其他參與者決定使用守護者控制功能，凍結大量市場，同時監控攻擊者的地址及相關價格資訊。
報告指出，此次行動涵蓋了 Aave V3 上 16 個網絡的 175 種儲備資產，以及 Aave V4 四個支線上的 117 種儲備資產。Aave 表示，在受影響資金流動穩定且相關風險完成評估後，將考慮分階段重新開放市場。
凍結市場可限制與可能涉及安全事件的資產相關的額外借貸活動。這是一項風險控制措施，並非聲明與該協議相關的所有資產或用戶均已被入侵。臨時限制也可能影響正常用戶，因此監控和受控的重新開放流程至關重要。
Arbitrum 對相關資產做了什麼？
Arbitrum 的安全委員會已採取行動，保障與該事件相關並存於 Arbitrum One 上的資產。根據報告，委員會已將與該事件相關地址中的 74,559,805 ARB 和 8,425 ETH 轉移至一個中間持有錢包。
Arbitrum 表示，此操作是在進行技術審查並考慮網絡的安全與治理責任後進行的。報告指出，此舉未影響其他 Arbitrum 用戶或應用程式，且資產僅能透過進一步的安全委員會行動或 Arbitrum DAO 治理投票再次移動。
此回應說明了區塊鏈生態如何運用治理和緊急安全機制來保護特定事件中的資產。同時，它也提出了關於快速干預、用戶所有權、去中心化和透明治理之間平衡的重要問題。此類行動應根據協議的公開規則和事件的具體情況進行評估。
幣安將如何賠償用戶的損失？
Binance 表示將承擔該事件造成的全部財務損失，意味著若公司履行承諾，受影響的客戶餘額將無需承擔虧損。此補償聲明由聯合首席執行官 Yi He 於 10 月 30 日發布，同時宣布暫停充幣與提幣。
幣安承諾承擔安全事件所導致的所有損失。公司還表示，正在努力凍結相關資產，並與執法部門合作。調查完成後將進行完整的事件審查。
有兩個獨立的財務問題需要考慮。第一個是從受影響錢包轉移的資產價值。早期的鏈上估計顯示，跨多個網絡的數量約為 $5.8 億。第二個是考慮凍結資產、追回資金以及攻擊者仍無法訪問的任何資產後的淨損失。這些數字不應被視為可互換的。
凍結資產的能力可能減輕最終的財務影響，但並不意味著所有轉移的代幣都已返回至 Binance。部分資產可能仍保留在受控錢包中，直至相關方完成其程序。因此，Binance 承諾承擔損失對於客戶保護至關重要，但最終的對賬與實施細節同樣重要。
用戶應透過 Binance 的官方公告獲取有關服務恢復、帳戶餘額及最終事故報告的資訊，切勿依賴聲稱提供賠償、錢包恢復或特殊帳戶驗證的非官方訊息。真正的賠償流程應透過平台的正式管道公布。
結論
2026 年 10 月的幣安安全事件暴露了交易簽署系統與強大的錢包授權功能（如 EIP-7702）互動時可能產生的運營風險。早期的鏈上分析顯示，與幣安相關的熱錢包共有 50 次授權請求和大額資產轉帳。然而，確切的攻擊路徑和最終淨損失仍有待調查。
幣安回應時暫停了充幣與提幣，進行安全檢查，協調外部各方，並承諾承擔損失。穩定幣發行方凍結了相關資產，Aave 嚴格限制了多個市場的活動，而 Arbitrum 的安全委員會將相關資產轉入受控錢包。這些行動展現了數位資產生態中快速協調的重要性。
更廣泛的安全教訓是，私鑰保護必須得到交易層級驗證、嚴格的授權控制、獨立的簽名批准、持續監控以及經過測試的事件響應程序的支持。EIP-7702 是一項具有合法賬戶抽象使用案例的協議功能，但其安全性取決於錢包和應用程式如何實現它。交易所、開發者和用戶都有責任降低日益可程式化錢包所帶來的風險。
常見問題
1. Binance 2026 年 10 月的事件是否由 EIP-7702 本身的漏洞引起？
可用的報告指出，問題可能出於幣安的交易簽名流程，而非 EIP-7702 協議的確切缺陷。幣安在所引用的更新中尚未發布最終的技術調查，因此確切的根本原因仍未確認。
2. EIP-7702 是什麼？用簡單的話來說？
EIP-7702 是一項以太坊改進提案，允許外部擁有帳戶透過簽署授權，將執行權限委派給指定的智慧合約程式碼。它支援更靈活的錢包功能，但使用者和平台必須仔細驗證相關的程式碼與權限。
3. 火幣有否表示會賠償受影響的用戶？
是的。幣安聯合首席執行官何一於2026年10月30日表示，幣安將承擔此事件所導致的所有損失。公司還表示正在調查此事件，並會在調查完成後發布更完整的審查報告。
免責聲明
此一般市場資訊可能來自第三方、商業或贊助來源，僅供參考和教育用途，不構成財務或投資建議、要約、招攬或保證。我們對其準確性、完整性、可靠性及任何由此產生的損失不承擔責任。投資/交易存在風險；過往表現並不保證未來結果。用戶應自行研究、謹慎判斷，並承擔全部責任。如需進一步詳情，請參閱 KuCoin 的 Terms of Use 和 Risk Disclosure。
免責聲明: 本頁面經由 AI 技術翻譯，旨在方便您的閱讀。欲獲取最準確資訊，請以原始英文版本為準。