←新闻详情

阿易 AI Notes更新于 10月31日 01:36

币安热钱包 63 亿美元被盗始末:黑客借 EIP-7702 委托授权绕过签名

币安被黑客盗取63亿美元始末:

AI 导读

阿易 AI Notes 用 Claude Opus 5.5 生成了一段复盘视频,梳理币安热钱包被搬走 63 亿美元的链上过程。作者认为关键在于黑客没有偷私钥,而是利用以太坊 EIP-7702 的委托授权,让币安的签名系统为黑客合约签字;授权中没有金额和收款地址,传统风控难以识别。文中称黑客连续签下 50 份授权、第 16 份对上序号后生效,随后一次调用转走 16.7 万枚 ETH 和 16.2 亿 USDT 等 60 多种代币,钱包只剩 1 个 ETH。

推荐理由

AI 评分 51

原文用链上细节还原了 EIP-7702 委托授权被滥用、签名系统被绕过的过程,可作为理解这类攻击路径的案例。

主题

标签

引用

AYi

@AYi_AInotes

在整个加密商业史里,OKX 拿到的原本是一张胜算最低的“地狱级开局牌”。 当年友商靠着巧舌如簧的全球公关、挥金如土的超级碗广告、甚至买下 NBA 球馆冠名权把声量推向神坛的时候,他们却深陷提币风波的至暗时刻,被全网唱衰、判定死刑。 但如果你复盘过去这五年,谁完成了整个行业最不可思议的战略大逆转,答案只能是 OKX。 商业世界最残酷但也最公平的底层法则是: 风口上的喧嚣和造神运动,终究敌不过地心引力的算力清算; 而那些在所有人都在浮躁捞金时,反常识死磕硬核产品力的人,时间终究会把整座江山还给他们。 他们干成了三件几乎逆着全行业共识走的“重体力活”: 第一,当大家都在抢着造假数据、发空气币拉盘时,他们把几百名顶级工程师关在小黑屋里,死磕业内第一套“统一交易账户(Portfolio Margin)”。 把跨币种保证金、现货衍生品对冲的底层数学模型全部打通,硬生生把一家交易所的底层风控,做成了连极端黑天鹅行情都击不穿的金融级装甲车。 第二,当所有 CEX(中心化平台)都在拼命筑高围墙、想把用户的私钥和资产死死锁在自己服务器里时,他们却带头砸重金去革自己的命: 做自托管的 OKX Web3 钱包。 不仅开源、不仅把资产控制权双手奉还给用户,甚至把几百条公链的复杂操作、铭文索引、DEX 聚合,打磨成了全行业体验最丝滑的“链上瑞士军刀”。 别人以为他们在自掘坟墓,结果他们直接靠产品力把 Web3 钱包做成了全网十数倍于传统交易所的超级流量总闸门。 第三,在 FTX 轰然崩塌、全行业遭遇信任雪崩的那一年,他们没有找公关发通稿,而是第一个把 100%+ 默克尔树储备证明(PoR)常态化。 每月按时向全世界公开所有链上资产储备,哪怕被显微镜逐行审查也不退缩,硬生生用最笨拙但也最硬核的代码透明度,把破碎的行业信任一寸一寸拼接了回来。 很多人做商业喜欢走捷径,迷信资本运作和流量奇迹。 但 OKX 用十年逆袭证明了一件极度朴素的事: 在充满投机和欺骗的沼泽里,最锋利的武器从来不是舌灿莲花的叙事, 而是顶住所有冷眼与周期阵痛,把一行行代码、一套套风控、一张张底牌,彻底焊进用户心智里的纯粹硬实力。

查看原文

在整个加密商业史里,OKX 拿到的原本是一张胜算最低的“地狱级开局牌”。 当年友商靠着巧舌如簧的全球公关、挥金如土的超级碗广告、甚至买下 NBA 球馆冠名权把声量推向神坛的时候,他们却深陷提币风波的至暗时刻,被全网唱衰、判定死刑。 但如果你复盘过去这五年,谁完成了整个行业最不可思议的战略大逆转,答案只能是 OKX。 商业世界最残酷但也最公平的底层法则是: 风口上的喧嚣和造神运动,终究敌不过地心引力的算力清算; 而那些在所有人都在浮躁捞金时,反常识死磕硬核产品力的人,时间终究会把整座江山还给他们。 他们干成了三件几乎逆着全行业共识走的“重体力活”: 第一,当大家都在抢着造假数据、发空气币拉盘时,他们把几百名顶级工程师关在小黑屋里,死磕业内第一套“统一交易账户(Portfolio Margin)”。 把跨币种保证金、现货衍生品对冲的底层数学模型全部打通,硬生生把一家交易所的底层风控,做成了连极端黑天鹅行情都击不穿的金融级装甲车。 第二,当所有 CEX(中心化平台)都在拼命筑高围墙、想把用户的私钥和资产死死锁在自己服务器里时,他们却带头砸重金去革自己的命: 做自托管的 OKX Web3 钱包。 不仅开源、不仅把资产控制权双手奉还给用户,甚至把几百条公链的复杂操作、铭文索引、DEX 聚合,打磨成了全行业体验最丝滑的“链上瑞士军刀”。 别人以为他们在自掘坟墓,结果他们直接靠产品力把 Web3 钱包做成了全网十数倍于传统交易所的超级流量总闸门。 第三,在 FTX 轰然崩塌、全行业遭遇信任雪崩的那一年,他们没有找公关发通稿,而是第一个把 100%+ 默克尔树储备证明(PoR)常态化。 每月按时向全世界公开所有链上资产储备,哪怕被显微镜逐行审查也不退缩,硬生生用最笨拙但也最硬核的代码透明度,把破碎的行业信任一寸一寸拼接了回来。 很多人做商业喜欢走捷径,迷信资本运作和流量奇迹。 但 OKX 用十年逆袭证明了一件极度朴素的事: 在充满投机和欺骗的沼泽里,最锋利的武器从来不是舌灿莲花的叙事, 而是顶住所有冷眼与周期阵痛,把一行行代码、一套套风控、一张张底牌,彻底焊进用户心智里的纯粹硬实力。

查看原帖

正文

币安被黑客盗取63亿美元始末:

用视频之神Claude Opus 5.5一句话出的完整复盘视频,

把币安热钱包被搬空 63 亿美元的链上实录全翻出来了了, 我觉得最让人后背发凉的根本不是金额有多大, 而是黑客在没偷私钥的情况下, 让币安的签名系统亲手帮他签了字,

大家默认交易所被黑,要么前端被钓鱼, 要么内鬼卷款跑路。但这次链上还原出来的操作, 本质上是一场针对以太坊新协议 EIP-7702 的降维收割。

很多人没看懂 EIP-7702 是什么。通俗讲, 它就像给钱包办了一张全权委托公证书,

委托一旦生效, 黑客部署的合约就能以钱包的名义随意调度资产。

更致命的是,这份授权没有转账金额, 没有收款地址,只有一串委托指令。

传统风控引擎去查金额和黑名单, 根本什么都查不出来。

整场洗劫的链上痕迹,精密得像一部好莱坞电影:

1️⃣ 连签 50 份盲猜序号 币安 14 号热钱包每 6 秒就发一笔交易,黑客算不准当前的交易序号,干脆让系统一口气签下 50 份连续授权。结果第 16 份刚好对上,委托瞬间生效。

2️⃣ 3 分 24 秒一笔归零 委托生效后,合约仅用一次调用,就把钱包里的 16.7 万枚 ETH 和 16.2 亿 USDT 等 60 多种代币一笔卷走。25 亿美元在 4 分钟内瞬间清空,钱包只剩 1 个 ETH。

3️⃣ 自动化系统盲目送人头 钱包被清空后,内部的自动归集程序依然在机械运转。凌晨 5 点多又有 2 亿 USDT 被系统自动补进这个受控钱包,结果 72 秒后就被黑客光速截胡。

同一时段,比特币、波场、Solana 等多条链上的热钱包也相继失守。

虽然中心化机构紧急冻结了约 30 亿美元稳定币,但黑客手里近 20 万枚 ETH 根本没有任何人能按下暂停键

来源

阿易 AI Notes