以太坊修复Bybit式劫持漏洞仍需一年，且无法阻止2026年大部分黑客攻击_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

以太坊修复Bybit式劫持漏洞仍需一年，且无法阻止2026年大部分黑客攻击

2026-10-06 05:36:08

以太坊基金会提出协议级防御方案，旨在防范重大资金损失

以太坊基金会（Ethereum Foundation）指出，一种协议级的防御机制本可拦截价值15亿美元的Bybit黑客攻击以及价值5000万美元的Aave交换灾难。然而，基金会表示，该解决方案预计要到2027年才能上线。此外，基金会强调，即使该技术已可用，它也无法阻止导致2026年大部分资金损失的“私钥泄露”和“社会工程学”攻击。

交易执行后链上执行的规则

在10月5日周一发布的博客文章中，基金会的“万亿美元安全倡议”（Trillion Dollar Security initiative）探讨了“原生交易断言（native transaction assertions）如何在当前防御失效时保护用户，以及其背后的设计选择。”

该倡议于5月设立，旨在作为生态系统的一项努力，以提升以太坊的安全性。

现有的做法是：签名授权一个请求；然而，结果取决于请求在执行时所满足的代码和状态。这意味着以太坊会运行被授权的内容，而不会检查结果是否符合预期。这正是基金会希望填补的空白，他们视“断言（assertion）”为解决方案。其工作原理是允许账户检查交易实际执行了什么内容。它会比较余额（即起始余额和最终余额）、存储数据和事件，并将其与既定规则进行对比。如果规则验证失败，则整个交易将被回滚。

基金会将EIP-7906视为解决该问题的潜在方案。该提案在交易末尾增加了一个只读检查，并建立在EIP-8141框架交易模型之上。

意图不匹配与结果不匹配

基金会将签名导致的损失分为两类。第一类是“意图不匹配”，即用户批准了他们以为并非自己正在批准的操作。Bybit事件便是此类情况的典型例子，当时签名界面被恶意伪装，导致Bybit的签名者授权了Safe实现合约的更换。幕后黑手——与朝鲜有关的Lazarus集团——窃取了约40万枚ETH。以太坊基金会表示，一条禁止更改该合约的固定规则本可以撤销这笔交易。

第二类被指出的签名损失是：签名的请求本身是诚实的，但结果仍然出错。基金会用来描述此类损失的案例是Aave事件。在2026年3月，一名用户通过Aave界面上的CoW Swap小部件，将价值5040万美元的aEthUSDT兑换成了价值约36,000美元的aEthAAVE。由于过时的Gas上限拒绝了报价更优的选项，且获胜的求解器未能执行，导致最差的路线成为唯一选择。如果设置一个最低可接受输出的断言，无论界面发出何种警告，都将阻止这笔交易。

防御措施的局限性

CertiK报告称，2026年上半年因加密货币安全事件损失了13.2亿美元。根据TRM Labs的数据，与朝鲜有关的团体导致了其中约三分之二的损失。TRM Labs还发现，基础设施和操作层面的漏洞占事件的约15%，但造成了近76%的资金损失。

断言机制在这些情况下作用有限。例如，Drift漏洞导致损失2.85亿美元，其原因是长达六个月的社会工程学操作，导致贡献者的机器被攻破。另一个例子是Bitget在9月份损失的3.875亿美元，源于热钱包私钥泄露。基金会承认了这一局限：只有当规则源自独立批准的意图或攻击者无法重写的既定策略时，规则才有效。如果对手持有密钥，他们也会签署断言。

Hegotá升级及可能延期的时间表

作为框架交易基础的EIP-8141计划纳入Hegotá升级中。然而，EIP-7906仅在Hegotá元提案中达到“考虑纳入”阶段，尚未得到确认。基金会最新的文章增加了EIP-7906获得确认的可能性。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文