Hoskinson指出Binance Sweeper代码与EIP-7702争议升级_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

Hoskinson指出Binance Sweeper代码与EIP-7702争议升级

2026-10-31 05:30:00

Cardano创始人查尔斯·霍斯金森警告存在“严重危险的代码”，并指出以太坊EIP-7702授权功能可能被用于攻击币安热钱包

Cardano创始人查尔斯·霍斯金森（Charles Hoskinson）在分享一份分析报告时发出警告，称存在“严重危险的代码”。该报告将矛头指向以太坊的EIP-7702授权功能，认为其协助攻击者迅速清空了一个币安（Binance）热钱包中的资金。

针对币安基础设施定制的恶意合约

霍斯金森分享了一份技术拆解分析，指控所谓的“扫荡合约”是专门针对币安钱包基础设施构建的。安全研究员CyberSatoshi声称，攻击者利用50个已签名的授权指令，成功锁定了目标热钱包不断变化的交易Nonce值。

尽管分析指出，要授权这种委托行为，攻击者必须掌握私钥控制权或拥有不受限制的签名访问权限，但霍斯金森在其X平台帖子中写道：“小心，外面有一些非常危险的代码。”他附上的是由CyberSatoshi发布的拆解内容。该帖子描述了据称针对币安EIP-7702的扫荡合约的反编译字节码，并辩称该合约是为交易所的操作量身定制的。然而，霍斯金森的附带信息并未指出具体的协议漏洞，也未明确说明他支持分析的哪一部分。

EIP-7702机制下的双重安全疑问

CyberSatoshi的分析提出了两个关键的安全问题：一是攻击者如何获得代表钱包行事的权限；二是在获得权限后，以太坊的委托功能允许攻击者做什么。

根据CyberSatoshi的拆解，重构后的合约在扫荡原生代币余额时，特意在钱包中留下了恰好1 ETH。发帖人认为，这一操作是为了防止币安的自动化热钱包队列因Gas费不足而失败，从而避免触发警报。

该分析描述了一个代币处理循环，通过底层调用检查余额，并在单个操作失败时继续执行。CyberSatoshi表示，这使得扫荡合约即使在某些被黑名单标记或无响应的代币无法转移的情况下，仍能继续处理资产。

此外，据称一个自定义的执行函数使受感染的钱包能够调用一个持有8.23亿美元USDC的外部金库。在发帖人的解释中，该金库识别“币安14号”钱包为其控制器，从而允许通过该钱包发起的调用触及超出其即时余额的资金。

CyberSatoshi将该合约定性为专为币安架构打造的工具。关于其对内部警报和国库系统影响的说法，目前仅停留在发帖人对操作原理的解释层面。

EIP-7702要求签名授权才能委托

以太坊的EIP-7702规范描述了一种交易类型，允许外部拥有账户（EOA）将执行权委托给部署在其他地址的代码。

通常情况下，外部拥有账户通过私钥签名进行操作。委托功能允许其在自身账户上下文中执行智能合约逻辑，支持诸如将多个操作批处理为一笔交易，以及允许其他账户支付交易费用等功能。

每个授权都标识了链ID、委托地址和Nonce，并附带加密签名。协议会根据签名恢复授权账户，并在应用委托前检查其Nonce值。

CyberSatoshi承认了这一要求，指出所谓的攻击需要“币安14号”钱包的原始私钥或其安全基础设施中不受限制的签名访问权限。EIP规范并未说明任何币安签名凭证是如何获取的，但其签名要求确立了这样一个事实：如果没有有效的授权，委托不能简单地分配给任意受害者账户。

以太坊的Nonce规则解释了所谓的批量操作

CyberSatoshi声称，攻击者提交了50个覆盖连续Nonce值的预签名授权，以捕捉正在变化交易计数的“币安14号”钱包。

规范规定授权按顺序处理。当一项授权未通过检查时，处理将继续进行下一项。有效条目会设置委托并增加授权账户的Nonce。因此，随着Nonce值的推进，针对同一账户的后续授权可能变为有效。如果存在多个有效条目，最后一个有效的委托将决定所使用的代码地址。

这比仅有一个授权生效的批量操作更为具体。根据账户的起始Nonce值和提供的签名，规则允许多个连续条目成功。CyberSatoshi认为，委托将资产转移压缩为单一操作，减少了干预时间。而关于交易所防御措施原本会在三次交易后阻止盗窃的说法，则是发帖人的反事实评估。

以太坊设计文档明确指出委托风险

EIP的作者明确警告，经过授权的代码对账户拥有不受限制的控制权，必须由钱包进行密切审计。

其安全部分列出了委托合约所需的保护措施，包括防重放攻击，以及涵盖交易价值、Gas、目的地和调用数据的签名。实现不佳的委托可能导致攻击者几乎完全控制签名账户。

委托状态在部署它的交易之后仍然持续存在。规范进一步指出，执行失败不会回滚已经处理的委托指示器。要移除委托，协议允许使用指向零地址的有效授权，这将清除账户的委托代码。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文