核心要点
币安损失数十亿美元,但未确认私钥泄露。据称,受攻击的授权基础设施允许了看似合法的加密货币转账。此次攻击暴露出超越传统钱包安全机制的弱点。
无需私钥如何窃取加密货币?
10月29日,黑客从币安盗取了价值约63亿美元的加密货币,这成为有记录以来最大的加密货币盗窃案。然而,调查人员发现了一个意想不到的情况:交易所并未发现其钱包私钥被盗的证据。
根据币安官方发布的安全更新,调查最初指向一台被攻破的员工笔记本电脑,随后发现了其他入侵点。区块链研究人员认为,攻击者操纵了能够授权交易内部系统。
这一事件揭示了一个超出加密货币交易所范畴的安全问题:如果攻击者能够控制决定如何使用加密密钥的系统,那么仅保护密钥本身是远远不够的。
每笔加密货币交易都需要有效的授权。通常情况下,私钥会生成数字签名,证明钱包已批准该转账。然而,交易所的运作方式与个人持有加密货币不同。它们维护着自动化系统,用于处理提款、验证请求,并指示安全基础设施何时签署交易。如果攻击者控制了这些系统,他们可能使合法的签名基础设施批准欺诈性提款。这一区别似乎是币安黑客攻击调查的核心。
币安最初报告称,一名DevOps工程师的被攻陷笔记本电脑可能允许访问负责交易处理的服务容器。随后的发现确定了额外的漏洞点,表明这次攻击比单一设备被攻陷更为复杂。重要的是,完整的入侵方法尚未确立。独立区块链调查机构Bitquery发现,未经授权的交易带有由币安控制钱包发出的有效签名。这表明签名过程被成功利用,但并不能确切说明攻击者是如何获得对其控制的。
EIP-7702为何使攻击更加复杂
据报道,攻击者在盗窃发生前至少36小时就开始了行动准备。根据Coinpaper报道的TRM Labs调查结果,首次主要提款涉及从五个币安钱包转移约2.3346亿枚XRP,价值2.96亿美元。随后,行动扩展到比特币、以太坊和其他区块链网络。
在以太坊上,调查人员识别出了EIP-7702的使用情况,这是通过Pectra升级引入的一种账户委托机制。EIP-7702允许常规以太坊账户通过委托代码临时执行智能合约功能。在此次事件中,研究人员确定了50个预先签名的授权,据称这些授权帮助攻击者执行了恶意的扫荡操作。
这并不意味着EIP-7702本身存在漏洞。相反,在攻击者获得能够批准交易的系统访问权限后,授权的账户委托功能似乎遭到了滥用。后果是巨大的。调查人员追踪了数十亿美元的未经授权转账,而攻击者在多个钱包中积累了大量加密货币。早些时候对以太坊盗窃的分析记录了被盗资产随后如何被整合。
币安黑客事件揭示了关于加密货币安全的哪些信息
此次攻击还暴露了发行商可以冻结的加密货币与无法集中限制的加密货币之间的差异。Tether、Circle等发行商干预以冻结大量被盗的稳定币。例如,Ripple冻结了4050万美元被盗的RLUSD,而原生XRP则超出了发行商控制的冻结机制范围。
币安单独承诺通过公司资源及其“用户secure资产基金”(SAFU)来弥补客户损失。该交易所在准备恢复提款时,随后补回了90%的被盗资产。然而,替换被盗资金并不能消除潜在的安全挑战。
BTC
ETH
XRP

交易所
交易所排行榜
24小时成交排行榜
人气排行榜
交易所比特币余额
交易所资产透明度证明
去中心化交易所
资金费率
资金费率热力图
爆仓数据
清算最大痛点
多空比
大户多空比
币安/欧易/火币大户多空比
Bitfinex杠杆多空比
ETF追踪
索拉纳ETF
瑞波币ETF
香港ETF
比特币持币公司
加密资产反转
以太坊储备
HyperLiquid钱包分析
Hyperliquid鲸鱼监控
大额转账
链上异动
比特币回报率
稳定币市值
期权分析
新闻
文章
财经日历
专题
钱包
合约计算器
账号安全
资讯收藏
自选币种
我的关注