幣安58億美元驚天竊案流程全復盤

原創 | Odaily 星球日報（@OdailyChina）

作者｜Azuma（@azuma_eth）

今日凌晨，幣安（Binance）熱錢包遭遇了加密貨幣歷史上規模最大的一起安全事故。在不到一小時的時間內，橫跨 Ethereum、Bitcoin、Tron 以及 Arbitrum、Avalanche、Optimism、Base 等多條網絡的幣安熱錢包同時失守，累計流出資金已高達約 58 億美元（非官方口徑）。

關於被盜資金的流向、業界的追蹤堵截（尤其是 Tether 與 Circle），以及間接遭牽涉的鏈上協議（如 Aave），市場已有大量實時追蹤。本文將剝離繁雜的資金盤點，直接聚焦最核心的疑問：固若金湯的幣安熱錢包，究竟是怎麼被攻破的？

綜合安全機構 Blockaid 及多位鏈上安全研究人員的逆向還原，這並非一起單純的鏈上智能合約漏洞，而是一場針對交易所底層簽名基礎設施（HSM/MPC 簽名機）的精準滲透，並配合以太坊 EIP-7702 機制實現「單區塊極速清掃」的教科書級攻擊。

核心原因：底層簽名機淪陷，黑客具備「按需簽名」能力

事件發生後，由於核心被盜錢包 Binance 14 是通過以太坊 Pectra 升級引入的 EIP-7702 機制被瞬間掏空的，社區一度出現「EIP-7702 存在漏洞」的誤讀。

但從密碼學常識來看，EIP-7702 允許普通錢包（EOA）臨時掛載智能合約代碼的前提，是必須由該錢包自己的私鑰完成合法簽名。因此，EIP-7702 只是黑客用來加速提款的「作案工具」，而非漏洞本身。

順著「誰完成了簽名」這一核心線索，出事的原因無非指向兩種可能 —— 裸私鑰直接洩露，或是簽名系統（基礎設施）被操縱；

結合目前的鏈上特徵來看，後者簽名系統被操縱幾乎是唯一合理的解釋。原因在於，像幣安這種級別的交易所，熱錢包絕不可能使用單點明文的「裸私鑰」，其底層標準架構必然是 HSM（硬件安全模塊）+ MPC（多方安全計算）+ 策略引擎（Policy Engine）——私鑰分片鎖在硬件黑盒裡，任何人（包括內部運維）都拿不到完整明文，只能由前端業務系統通過「策略引擎」校驗風控規則後，向簽名機請求產出簽名。

鏈上有兩個鐵證直接指向了「簽名系統被操縱」：

• 鐵證一（50 連發 Nonce 盲狙）攻擊者在攻破 Binance 14 時，一次性提交了 50 個覆蓋連續 Nonce 的有效 EIP-7702 簽名。如果攻擊者直接偷走了明文私鑰，他完全可以在本地精準控制交易，根本不需要用這種「撞大運」的方式去猜 Nonce。這說明攻擊者並沒有拿到私鑰本身，而是攻破了策略引擎或簽名接口，具備了讓幣安簽名系統「按需吐出合法簽名（Sign on demand）」的能力。
• 鐵證二（多鏈異構錢包同步失守）：在 Binance 14 被清空僅 24 秒後，獨立熱錢包 Binance 16 用自己的密鑰簽出了 2.8 萬枚 ETH；同一分鐘內，比特幣（18,270.2 BTC）與波場（6.12 億 USDT）等不同簽名算法的熱錢包同步發起轉賬。唯有打穿頂層的統一調度/策略引擎，才能同時指揮多條鏈的 HSM/MPC 簽名機一起提現。

鏈上時間線還原：長達 37 小時的潛伏與 700 萬美元「實盤彩排」

鏈上數據顯示，攻擊者在控制簽名鏈路後並未打草驚蛇，而是在動手前進行了長達一天半的精密部署與實盤演練。

• 10 月 28 日 07:39（UTC），準備彈藥：攻擊者主地址（0x7c86...5ca0）從 Tornado Cash 的 0.1 ETH 混幣池中分三次提取了初始 Gas 資金（首筆到賬 0.0983 ETH），此時距離「總攻」還有整整 37 小時。
• 10 月 29 日 02:28 – 14:19（UTC），事先彩排：攻擊者先是在以太坊上部署了初代清掃合約 Sweeper A（0x19bee2...）；隨後在 13:51 創建了 2 個測試錢包，甚至豪擲 700 萬美元穩定幣充入其中進行 EIP-7702 委託演練，並在半小時後成功測試將其一鍵清掃至接收地址（0x24a4ae...）。
• 10 月 29 日 15:59 – 18:20（UTC），終版定型：攻擊者部署了最終版惡意清掃合約 Sweeper B（0x63e8...6fae），緊接著創建第 3 個測試錢包注入 1.01 ETH，並在 16:30 完成了對 2.54 USDT 的清掃測試；18:20，所有測試資金被悉數歸集回資金池，戰前演練全部完成。

致命一擊：50 連發 Nonce「盲狙」與 EIP-7702 一鍵搬空

北京時間今日凌晨 04:19（20:19 UTC），黑客正式拉響總攻信號。

• 20:19:57（UTC）：波場（Tron）黑客接收地址創建完成。
• 20:20:06（UTC）：比特幣熱錢包（bc1qm34...）率先異動，18270.2 枚 BTC 被單筆轉出；
• 20:20:59（UTC）：以太坊主網迎來了整場攻擊中最核心的技術操作——50 連發 Nonce 盲狙。

為什麼黑客要在以太坊主網用 EIP-7702？

像 Binance 14 這樣的主力熱錢包，內部存放著數十種 ERC-20 代幣。如果黑客像在比特幣上那樣一筆筆發起普通轉賬，不僅需要向簽名系統請求幾十次簽名，更會在第一筆大額異動後的幾秒內，觸發交易所的異常流向監控與自動熔斷機制。

而通過 EIP-7702 將 Binance 14 原地升級為惡意合約 Sweeper B（0x63e8...6fae），黑客只需調用一次合約內置的函數（硬編碼僅允許黑客地址 0x7c86...5ca0 調用），就能在單筆交易、同一個區塊內，將所有代幣和 ETH 全部打包抽乾（僅留存 1 枚 ETH 作後續 Gas），徹底抹平風控系統的反應時間窗口。

為什麼要塞入 50 個連續簽名？

EIP-7702 授權有一個極其嚴苛的限制 —— 授權簽名中包含的 Nonce，必須與交易上鏈瞬間該錢包的實時 Nonce 完全一致。

由於黑客大概率只是操縱了後端的簽名系統接口，此時的 Binance 14 仍在高頻處理全球用戶的正常提現，Nonce 每秒都在跳動。黑客從簽名機拿到簽名、再廣播到鏈上被打包，中間存在數秒的網絡與隊列延遲，根本無法預知上鏈那一刻 Nonce 會停在哪個數字。

為了克服這一盲區，黑客利用被攻破的簽名系統，針對當時的 Nonce 區間，一次性逼迫簽名機產出了 50 個連續遞增的 EIP-7702 授權簽名（Nonce 從 18,914,775 到 18,914,824），並將它們全部塞進同一筆 Type-4 交易中發射上鏈。

以太坊底層在執行時自動丟棄了 49 個無效簽名，唯獨卡在實時窗口上的那 1 個 Nonce 精準命中生效。

摧枯拉朽的連鎖清掃與權限穿透

• 20:22:45 (UTC)：波場熱錢包單筆轉出 6.127 億枚 USDT；
• 20:24:23（UTC）：黑客觸發 Binance 14 的 sweep 函數，單筆交易瞬間將 167464.25 枚 ETH、16.15 億枚 USDT 以及另外 62 種代幣抽乾，打入黑客收款地址 0x5227…2f8c（Etherscan 標記為 Exploiter 2）；
• 20:24:47（UTC）：Binance 14 被盜僅僅 24 秒後，幣安另一個獨立熱錢包 Binance 16 在未使用 EIP-7702 的情況下，直接用自己的私鑰簽署了一筆普通轉賬，將 28005.6 枚 ETH 打入了同一個黑客收款地址（0x5227…2f8c），15 分鐘後（20:39 UTC），黑客將這兩個錢包流出的共計 195,470 枚 ETH 打包轉走；
• 20:32 – 20:33（UTC）：Arbitrum 上的 3 個熱錢包（首筆 3478.4 ETH）與 Avalanche 上的 4 個熱錢包（首筆 432846 AVAX）相繼被洗劫；
• 20:41（UTC）：另一個持有 7.8 億枚 USDC 的智能合約錢包 Binance 34 失守（隨後在 20:59 再次流出 4300 萬 USDC）。由於 Binance 14 恰好是 Binance 34 的管理員（Owner），黑客在通過 EIP-7702 寄生控制 Binance 14 後，直接以管理員身份順手抽乾了關聯金庫。

更致命的是，EIP-7702 的委託一旦生效便會持久存在。在幣安徹底切斷簽名機並重新發送零地址授權將其覆蓋之前，任何後續充入 Binance 14 的資金都會被繼續抽走（直至 21:04 UTC 仍有零星餘額被持續清掃）。

目前，針對此次安全事件的具體入侵路徑以及鏈上資金的後續追蹤、凍結進展仍在繼續發酵，Odaily 星球日報將持續關注並將第一時間帶來最新報道。