Cardano 创始人 Charles Hoskinson 警告称，Binance 钱包遭攻击后仍有危险代码在流传，并分享了对该事件的第三方技术分析。该报告将以太坊的 EIP-7702 委托功能与资产的快速转移联系起来，但该交易所尚未确认攻击者如何获得签名授权。

在 10 月 30 日发布的一则 X 帖子中，Hoskinson 警告称“外面有一些极其危险的代码”。他分享了 CyberSatoshi 撰写的技术说明，其中描述了一份据称旨在清空交易所繁忙热钱包的合约——热钱包是交易所依赖来处理客户存取款的联网账户：

Careful, there is some seriously dangerous code out there. pic.twitter.com/w7wM1nn0Lz — Charles Hoskinson (@IOHK_Charles) October 30, 2026

据 Bloomberg 报道，10 月 29 日更大范围攻击造成的损失估计为 $6.3 billion。该公司于 10 月 30 日发布的公告表示，调查人员没有发现被盗的私钥。

分析在 Binance 钱包中发现了什么？

据 CyberSatoshi 称，该合约包含一个转移资金的函数，并仅留下 1 ETH，以确保支付流程不会因缺少 gas 而失败。

关于交易所内部警报机制如何运作的这一理论尚未得到验证，Binance 也尚未确认相关信息。据称，该合约会检查每种代币的余额，无论某笔交易是否失败都会继续执行，这意味着即使其中一种代币受到限制，其他代币仍可能被处理。

该分析还发现了一个 execute 函数，该函数访问了一个持有约 $823 million USDC 的钱包。据称，该钱包将名为 Binance 14 的受限热钱包识别为获授权的控制者。区块链专家已经讨论了这些发现，但这产生了何种影响仍不明确，而且相关账户并未显示原始签名者是如何获得这些权限的。

以太坊 EIP-7702 委托如何运作？

EIP-7702 允许以太坊协议上的任何账户使用其他地址的代码进行委托，这项功能旨在为普通用户账户带来智能合约功能。该标准支持批量交易和第三方支付费用。其权限包括链标识符、委托地址、交易 nonce 和签名。在这些参数完成验证后，代码将被分配给该账户。

这意味着，仅凭 EIP-7702 本身不可能发动此次攻击：攻击者必须持有有效的签名权限。据 CyberSatoshi 称，攻击者要么获得了私钥访问权限，要么能够取得不受限制的权限。然而，Binance 表示没有发现私钥泄露。

为什么提交了 50 个授权？

研究人员发现了一组包含连续 nonce 授权的 50 个签名。Nonce 是每当账户进行交易时都会发生变化的数值。由于 Binance 14 被认为会频繁处理转账，攻击者据称生成了多条与其变化中的 nonce 相对应的记录。

区块链调查显示，其中一个授权对应钱包当前的 nonce，并启动了委托流程。以太坊会按顺序执行每个授权，同时跳过未通过验证的授权；只要在处理时 nonce 正确，多个连续授权就可能成功。在此次事件中，据多个来源称，只有一条记录相匹配。随后执行的委托操作通过单笔交易转移了大量代币。

据 CyberSatoshi 称，这种速度让 Binance 几乎没有反应时间。与包含拒付机制的银行卡支付不同，区块链转账一旦确认，便没有内置的撤销机制。不过，有关这类资金移动可以通过普通交易被及早发现的说法仍存在疑问。

EIP-7702 暴露了哪些安全风险？

根据以太坊的规范，委托代码可能在没有额外限制的情况下访问账户；该标准建议钱包开发者的审计人员检查合约并防止重放攻击。

即使设置委托的交易完成，委托关系仍会持续存在。即使委托执行随后失败，已经处理的授权也不会被简单删除。指定零地址的授权会删除委托，这意味着委托访问权限会持续有效，直到被明确撤销。

Binance 已确认其已撤销受影响的授权，并加强了安全措施。该公司向客户保证将赔偿损失，并表示将发布技术报告。签名访问权限究竟如何获得仍是一个悬而未决的问题，访问控制问题也仍需调查，因此该交易所承诺发布的技术报告将成为后续寻找答案的重要文件。