Binance 热钱包安全事件：EIP-7702 授权机制背后的安全风险 10 月 30 日凌晨，Binance 多条区块链上的热钱包发生异常资产转移。链上分析显示，自北京时间 04:05 左右开始，攻击者在约 30 分钟内从 10 条链上的多个热钱包转出约 63 亿美元资产，涉及 Ethereum、Bitcoin、Tron、XRP、Solana 等网络。 其中，以太坊上的攻击涉及 EIP-7702 账户委托机制。攻击者通过取得 Binance 14 的账户授权，将钱包委托给自己部署的恶意合约，并进一步利用相关钱包权限转移资产。 此次事件涉及账户授权、签名权限、热钱包管理及跨链资金流动，为机构数字资产托管和 AML 风险管理提供了一个值得研究的案例。 1/ EIP-7702 授权成为攻击入口 ⏰北京时间 04:20:59，攻击者提交一笔 EIP-7702 交易，其中包含 18 份由 Binance 14 私钥签名的授权，将该 EOA 委托给攻击者部署的 Sweeper 合约。 该合约限制了调用者身份，只有攻击者指定的地址可以调用 sweep()。执行后，合约能够将账户持有的 ERC-20 代币和 ETH 批量转出，并保留 1 ETH 用于 Gas。 ⏰北京时间 04:24 至 23:56，攻击者累计调用该合约 10 次。与此同时，攻击者还借助 Binance 14 的身份及相关权限，使 Hot Wallet 34 转出约 8.23 亿 USDC。 EIP-7702 是以太坊引入的账户委托机制，允许传统 EOA 钱包关联智能合约代码，执行批量交易等操作。本次事件中，账户授权被用于改变钱包的执行逻辑，使攻击者能够持续调用恶意合约。 2/ 私钥保护与签名权限管理 Binance 后续公布的初步调查指向一名 DevOps 工程师的笔记本电脑遭到入侵，攻击者可能借此进入服务容器，提交未经授权的提现交易。Binance 表示，目前没有发现钱包私钥泄露的证据。 链上记录显示，Binance 14 的 EIP-7702 授权由其私钥签署。Binance 16 等其他热钱包则没有经过 7702 升级，而是通过直接签名转出资产。 这说明事件涉及不同的钱包执行路径，需要分别检查账户授权和常规签名交易。 对于机构钱包，安全控制需要覆盖签名请求来源、内部凭证、授权目标、合约代码及交易执行权限。签名通过密码学验证，并不代表交易已经通过机构内部的业务授权和风险审核。 3/ 多钱包失守与资金归集风险 此次事件并非单一以太坊钱包异常。 链上记录显示，10 月 30 日凌晨，首轮异常转账在约 30 分钟内陆续发生，涉及多个区块链网络。Avalanche 和 Polygon 随后还出现了进一步的资产转出。 XRP：约 2.33 亿枚； Solana：约 97 万枚 SOL； Bitcoin：约 18,270.2 BTC； Tron：约 6.13 亿 USDT 及 4,638 万 TRX； Ethereum：约 37.4 亿美元资产； Arbitrum、Avalanche、Polygon、Optimism、Base 等网络也出现异常转出。 其中，Binance 16 通过直接签名转出约 28,005.6 ETH；Hot Wallet 34 则通过 Binance 14 的相关权限转出约 8.23 亿 USDC。 Binance 14 首次出现异常后，仍有新的充值资金进入。恶意委托持续有效，使后续归集资金面临再次被转出的风险。 这一过程涉及两类控制： Wallet Monitoring： 识别异常授权、大额转账、批量资产转移及持续性异常交易。 Operational Controls： 发现异常后隔离钱包、暂停关联归集任务、撤销恶意授权，并转移剩余资产。 链上监测与内部资金管理系统需要形成联动，避免异常账户继续参与自动化资金调度。 4/ KYT 从地址筛查延伸至资金路径分析 资产转出后，攻击者将资金汇入多个中转地址，并通过 DEX、借贷协议及跨链服务进行兑换和转移。 以太坊链上的主要资金路径包括： ——Binance 14、Binance 16 和 Hot Wallet 34 的资产汇入归集地址，合计约 18.8 亿 USDT、8.23 亿 USDC、19.75 万 ETH 及 60 多种代币。 ——约 3.25 亿 USDT 经 UniswapX 兑换为约 10.5 万 ETH，相关 USDT 资金路径最多经过 6 层中转。 ——另一个地址将约 6,000 万 USDT 存入 Aave，借出约 1.98 万 WETH。 ——Tron 网络约 2.34 亿 USDT 经 SunSwap 兑换为约 6.38 亿 TRX。 ——Avalanche 上约 20 万 AVAX 兑换为 USDC，随后通过 CCTP 转移至 Ethereum。 这些交易使资产类型、持有地址和交易路径发生变化。KYT（Know Your Transaction）需要结合交易输入输出、对手方、资金来源、兑换记录和跨链事件，持续还原资金路径。 需要区分交易可追踪性与资金归因确定性。资金经过公共流动性池后，不能将池内全部资产认定为事件相关资金；多跳路径中出现风险地址，也需要进一步核实实际关联金额。 5/ 稳定币冻结与下游风险敞口 Tether、Circle 等稳定币发行方可以利用智能合约权限冻结特定地址中的代币。ETH、BTC、XRP 和 TRX 等资产没有发行方级别的地址冻结机制，后续仍可能通过转账、兑换及跨链服务继续流动。 截至 2026 年 10 月 30 日 02:00 UTC，链上分析核实的冻结资产约为 26.5 亿美元，涉及 Tether、Circle、World Liberty 和 Arbitrum 安全委员会。Binance 后续公布的官方冻结金额约为 30 亿美元，属于更新后的统计口径。 链上分析还显示： ——约 43 万 ETH 分布在 5 个新地址中，其中最大地址持有约 19.5 万 ETH。 ——18,270.2 BTC 被拆分至 19 个新地址，观察时点均未发生后续支出。 ——约 2.33 亿 XRP、97 万 SOL 和 6.84 亿 TRX 仍有大量资产处于未冻结状态。 👉安全启示: 对下游交易所、钱包和支付机构而言，风险监测需要关注资金是否进入新的平台，以及兑换、借贷、跨链等操作是否改变了资产形态和资金路径。 机构需要结合交易时间、资金输入与输出、地址关联及可归因金额，判断当前交易与事件资金之间是否存在可验证的联系，并区分直接暴露、间接关联和待核实关联。 #Binance#