三分钟卷走25亿，案件有多离谱？

日前，币安63亿美元加密货币失窃案的更多细节被披露。根据区块链交易记录和安全公司 Blockaid 的调查，黑客在这次行动中只付出了约 15 美元的网络手续费，仅用 三分半钟，就通过一笔交易转走了 25 亿美元。

漏洞出在哪？以太坊升级"好心办坏事"

黑客利用的是以太坊 EIP-7702 升级带来的新能力。该升级于 2025 年 5 月上线，初衷是优化钱包使用体验——它新增了类似自动授权的功能，允许账户授权软件代为执行资金操作，并将多笔资产转移打包成单次交易。

在升级之前，钱包每一笔转账都需要单独签名授权，多币种转移要反复操作，很容易触发交易所的风控预警。

完整作案链条拆解

  • 第一步：钓鱼入侵。 黑客发布虚假招聘岗位，通过社会工程攻击诱骗一名工程师下载恶意代码，成功渗透内部系统。
  • 第二步：锁定目标。 黑客将目标锁定为代号"Binance 14"的热钱包。这个钱包相当于币安的线上收银账户，负责处理用户提款，里面存放着大量以太币、稳定币和数十种代币。
  • 第三步：获取权限。 10 月 29 日 UTC 时间 20:20，黑客提交授权指令，花费约 15 美元手续费，让以太坊网络许可其恶意程序代表 Binance 14 钱包执行操作。这一步并没有转移资金，只是拿到了资产操作权限。
  • 第四步：一键清空。 三分半钟后，黑客启动恶意合约，在一次交易中卷走 25 亿美元，包括 167464 枚以太币和 60 多种代币，仅 USDT 稳定币就被盗走 16 亿美元。

【编辑观察】

如果按照传统方式，转移钱包里几十种不同代币需要连续多笔独立转账，每一次操作都在增加被安全系统发现的概率。而 EIP-7702 的打包执行能力，让黑客实现了"一键清空钱包"，大幅压缩作案时间，也降低了被风控拦截的机会。

这项本为提升体验而设计的功能，最终成了黑客的"最佳助攻"，多少有点"聪明反被聪明误"的意味。对整个加密行业来说，如何在便利性与安全性之间找到平衡，恐怕是这次天价劫案留下的最大考题。