币圈界报道：

以太坊新协议成攻击跳板：EIP-7702如何被滥用

在2025年5月实施的以太坊“Pectra”升级中，EIP-7702正式上线。该机制赋予标准钱包临时调用智能合约的能力，通过签名授权实现行为委托，旨在提升普通用户对复杂操作的参与度与灵活性。

攻击者借机批量部署预签名指令

据区块链分析机构TRM Labs披露，针对币安的攻击者巧妙利用了该机制。其在单一交易中提交了50组预先生成的EIP-7702授权，全部指向一个由攻击方完全控制的资金归集合约（Sweeper Contract）。

此举的核心在于规避以太坊交易顺序追踪机制。每个钱包的交易计数器（Nonce）呈递增状态，而签名授权仅在特定Nonce下有效。攻击者提前覆盖连续50个Nonce值范围，确保无论币安热钱包后续处理哪笔交易，都将触发其中一个已签名授权，从而自动建立恶意委托关系，无需依赖钱包实际操作状态。

资金在三分钟内被彻底清空

一旦授权生效，热钱包即开始执行攻击者设定的指令。根据TRM Labs的时间线还原，在授权激活后的约三分半钟内，该钱包所有资产被迅速转移，包括约16.15亿美元的USDT以及63种其他代币。随后数小时内，随着更多资金流入，攻击者持续实施扫荡操作。

此次事件最终造成币安总计约63.6亿美元的损失，发生于2026年10月29日。

功能便利与安全风险之间的深层矛盾

EIP-7702的提出源于现实需求。此前，传统外部拥有账户（EOA）仅能完成基础转账与签名，而具备高级功能的智能合约钱包则需复杂初始化流程，门槛较高。

该协议允许现有钱包在不更换账户的前提下，临时获得批量操作、社交恢复或代付Gas等能力。然而，这种灵活性也埋下隐患：一旦攻击者获取部分签名权限，即可借助授权机制进行大规模操控。由于系统无法验证签名背后的意图，合法授权与恶意授权在技术层面难以区分，导致风险被显著放大。

本次事件的技术细节已由相关安全研究团队在其官方平台公开。