跳到正文
AYi· @AYi_AInotes · X·· 3 小时前AI 评分42
AI 导读

币安 14 号热钱包遭黑客利用以太坊 EIP-7702 委托授权搬空,黑客未窃取私钥即让签名系统自行签出授权。攻击者连签 50 份盲猜序号,第 16 份命中后合约一次调用卷走 16.7 万枚 ETH、16.2 亿 USDT 等 60 多种代币,25 亿美元在 4 分钟内清空;随后自动归集程序又补入 2 亿 USDT,72 秒后被截胡。

正文

币安被黑客盗取63亿美元始末:

用视频之神Claude Opus 5.5一句话出的完整复盘视频,

把币安热钱包被搬空 63 亿美元的链上实录全翻出来了了,
我觉得最让人后背发凉的根本不是金额有多大,
而是黑客在没偷私钥的情况下,
让币安的签名系统亲手帮他签了字,

大家默认交易所被黑,要么前端被钓鱼,
要么内鬼卷款跑路。但这次链上还原出来的操作,
本质上是一场针对以太坊新协议 EIP-7702 的降维收割。

很多人没看懂 EIP-7702 是什么。通俗讲,
它就像给钱包办了一张全权委托公证书,

委托一旦生效,
黑客部署的合约就能以钱包的名义随意调度资产。

更致命的是,这份授权没有转账金额,
没有收款地址,只有一串委托指令。

传统风控引擎去查金额和黑名单,
根本什么都查不出来。

整场洗劫的链上痕迹,精密得像一部好莱坞电影:

1️⃣ 连签 50 份盲猜序号 币安 14 号热钱包每 6 秒就发一笔交易,黑客算不准当前的交易序号,干脆让系统一口气签下 50 份连续授权。结果第 16 份刚好对上,委托瞬间生效。

2️⃣ 3 分 24 秒一笔归零 委托生效后,合约仅用一次调用,就把钱包里的 16.7 万枚 ETH 和 16.2 亿 USDT 等 60 多种代币一笔卷走。25 亿美元在 4 分钟内瞬间清空,钱包只剩 1 个 ETH。

3️⃣ 自动化系统盲目送人头 钱包被清空后,内部的自动归集程序依然在机械运转。凌晨 5 点多又有 2 亿 USDT 被系统自动补进这个受控钱包,结果 72 秒后就被黑客光速截胡。

同一时段,比特币、波场、Solana 等多条链上的热钱包也相继失守。

虽然中心化机构紧急冻结了约 30 亿美元稳定币,但黑客手里近 20 万枚 ETH 根本没有任何人能按下暂停键

引用AYi@AYi_AInotes
在整个加密商业史里,OKX 拿到的原本是一张胜算最低的“地狱级开局牌”。 当年友商靠着巧舌如簧的全球公关、挥金如土的超级碗广告、甚至买下 NBA 球馆冠名权把声量推向神坛的时候,他们却深陷提币风波的至暗时刻,被全网唱衰、判定死刑。 但如果你复盘过去这五年,谁完成了整个行业最不可思议的战略大逆转,答案只能是 OKX。 商业世界最残酷但也最公平的底层法则是: 风口上的喧嚣和造神运动,终究敌不过地心引力的算力清算; 而那些在所有人都在浮躁捞金时,反常识死磕硬核产品力的人,时间终究会把整座江山还给他们。 他们干成了三件几乎逆着全行业共识走的“重体力活”: 第一,当大家都在抢着造假数据、发空气币拉盘时,他们把几百名顶级工程师关在小黑屋里,死磕业内第一套“统一交易账户(Portfolio Margin)”。 把跨币种保证金、现货衍生品对冲的底层数学模型全部打通,硬生生把一家交易所的底层风控,做成了连极端黑天鹅行情都击不穿的金融级装甲车。 第二,当所有 CEX(中心化平台)都在拼命筑高围墙、想把用户的私钥和资产死死锁在自己服务器里时,他们却带头砸重金去革自己的命: 做自托管的 OKX Web3 钱包。 不仅开源、不仅把资产控制权双手奉还给用户,甚至把几百条公链的复杂操作、铭文索引、DEX 聚合,打磨成了全行业体验最丝滑的“链上瑞士军刀”。 别人以为他们在自掘坟墓,结果他们直接靠产品力把 Web3 钱包做成了全网十数倍于传统交易所的超级流量总闸门。 第三,在 FTX 轰然崩塌、全行业遭遇信任雪崩的那一年,他们没有找公关发通稿,而是第一个把 100%+ 默克尔树储备证明(PoR)常态化。 每月按时向全世界公开所有链上资产储备,哪怕被显微镜逐行审查也不退缩,硬生生用最笨拙但也最硬核的代码透明度,把破碎的行业信任一寸一寸拼接了回来。 很多人做商业喜欢走捷径,迷信资本运作和流量奇迹。 但 OKX 用十年逆袭证明了一件极度朴素的事: 在充满投机和欺骗的沼泽里,最锋利的武器从来不是舌灿莲花的叙事, 而是顶住所有冷眼与周期阵痛,把一行行代码、一套套风控、一张张底牌,彻底焊进用户心智里的纯粹硬实力。
在 X 查看被引用的帖子

来源:AYi · x.com