EIP-7702: Bản nâng cấp trở thành bề mặt tấn công trong vụ xâm nhập Binance tháng 10
TREE NEWS đưa tin: Vào ngày 29 tháng 10 năm 2026, tin tặc đã rút cạn tiền từ Binance trên Ethereum, Arbitrum và các mạng khác trong một trong những vụ xâm nhập sàn giao dịch lớn nhất từ trước đến nay. Theo dữ liệu on-chain, cuộc tấn công đã khai thác EIP-7702, một bản nâng cấp gần đây của Ethereum cho phép các tài khoản sở hữu bên ngoài (EOA) tạm thời ủy quyền thực thi cho các hợp đồng thông minh. Tính năng này, được thiết kế để cải thiện trải nghiệm người dùng với tài khoản thông minh, đã trở thành điểm xâm nhập quan trọng của vụ xâm nhập.
EIP-7702 là gì?
EIP-7702, một phần của bản nâng cấp Pectra, cho phép một ví thông thường thiết lập chỉ báo ủy quyền trỏ đến một hợp đồng thông minh. Điều này cho phép các tính năng như tài trợ gas, giao dịch theo lô và khôi phục xã hội mà không cần di chuyển sang tài khoản mới. Tuy nhiên, nó cũng có nghĩa là nếu hợp đồng được ủy quyền là độc hại hoặc có lỗ hổng, tài sản của ví có thể bị quét sạch. Các nhà nghiên cứu bảo mật cảnh báo rằng nhiều ví và dApp đã triển khai 7702 mà không có biện pháp bảo vệ đầy đủ, tạo ra một loại vectơ lừa đảo và khai thác mới.
Cuộc tấn công diễn ra như thế nào
Nhóm nghiên cứu của Blockaid cho biết tin tặc có khả năng đã lừa những người ký ví nóng của Binance hoặc các hệ thống tự động ký một ủy quyền 7702 cho một hợp đồng độc hại. Sau khi được ủy quyền, hợp đồng có được khả năng chuyển token và tương tác với các giao thức DeFi thay mặt cho các ví của sàn giao dịch. Cuộc tấn công trải rộng trên nhiều chuỗi, cho thấy một chiến dịch phối hợp và có nguồn lực dồi dào. Binance đã tạm dừng rút tiền và đang làm việc với cơ quan thực thi pháp luật, nhưng mức độ tổn thất đầy đủ vẫn đang được đánh giá.
Tác động đến ngành
Sự cố đặt ra những câu hỏi cấp bách về bảo mật của trừu tượng hóa tài khoản và EIP-7702. Trong khi bản nâng cấp hứa hẹn UX tốt hơn, nó giới thiệu một nguyên thủy mạnh mẽ có thể bị vũ khí hóa. Các sàn giao dịch và đơn vị lưu ký giờ đây phải kiểm toán chính sách ủy quyền của họ, triển khai phê duyệt nhiều lớp và giám sát các sự kiện ủy quyền trái phép. Các nhà cung cấp ví cần giáo dục người dùng về rủi ro khi ký các giao dịch ủy quyền. Các cơ quan quản lý cũng có thể để ý, vì vụ xâm nhập làm nổi bật những rủi ro hệ thống của các tính năng Ethereum mới lạ.
Quan điểm hướng tới tương lai
EIP-7702 sẽ không biến mất, nhưng việc triển khai nó có thể sẽ trở nên thận trọng hơn. Hãy kỳ vọng một làn sóng công cụ bảo mật tập trung vào giám sát ủy quyền, thu hồi và mô phỏng. Ngành có thể thúc đẩy các hợp đồng ủy quyền được chuẩn hóa với khóa thời gian và giới hạn chi tiêu. Đối với Binance, vụ xâm nhập là một đòn giáng về danh tiếng và tài chính có thể đẩy nhanh việc áp dụng tính toán đa bên (MPC) và mô-đun bảo mật phần cứng. Cuối cùng, sự kiện nhấn mạnh rằng đổi mới trong mô hình tài khoản của Ethereum phải được đi kèm với các thực tiễn bảo mật đổi mới tương đương.
