一項原本為了讓以太坊錢包更方便的升級，竟成為攻擊者轉移巨額資產的工具。

2026年10月29日，攻擊者在約20分鐘內，透過10條區塊鏈轉移幣安錢包中約64億美元的加密資產。其中，以太坊網路上的攻擊涉及EIP-7702授權機制，攻擊者利用委託程式碼，將幣安熱錢包變成受其控制的資產歸集器。

以太坊共同創辦人Vitalik Buterin曾表示：「自2016年初以來，我們一直在探討帳戶抽象。」這條技術路線希望讓錢包更靈活，但幣安事件也提醒市場：功能越強大，授權安全就越不能被忽視。

一、EIP-7702不是漏洞，而是被濫用的授權機制

EIP-7702於2025年5月7日隨以太坊Pectra升級啟用，核心目標是讓傳統外部擁有帳戶（EOA）也能使用智能合約功能。

過去，普通以太坊錢包主要依靠私鑰簽署交易，功能相對單一；智能合約帳戶則能執行批量操作、設定消費限制，甚至支援由第三方代付Gas費。

EIP-7702試圖縮短兩者之間的差距。用戶不必更換錢包地址，就能透過授權方式，讓原有EOA暫時執行指定智能合約的程式碼。

問題在於，這種委託並非單純增加幾項功能。被委託的程式碼可以在帳戶權限範圍內操作資產，一旦授權給惡意合約，後果可能相當嚴重。

二、50份預先簽署授權，攻擊者如何搬走資產？

根據TRM Labs與Chainalysis的調查，攻擊者在以太坊網路上利用EIP-7702委託機制，將幣安一個熱錢包指向攻擊者控制的資產歸集合約。

其中一個關鍵細節是：攻擊者事先取得了50份授權簽名。Chainalysis指出，一個透過Tornado Cash取得資金的操作錢包，提交了這些已簽署授權，使目標熱錢包開始執行攻擊者部署的程式碼。

簡單理解，這並不是攻擊者直接破解以太坊網路，而是利用已獲授權的程式碼取得帳戶操作能力，隨後將資產轉移至自己控制的地址。

50份授權之所以值得關注，是因為它反映攻擊者可能提前準備了多筆可用授權，而不是臨時發起一次普通轉帳。授權簽署與實際執行之間的時間差，也讓風險更加難以察覺。

三、真正的問題可能出在熱錢包簽名基礎設施

這起事件最重要的技術細節，是EIP-7702授權必須取得目標帳戶的有效簽名。

換句話說，攻擊者不能只靠部署一份惡意合約，就任意接管其他人的錢包。授權本身仍需要帳戶持有者的簽名。

更值得注意的是，幣安在其他9條區塊鏈上的錢包，同樣透過常規簽名轉帳將資產送往攻擊者地址。TRM Labs認為，這可能說明問題涉及幣安熱錢包簽名基礎設施遭到入侵，而不是以太坊協議本身出現漏洞。

幣安此前表示，調查最初發現一名工程師的筆記型電腦遭到入侵，後續又找到其他可能的突破點。

這讓事件的焦點從單一智能合約風險，進一步延伸至內部設備安全、簽名權限管理及企業資安流程。

四、帳戶抽象帶來便利，也放大授權風險

EIP-7702的設計並非毫無價值。批量交易可以減少操作步驟，Gas代付能改善新用戶體驗，權限受限的子密鑰也有機會降低日常使用門檻。

但這些功能都建立在一個前提上：用戶必須清楚知道自己授權了什麼。

以批量交易為例，用戶可能只想完成一次Token兌換，卻在不理解授權內容的情況下，將更大的帳戶操作權交給第三方合約。對一般使用者而言，簽名視窗中的技術資訊往往不容易理解，這也讓惡意授權更容易成為攻擊入口。

值得注意的是，EIP-7702規範本身已對委託程式碼的權限提出警告。這說明風險並非事後才被發現，而是設計者早已意識到授權可能帶來的安全問題。

五、EIP-7702的未來，關鍵在於如何管理權限

EIP-7702是以太坊邁向完整帳戶抽象的重要一步。未來，開發者希望透過EIP-8141等提案，進一步整合帳戶抽象功能，讓錢包在交易體驗、權限管理及資產恢復方面更加靈活。

但幣安事件提醒開發者，功能整合不能只追求操作便利，也必須把授權範圍、撤銷機制和簽名安全納入設計。

對交易所而言，熱錢包不只是存放資產的地址，更是整套簽名與權限管理系統的一部分。對普通用戶而言，未來使用智能合約錢包時，也需要更仔細檢查授權對象及權限範圍。

這起事件真正暴露的，不是EIP-7702讓以太坊變得不安全，而是當普通錢包開始具備智能合約能力，舊有的私鑰安全思維已經不再足夠。

帳戶抽象能否走向主流，最終不只取決於功能有多強大，更取決於用戶能否安全地使用這些功能。

FAQ 常見問題

Q1：EIP-7702是一種加密貨幣或代幣嗎？

不是。EIP-7702是以太坊協議層面的改進提案，隨Pectra升級於2025年5月啟用，目的是讓傳統EOA錢包能夠執行智能合約程式碼，並不代表有新的代幣可以購買。

Q2：使用EIP-7702是否代表錢包資產一定會被盜？

不是。EIP-7702本身是正常的協議功能，風險主要來自用戶簽署了不可信的委託授權。若授權程式碼具有過大的資產操作權限，惡意合約便可能利用這些權限轉移資金。

Q3：EIP-7702與完整帳戶抽象有什麼關係？

EIP-7702是以太坊邁向完整帳戶抽象的過渡方案，讓現有EOA可以使用部分智能合約功能。未來相關提案希望進一步整合批量交易、Gas代付及權限管理，改善錢包的使用體驗。