EIP-7702 là gì? Tại sao lại trở thành một phần quan trọng trong vụ trộm của Binance

Tác giả: Nhóm Nghiên cứu Blockaid

Biên dịch: TechFlow Thâm Chấn

Theo dữ liệu thống kê công khai trên chuỗi, vào ngày 29 tháng 10 năm 2026, tin tặc đã đánh cắp ít nhất 6,3 tỷ đô la tài sản từ nhiều ví nóng của Binance trên Ethereum, Arbitrum, Avalanche, Optimism, Bitcoin và Tron, lập kỷ lục về số tiền liên quan đến vụ trộm trong lịch sử tiền điện tử.

Mục tiêu chính của cuộc tấn công này nhắm thẳng vào Binance 14 (địa chỉ Ethereum: 0x28C6c06298d514Db089934071355E5743bf21d60). Địa chỉ này là một trong những ví nóng lớn nhất và có tương tác trên chuỗi thường xuyên nhất của Binance.

Vào lúc 20:24 theo Giờ Phối hợp Quốc tế (UTC), tin tặc đã rút sạch khoảng 2,5 tỷ đô la tài sản bên trong Binance 14 trong một giao dịch duy nhất. Chỉ vài phút trước khi vụ cướp tài sản này xảy ra, tin tặc đã cầm trong tay bản sao khóa riêng của ví bị rò rỉ, ký một ủy quyền EIP-7702, ủy thác ví nóng này cho hợp đồng quét độc hại mà tin tặc đã triển khai trước đó.

Trong vòng 12 phút sau khi hoàn tất vụ cướp tài sản ban đầu, 10 ví nóng khác của Binance trên bốn chuỗi công cộng cũng đã lần lượt thực hiện chuyển khoản đến cùng một địa chỉ thu gom. Sau đó, tin tặc tiếp tục thông qua Binance 14, vẫn đang trong trạng thái ủy thác, cướp tài sản từ tài khoản hợp đồng thông minh của Binance.

Tổng quan về sự kiện tấn công

Hệ thống phát hiện an ninh của Blockaid đã kích hoạt cảnh báo trong chưa đầy hai phút sau khi tài sản bị quét sạch, thời gian phản ứng này nhanh hơn nhiều so với bất kỳ phương tiện truyền thông công khai hoặc mạng xã hội nào. Sau đó, động cơ phân tích tự động đã xác nhận sự rò rỉ khóa riêng và cơ chế tấn công ủy thác EIP-7702 trong vòng 11 phút.

Sau đó, nhà phát hành stablecoin Tether và Circle đã khẩn cấp đóng băng khoảng 1,8 tỷ đô la tài sản tại địa chỉ thu tiền chính của tin tặc. Giám đốc điều hành Tether, Paolo Ardoino, sau đó cho biết tổng số USDT mà Tether đã đóng băng đã vượt quá 1,5 tỷ đô la.

Tuy nhiên, các tài sản gốc như ETH, AVAX, OP và ARB mà tin tặc đánh cắp không thể bị đóng băng bởi các tổ chức trung ương, vẫn nằm vững chắc trong tay của tin tặc.

Báo cáo tổng kết này bao quát toàn diện các công việc chuẩn bị của tin tặc, ủy thác EIP-7702 và quét tài sản, ký hiệu khóa riêng đồng thời trên bốn chuỗi công cộng, lộ trình rửa tiền và đóng băng tài sản, cũng như phát hiện và phản ứng khẩn cấp của Blockaid.

Báo cáo này được viết dành riêng cho các sàn giao dịch, tổ chức lưu ký và các tổ chức tài chính nắm giữ và quản lý khóa riêng ký hiệu lớn. Nó nhắm đến hai tuyến phòng thủ cốt lõi quyết định sự sống còn của các cuộc tấn công như vậy: thực thi các chính sách an ninh trước khi tạo chữ ký và giám sát liên tục trên chuỗi khi tài sản đang trong trạng thái lưu động.

Bối cảnh: Ví nóng của sàn giao dịch, khóa riêng ký hiệu và cơ chế ủy thác tài khoản EIP-7702

Ví nóng của sàn giao dịch là tài khoản trực tuyến mà sàn giao dịch sử dụng để thanh toán cho khách hàng và chuyển tiền giữa các ví khác nhau của chính mình. Những tài khoản này chứa đựng một lượng lớn vốn lưu động hàng ngày và liên tục ký kết giao dịch, thường cần thực hiện hàng nghìn giao dịch chuyển khoản mỗi ngày.

Khóa riêng đứng sau những chữ ký này là rào cản kiểm soát duy nhất ngăn cách số dư tài khoản khổng lồ với bất kỳ tin tặc nào có bản sao khóa riêng. Trên Ethereum và các chuỗi công cộng tương thích EVM khác, những ví này trong lịch sử đều là tài khoản sở hữu bên ngoài (EOA).

EOA là một tài khoản địa chỉ thuần túy không có bất kỳ mã hợp đồng nào, chỉ cần xác minh chữ ký hợp lệ trên chuỗi, tài sản sẽ được chuyển giao vô điều kiện, chuỗi khối cơ sở sẽ không thực hiện bất kỳ kiểm tra logic kinh doanh bổ sung nào.

Việc giới thiệu giao thức EIP-7702 cho phép tài khoản EOA thông thường chạy mã hợp đồng thông minh. Tài khoản này chỉ cần ký một chứng nhận ủy quyền cho địa chỉ hợp đồng chỉ định, một khi chứng nhận này được đóng gói vào khối thông qua giao dịch loại Type-4, bất kỳ cuộc gọi nào đối với tài khoản đó sau đó sẽ thực hiện logic của hợp đồng thông minh tương ứng và có quyền kiểm soát hoàn toàn tài sản của tài khoản.

Chứng nhận này gắn chặt với bộ đếm giao dịch của tài khoản (Nonce). Trừ khi tài khoản đó ký và phát sóng một chứng nhận hoàn toàn mới để thay thế hoặc xóa bỏ nó, mối quan hệ ủy thác này sẽ tiếp tục có hiệu lực lâu dài.

Đối với các nhà đầu tư cá nhân thông thường, tính năng này có thể thực hiện việc đóng gói giao dịch hàng loạt và các chức năng tài trợ thanh toán Gas tiện lợi. Tuy nhiên, đối với ví nóng của sàn giao dịch, chỉ cần một lần rò rỉ chữ ký trên Nonce đúng, sẽ trao quyền kiểm soát mã lâu dài của tài khoản cho tin tặc, thậm chí bao gồm cả mỗi khoản tiền mới nạp vào địa chỉ đó sau này.

Blockaid đã xác minh và xác nhận bốn sự kiện an ninh EIP-7702 trong nửa đầu năm 2026, tổng thiệt hại khoảng 1,08 triệu đô la, mỗi sự kiện đều lạm dụng các đặc tính khác nhau của cơ chế ủy thác. Blockaid đã từng cảnh báo rõ ràng trong báo cáo an ninh trên chuỗi nửa đầu năm 2026 rằng trường hợp thiệt hại đầu tiên đạt bảy con số (mức triệu đô la) sẽ xuất hiện trước cuối năm nay.

Vụ tai nạn an ninh mà Binance gặp phải lần này không chỉ xác nhận đánh giá này, mà quy mô liên quan còn cao hơn dự đoán ban đầu ba bậc số.

So với đó, con đường tấn công chuyển khoản trực tiếp truyền thống hơn. Tin tặc cầm khóa riêng bị đánh cắp ký các giao dịch chuyển khoản thông thường, trong một ví nóng xử lý hàng nghìn giao dịch rút tiền mỗi ngày, các giao dịch như vậy trông rất bình thường, chỉ khi tổng hợp mục tiêu nhận tiền, số tiền đơn lẻ và thứ tự thời gian chuyển khoản mới có thể phát hiện ra sự bất thường.

Cả hai con đường tấn công này đều bắt nguồn từ việc đánh cắp khóa riêng. Chính vì vậy, việc phát hiện phòng ngừa đối với những rủi ro như vậy phải dựa vào nhận thức động về mô hình hành vi, và không thể chỉ dựa vào các chữ ký độc hại hoặc đặc điểm lỗ hổng hợp đồng đã biết.

Diễn biến tấn công: Tin tặc đã từng bước thực hiện như thế nào

Dưới đây là các ghi chép thời gian đều sử dụng Giờ Phối hợp Quốc tế (UTC) vào ngày 29 tháng 10 năm 2026. Tại thời điểm báo cáo được phát hành, các hoạt động liên quan trên chuỗi vẫn đang tiếp tục diễn ra.

Giai đoạn chuẩn bị tấn công: Trộn tiền nạp và triển khai hợp đồng quét

Địa chỉ của người điều hành tin tặc (0x7C8601d4645b93cea45F71e118A729332e6B5CA0) đã bắt đầu từ ngày 28 tháng 10, thông qua ba giao dịch rút tiền từ Tornado Cash để có được vốn thử nghiệm ban đầu.

Vào ngày 29 tháng 10, địa chỉ này đã hoàn thành quy trình "ủy thác và quét" trên ba ví thử nghiệm mà nó kiểm soát, mỗi lần chuyển từ 2 đến 6 đô la tiền thử nghiệm.

Vào lúc 15:59 cùng ngày, tin tặc chính thức triển khai hợp đồng quét được sử dụng để cướp Binance (địa chỉ: 0x63e842B054Bd624a465454D533C33F573e9c6fAe, giao dịch triển khai tương ứng: 0x97408e…).

Hợp đồng này hoàn toàn chưa được xác minh mã nguồn mở, đã đặt địa chỉ của người điều hành tin tặc làm bên ủy quyền duy nhất và bao gồm một hàm quét (Sweep), có thể chuyển tất cả các token trong danh sách và ETH gốc trong tài khoản đến địa chỉ nhận chỉ định trong một lần. Ngoài ra, hợp đồng còn tích hợp một hàm chuyển tiếp, cho phép tài khoản được ủy thác gọi các hợp đồng bên ngoài khác.

Va chạm Nonce: 50 chữ ký ủy quyền, một lần trúng đích chính xác

Vào lúc 20:20:59, người điều hành tin tặc đã gửi một giao dịch loại Type-4 đến Binance 14 (địa chỉ: 0x28C6c06298d514Db089934071355E5743bf21d60) (giao dịch hash: 0xad9926…).

Giao dịch này mang theo 50 chứng nhận ủy quyền EIP-7702 đã được ký trước bởi khóa riêng của Binance 14, tương ứng với các giá trị Nonce liên tiếp từ 18,914,775 đến 18,914,824, mỗi chứng nhận đều ủy thác ví cho hợp đồng quét mà tin tặc đã triển khai.

Do Binance 14 lúc đó vẫn đang xử lý các yêu cầu rút tiền của người dùng trên toàn mạng, tin tặc không thể dự đoán chính xác Nonce thời gian thực tại thời điểm gọi, vì vậy đã áp dụng chiến lược phun chữ ký trên khoảng Nonce.

Cuối cùng, trong số 50 chữ ký ủy quyền này, có 49 chữ ký không hợp lệ do không khớp Nonce, nhưng một chữ ký đã trúng đích chính xác. Trong khi các giao dịch rút tiền thông thường của Binance vẫn liên tục phát ra từ ví đó, ủy thác độc hại của tin tặc đã âm thầm tiếp quản địa chỉ này.

Một giao dịch cuỗm đi 2,5 tỷ đô la: Một giao dịch làm sạch tài sản cốt lõi của ví nóng

Sau 3 phút 24 giây kể từ khi ủy thác có hiệu lực, vào lúc 20:24:23, người điều hành tin tặc đã kích hoạt cuộc gọi quét đến Binance 14 (giao dịch hash: 0x53bd38…).

Giao dịch này đã chuyển 167,464 ETH, 1,615 triệu USDT và khoảng 60 loại token khác đến một địa chỉ thu gom của tin tặc chưa có bất kỳ lịch sử nào (0x5227f603C1eE34CE3C06eFe6477003BDfCCB2f8c).

Sau khi hoàn tất vụ cướp khổng lồ này, ví Binance 14 từng có tài sản hàng tỷ đô la chỉ còn lại 1 ETH biểu trưng. Theo giá thị trường vào thời điểm đó, tổng giá trị của danh mục tài sản này lên đến khoảng 2,5 tỷ đô la.

Băng qua bốn chuỗi công cộng: Hàng chục khóa riêng của ví nóng bị đánh cắp đồng thời

Chỉ 24 giây sau khi hoàn tất vụ quét lớn đầu tiên, ví Binance 16 (địa chỉ: 0xDFd529…) đã thực hiện chuyển khoản đến cùng một địa chỉ thu gom (giao dịch hash: 0x51f263…), tổng cộng cuỗm đi 28,005.6 ETH, 55.7 triệu USDT, 25.9 triệu RLUSD, 84.5 WBTC và 5 loại token khác.

Trong 12 phút tiếp theo, ví Binance 55 của Binance trên Optimism đã chuyển ra 44.2 triệu OP; bốn ví nóng trên Arbitrum đã chuyển ra 74.6 triệu ARB và 8,426 ETH; bốn ví nóng khác trên Avalanche đã chuyển ra 1.81 triệu AVAX và 8.41 triệu USDT.

Đáng chú ý, các ví bị đánh cắp sau này đều không được trang bị bất kỳ mã hợp đồng thông minh nào. Mỗi giao dịch chuyển tiền đều được ký bởi khóa riêng thực sự của từng ví và khéo léo hòa lẫn trong dòng giao dịch rút tiền hàng ngày thông thường của người dùng.

Kiểm soát tài khoản thông minh: Liên tục giữ lại tài sản nạp vào sau

Vào lúc 20:41:23, người điều hành tin tặc đã sử dụng Binance 14, vẫn đang trong trạng thái ủy thác, để gọi đến tài khoản lưu ký thông minh Circle của mình, Binance Hot Wallet 34 (địa chỉ: 0xEe7aE8…).

Tin tặc đã rút 780 triệu USDC từ tài khoản thông minh này đến địa chỉ thu gom của tin tặc (giao dịch hash: 0xdc102d…), sau đó lại tiếp tục rút thêm 43 triệu USDC.

Vào lúc 21:44, tin tặc lại thực hiện một lần quét thứ hai đối với Binance 14 (giao dịch hash: 0x55ba4d…), lấy sạch 200 triệu USDT và 13 loại token khác mà người dùng bên ngoài mới nạp vào địa chỉ này sau lần quét đầu tiên.

Đến 22:00 ngày hôm đó, lệnh ủy thác độc hại vẫn kiên trì tồn tại trên chuỗi, bất kỳ tài sản mới nào không bị phát hiện được chuyển vào Binance 14 đều không cần hacker cung cấp chữ ký ví một lần nữa, có thể trực tiếp bị hacker quét đi.

Suy ngẫm về cơ chế: EIP-7702 làm thế nào để biến việc lộ khóa riêng thành kiểm soát vĩnh viễn

Trước khi giao thức EIP-7702 của Ethereum ra đời, việc đánh cắp khóa riêng của ví nóng thường biến thành một cuộc đua chuyển nhượng tài sản trong tích tắc. Hacker phải nhanh chóng ký từng giao dịch để lấy tiền, trong khi đội ngũ vận hành của sàn giao dịch có thể kịp thời chuyển số tiền còn lại đi bằng cách tăng phí Gas sau khi phát hiện; một khi sàn giao dịch chuyển ví nóng sang địa chỉ mới, khóa riêng cũ bị đánh cắp sẽ hoàn toàn trở thành phế liệu.

Tuy nhiên, khi khóa riêng bị đánh cắp có khả năng ký ủy thác trừu tượng tài khoản, cục diện tấn công và phòng thủ đã xảy ra sự đảo ngược căn bản. Chỉ cần một giấy ủy quyền có hiệu lực dưới một Nonce cụ thể, Binance 14 đã hoàn toàn được cải tạo thành chương trình máy rút tiền thuộc sở hữu riêng của kẻ tấn công.

Sau đợt quét đầu tiên vào lúc 20:24 UTC lấy đi tài sản tồn kho, mối quan hệ ủy thác vẫn tiếp tục được gắn trên chuỗi. Đến 21:44, hacker lại dễ dàng lấy đi hơn 200 triệu đô la tài sản mới nạp mà không cần Binance 14 cung cấp bất kỳ chữ ký mới nào.

Lúc này, ngay cả khi sàn giao dịch thay đổi khóa bí mật nội bộ thành khóa riêng mới, cũng không thể xóa bỏ mối quan hệ ủy thác trên chuỗi này, vì mối quan hệ ủy thác đó gắn liền với địa chỉ nền tảng. Chỉ có thể sử dụng lại khóa riêng bị lộ để ký một giấy ủy quyền mới, rõ ràng đặt mục tiêu ủy thác về địa chỉ không, mới có thể hoàn toàn giải trừ quyền kiểm soát mã của hacker đối với tài khoản đó. Trước khi làm điều này, bất kỳ tài sản nào chảy vào Binance 14 đều là của hacker có thể lấy bất cứ lúc nào.

Đối với các đội quản lý tài khoản EOA lớn, sự kiện này đã gióng lên hồi chuông cảnh báo an ninh nghiêm trọng, chiến lược ứng phó cụ thể rất rõ ràng: phải coi ủy quyền EIP-7702 là hoạt động đặc quyền, đặt dưới sự kiểm soát chiến lược nghiêm ngặt giống như việc rút tiền từ ví lạnh.

Thực hiện giám sát trạng thái mã của tất cả địa chỉ ví nóng 24/7, và chuẩn bị sẵn các giao dịch hủy đã ký trước; trước khi trạng thái ủy thác được xác nhận an toàn, tuyệt đối tránh để bất kỳ quỹ nào tồn tại tại địa chỉ đó; sau khi xảy ra sự cố lộ khóa riêng, trước khi thay đổi khóa và bổ sung ví, phải hoàn toàn xóa bỏ mối quan hệ ủy thác trên chuỗi.

Đồng thời, khi khởi xướng bất kỳ giao dịch ủy thác nào, phải truyền đạt đầy đủ danh sách ủy quyền đến tầng kiểm tra giao dịch. Bởi vì nếu tách rời danh sách đó, một giao dịch ủy thác nguy hiểm có thể trông giống như một cuộc gọi vô hại đến địa chỉ đáng tin cậy.

Phân tích sự kiện và kết luận cuối cùng

Việc lộ khóa riêng vẫn là nguồn gốc gây thiệt hại tài chính lớn nhất mà thế giới chuỗi công khai hiện nay phải đối mặt. Nếu dữ liệu thống kê công khai cuối cùng được xác thực, sự kiện này sẽ trở thành vụ trộm lớn nhất trong lịch sử tiền điện tử, với quy mô liên quan gấp ba lần so với vụ Bybit bị trộm vào tháng 2 năm 2025 (khoảng 1,5 tỷ đô la).

11 khóa riêng của ví nóng thuộc Binance đã thực hiện chuyển tiền đến một địa chỉ hacker vừa được tạo ra trong vòng vài phút, trong đó một ví quan trọng đã ký một giấy ủy quyền EIP-7702, khiến nó trở thành công cụ cướp bóc lâu dài của hacker.

Mặc dù nhà phát hành stablecoin tuân thủ quy định đã khẩn cấp đóng băng khoảng 2,4 tỷ đô la tài sản trong vòng hai giờ sau sự cố, nhưng hacker vẫn thành công lấy đi một số lượng lớn Ethereum và các tài sản gốc khác.

Từ góc độ của chuỗi khối nền tảng, một chữ ký hợp pháp được phát hành bởi khóa riêng bị đánh cắp không khác gì một chữ ký hợp pháp được ủy quyền bình thường. Trong các cuộc tấn công khóa riêng như vậy, ranh giới thực sự phụ thuộc vào việc kiểm soát chiến lược vào thời điểm tạo chữ ký, cũng như khả năng ngăn chặn chính xác trong vài phút vàng khi tài sản vừa bắt đầu lưu động thông qua giám sát chuỗi nhạy bén.