EIP-7702协议安全性分析：攻击本质在于权限滥用

近日，一起针对交易所热钱包的安全事件引发了社区对EIP-7702协议的广泛关注。以太坊生态系统开发者Derek Chiang对此发表观点，明确指出协议本身并未出现技术性漏洞。他强调，用户无需因为自己的钱包支持该功能而感到恐慌，真正的风险点在于私钥的安全保管和授权的谨慎管理。

协议机制如何被利用

EIP-7702的核心价值在于，它允许一个普通的以太坊外部账户（EOA）通过一次性的授权，临时获得智能合约的部分能力，比如在一次交易中打包执行多个操作。这次攻击事件中，攻击者正是利用了这一点，在单笔交易内高效转移了包括ETH、USDT在内的六十多种资产。

然而，实现这一切有两个绝对前提：

  • 私钥控制：攻击者必须已经实际掌控了目标热钱包的私钥。
  • 授权签署：或者，攻击者需要成功诱骗交易所的操作系统为EIP-7702授权请求签名。

目前，具体是哪种途径导致了此次攻击，仍需等待官方的详细事故报告。

给开发者的核心安全建议

Chiang特别向钱包和交易所的开发者团队发出了警示。他指出，绝不能轻易向任何第三方开放EIP-7702授权签名接口，或任何形式的“任意消息签名”功能。这类接口如果管理不当，就如同将保险柜的钥匙交给了外人。

安全的最佳实践是，这类敏感签名操作应严格限定在内部、经过多重验证的安全环境中进行，并且需要对每一次签名请求的背景和目的进行严格审计。