MORPHO大额失窃案：EIP-7702委托交易成攻击突破口

10月21日，知名链上侦探ZachXBT发布调查称，某机构在数小时内遭遇针对性攻击，两个独立地址合计损失97.3万枚MORPHO代币，按当时市价估算约230万美元。值得注意的是，所有被盗资金在转移后迅速流入隐私增强协议，增加了追回难度。

攻击手法剖析：EIP-7702账户委托的致命漏洞

根据ZachXBT的链上追踪，两个受害地址的被盗过程均与EIP-7702账户委托交易机制直接相关。这一新兴的账户抽象标准允许外部地址临时获得账户控制权，本意为提升用户体验，却在此次事件中暴露出严重的安全隐患。

  • 攻击者利用委托权限漏洞，在授权期内转移了大量MORPHO资产
  • 资金转移路径显示高度组织化操作，并非随机攻击
  • 被盗代币在短时间内通过多个中间地址分散处理

跨链洗钱路径：从以太坊到隐私池的资产漂流

进一步调查发现，其中一个受害地址并非首次遭遇攻击。该地址所属实体早在10月9日就曾损失约350万美元资产，当时被盗资金源自旧跨链桥的申领款项。

那批资产的转移路径极为复杂：首先通过NEAR Intents协议从以太坊跨链至Zcash网络，随后进入名为Ironwood的隐私池进行混合。这种跨链+隐私协议的组合手法，已成为黑客洗钱的标准操作流程。

链上关联线索：疑似与风投基金存在联系

ZachXBT在报告中还指出了一个关键发现：本次受害地址与一个疑似属于Nima Capital的地址存在明确的链上交互关联。虽然尚未能完全确认实体身份，但这种关联性为调查提供了重要方向。

业内人士分析，机构级地址频繁成为攻击目标，反映出当前DeFi安全防护仍存在系统性薄弱环节。特别是涉及账户抽象和跨链交互的场景，需要更严格的多重签名和监控机制。

此次事件再次提醒，随着EIP-7702等新标准的推广，项目方必须重新评估委托授权模型的风险边界。单纯依赖智能合约审计已不足以保证资产安全，实时监控和异常行为检测同样至关重要。