EIP-7702 là gì? Tại sao nó trở thành một phần quan trọng trong vụ trộm của Binance

Tác giả: Nhóm nghiên cứu Blockaid

Biên dịch: Shenchao TechFlow

Theo dữ liệu thống kê công khai trên chuỗi, vào ngày 29 tháng 10 năm 2026, tin tặc đã đánh cắp ít nhất 6,3 tỷ đô la tài sản từ nhiều ví nóng của Binance trên Ethereum, Arbitrum, Avalanche, Optimism, Bitcoin và Tron, lập kỷ lục về số tiền bị đánh cắp cao nhất trong lịch sử tiền điện tử.

Mục tiêu chính của cuộc tấn công này nhắm thẳng vào Binance 14 (địa chỉ Ethereum: 0x28C6c06298d514Db089934071355E5743bf21d60). Địa chỉ này là một trong những ví nóng Ethereum lớn nhất và có sự tương tác trên chuỗi thường xuyên nhất của Binance.

Vào lúc 20:24 theo Giờ Phối hợp Quốc tế (UTC), tin tặc đã rút sạch khoảng 2,5 tỷ đô la tài sản trong một giao dịch duy nhất từ Binance 14. Chỉ vài phút trước khi vụ cướp tài sản này xảy ra, tin tặc đã sử dụng bản sao khóa riêng bị rò rỉ để ký một ủy quyền EIP-7702, ủy thác ví nóng này cho hợp đồng độc hại mà tin tặc đã triển khai trước đó.

Trong vòng 12 phút sau khi hoàn thành vụ cướp tài sản ban đầu, 10 ví nóng khác của Binance trên bốn chuỗi công khai cũng đã lần lượt chuyển tiền đến cùng một địa chỉ thu gom. Sau đó, tin tặc tiếp tục cướp tài sản từ tài khoản hợp đồng thông minh của Binance thông qua Binance 14, vẫn đang trong trạng thái ủy thác.

Tổng quan về sự kiện tấn công

Hệ thống phát hiện an ninh của Blockaid đã kích hoạt cảnh báo trong chưa đầy hai phút sau khi tài sản bị cướp, thời gian phản hồi này nhanh hơn bất kỳ thông tin nào được công bố trên phương tiện truyền thông hoặc mạng xã hội. Sau đó, động cơ phân tích tự động đã xác nhận sự rò rỉ khóa riêng và cơ chế tấn công ủy thác EIP-7702 trong vòng 11 phút.

Sau đó, nhà phát hành stablecoin Tether và Circle đã khẩn cấp đóng băng khoảng 1,8 tỷ đô la tài sản tại địa chỉ thu tiền chính của tin tặc. Giám đốc điều hành Tether, Paolo Ardoino, sau đó cho biết tổng số USDT mà Tether đã đóng băng đã vượt quá 1,5 tỷ đô la.

Tuy nhiên, các tài sản gốc như ETH, AVAX, OP và ARB mà tin tặc đánh cắp không thể bị đóng băng bởi các tổ chức trung gian, vẫn nằm trong tay của tin tặc.

Báo cáo này bao quát toàn diện các công việc chuẩn bị của tin tặc, ủy thác EIP-7702 và cướp tài sản, ký hiệu khóa riêng đồng thời trên bốn chuỗi công khai, lộ trình rửa tiền và đóng băng tài sản, cũng như phát hiện và phản ứng khẩn cấp của Blockaid.

Báo cáo này được viết dành riêng cho các sàn giao dịch, tổ chức lưu ký và các tổ chức tài chính nắm giữ và quản lý khóa riêng ký hiệu lớn. Nó nhắm vào hai tuyến phòng thủ cốt lõi quyết định sự sống còn của các cuộc tấn công như vậy: thực thi chính sách an ninh trước khi tạo chữ ký và giám sát liên tục trên chuỗi khi tài sản đang trong trạng thái lưu động.

Bối cảnh: Ví nóng của sàn giao dịch, khóa riêng ký hiệu và cơ chế ủy thác tài khoản EIP-7702

Ví nóng của sàn giao dịch là tài khoản trực tuyến mà sàn giao dịch sử dụng để thanh toán cho khách hàng và chuyển tiền giữa các ví khác nhau của chính mình. Những tài khoản này chứa đựng một lượng lớn vốn lưu động hàng ngày và liên tục ký các giao dịch, thường phải thực hiện hàng nghìn giao dịch chuyển tiền mỗi ngày.

Khóa riêng đứng sau những chữ ký này là rào cản kiểm soát duy nhất giữa số dư tài khoản khổng lồ và bất kỳ tin tặc nào nắm giữ bản sao khóa riêng. Trên Ethereum và các chuỗi công khai tương thích EVM khác, những ví này trong lịch sử đều là tài khoản sở hữu bên ngoài (EOA).

EOA là một tài khoản địa chỉ thuần túy không có bất kỳ mã hợp đồng nào, chỉ cần xác minh chữ ký hợp lệ trên chuỗi, tiền sẽ được chuyển giao vô điều kiện, chuỗi khối cơ sở sẽ không thực hiện bất kỳ kiểm tra logic kinh doanh bổ sung nào.

Việc giới thiệu giao thức EIP-7702 cho phép tài khoản EOA thông thường chạy mã hợp đồng thông minh. Tài khoản này chỉ cần ký một chứng nhận ủy quyền cho địa chỉ hợp đồng chỉ định, một khi ủy quyền này được đóng gói vào khối qua giao dịch loại Type-4, bất kỳ cuộc gọi nào đối với tài khoản này sau đó sẽ thực hiện logic của hợp đồng thông minh tương ứng và có quyền kiểm soát hoàn toàn tài sản của tài khoản.

Ủy quyền này được gắn chặt với bộ đếm giao dịch của tài khoản (Nonce). Trừ khi tài khoản đó ký và phát sóng một ủy quyền mới để thay thế hoặc xóa nó, mối quan hệ ủy thác này sẽ tiếp tục có hiệu lực lâu dài.

Đối với các nhà đầu tư cá nhân thông thường, tính năng này có thể thực hiện việc đóng gói giao dịch hàng loạt và các chức năng tài trợ Gas tiện lợi. Tuy nhiên, đối với ví nóng của sàn giao dịch, chỉ cần một lần rò rỉ chữ ký trên Nonce đúng, sẽ trao quyền kiểm soát mã lâu dài của tài khoản cho tin tặc, thậm chí bao gồm cả mỗi khoản tiền mới nạp vào địa chỉ đó sau này.

Blockaid đã xác minh và xác nhận bốn sự kiện an ninh EIP-7702 trong nửa đầu năm 2026, tổng thiệt hại khoảng 1,08 triệu đô la, mỗi sự kiện đều lạm dụng các đặc tính khác nhau của cơ chế ủy thác. Blockaid đã từng cảnh báo rõ ràng trong báo cáo An ninh trên chuỗi nửa đầu năm 2026 rằng trường hợp thiệt hại đầu tiên đạt bảy con số (mức triệu đô la) sẽ xuất hiện trước cuối năm nay.

Vụ tai nạn an ninh mà Binance gặp phải lần này không chỉ xác nhận nhận định này mà quy mô của nó còn cao hơn dự đoán ban đầu tới ba bậc.

So với đó, con đường tấn công chuyển tiền trực tiếp truyền thống hơn. Tin tặc nắm giữ khóa riêng bị đánh cắp ký giao dịch chuyển tiền thông thường, trong một ví nóng xử lý hàng nghìn giao dịch rút tiền mỗi ngày, những giao dịch như vậy trông có vẻ rất bình thường, chỉ khi tổng hợp các mục tiêu nhận tiền, số tiền đơn lẻ và thời gian chuyển tiền mới có thể phát hiện ra sự bất thường.

Cả hai con đường tấn công này đều bắt nguồn từ việc đánh cắp khóa riêng. Chính vì vậy, việc phát hiện phòng thủ đối với những rủi ro như vậy phải dựa vào nhận thức động về mô hình hành vi, và không thể chỉ dựa vào các chữ ký độc hại hoặc đặc điểm lỗ hổng hợp đồng đã biết.

Diễn biến tấn công: Tin tặc đã từng bước thực hiện như thế nào

Dưới đây là các ghi chép thời gian đều sử dụng Giờ Phối hợp Quốc tế (UTC) vào ngày 29 tháng 10 năm 2026. Tại thời điểm báo cáo được phát hành, các hoạt động trên chuỗi liên quan đến sự kiện này vẫn đang tiếp tục diễn ra.

Giai đoạn chuẩn bị tấn công: Trộn tiền vào và triển khai hợp đồng cướp

Địa chỉ của tin tặc (0x7C8601d4645b93cea45F71e118A729332e6B5CA0) đã bắt đầu từ ngày 28 tháng 10, thông qua ba giao dịch rút tiền từ Tornado Cash để có được vốn thử nghiệm ban đầu.

Vào ngày 29 tháng 10, địa chỉ này đã hoàn thành toàn bộ quy trình "ủy quyền ủy thác và cướp" trên ba ví thử nghiệm mà nó kiểm soát, mỗi lần chuyển từ 2 đến 6 đô la tiền thử nghiệm.

Vào lúc 15:59 cùng ngày, tin tặc chính thức triển khai hợp đồng cướp sẽ được sử dụng để cướp Binance (địa chỉ: 0x63e842B054Bd624a465454D533C33F573e9c6fAe, giao dịch triển khai tương ứng: 0x97408e...).

Hợp đồng này hoàn toàn chưa được xác minh mã nguồn mở, đã thiết lập địa chỉ của tin tặc là bên gọi ủy quyền duy nhất và bao gồm một hàm cướp (Sweep), có thể chuyển tất cả các token trong danh sách và ETH gốc trong tài khoản đến địa chỉ nhận chỉ định một lần. Ngoài ra, hợp đồng còn tích hợp một hàm chuyển tiếp, cho phép tài khoản được ủy thác gọi các hợp đồng bên ngoài khác.

Va chạm Nonce: 50 chữ ký ủy quyền, một lần trúng đích chính xác

Vào lúc 20:20:59, tin tặc đã gửi một giao dịch loại Type-4 đến Binance 14 (địa chỉ: 0x28C6c06298d514Db089934071355E5743bf21d60) (giao dịch hash: 0xad9926...).

Giao dịch này mang theo 50 chứng nhận ủy quyền EIP-7702 đã được ký trước bởi khóa riêng của Binance 14, tương ứng với các giá trị Nonce liên tiếp từ 18,914,775 đến 18,914,824, mỗi chứng nhận ủy quyền đều ủy thác ví cho hợp đồng cướp mà tin tặc đã triển khai.

Do Binance 14 lúc đó vẫn đang xử lý các yêu cầu rút tiền của người dùng trên toàn mạng, tin tặc không thể dự đoán chính xác Nonce thời gian thực tại thời điểm gọi, vì vậy đã áp dụng chiến lược phun chữ ký trên khoảng Nonce.

Cuối cùng, trong số 50 chữ ký ủy quyền này, có 49 chữ ký không hợp lệ do không khớp Nonce, nhưng một chữ ký đã trúng đích chính xác. Trong khi các giao dịch rút tiền thông thường của Binance vẫn đang liên tục phát ra từ ví đó, ủy thác độc hại của tin tặc đã âm thầm tiếp quản địa chỉ này.

Một giao dịch cuỗm đi 2,5 tỷ đô la: Một giao dịch làm sạch tài sản cốt lõi của ví nóng

Sau 3 phút 24 giây kể từ khi ủy thác có hiệu lực, vào lúc 20:24:23, tin tặc đã kích hoạt cuộc gọi cướp đối với Binance 14 (giao dịch hash: 0x53bd38...).

Giao dịch này đã chuyển 167,464 ETH, 1,615 triệu USDT và khoảng 60 loại token khác đến một địa chỉ thu gom của tin tặc chưa có bất kỳ lịch sử nào trước đó (0x5227f603C1eE34CE3C06eFe6477003BDfCCB2f8c).

Sau khi vụ cướp khổng lồ này hoàn thành, ví Binance 14 từng có tài sản hàng tỷ đô la chỉ còn lại 1 ETH biểu tượng. Theo giá thị trường tại thời điểm đó, tổng giá trị của danh mục tài sản này lên tới khoảng 2,5 tỷ đô la.

Băng qua bốn chuỗi công khai: Hàng chục khóa riêng của ví nóng bị đánh cắp đồng thời

Chỉ 24 giây sau khi vụ cướp lớn đầu tiên hoàn thành, ví Binance 16 (địa chỉ: 0xDFd529...) đã thực hiện một giao dịch chuyển tiền đến cùng một địa chỉ thu gom (giao dịch hash: 0x51f263...), tổng cộng đã cuỗm đi 28,005.6 ETH, 55.7 triệu USDT, 25.9 triệu RLUSD, 84.5 WBTC và 5 loại token khác.

Trong 12 phút tiếp theo, ví Binance 55 của Binance trên Optimism đã chuyển ra 44.2 triệu OP; bốn ví nóng trên Arbitrum đã chuyển ra 74.6 triệu ARB và 8,426 ETH; bốn ví nóng khác trên Avalanche đã chuyển ra 1.81 triệu AVAX và 8.41 triệu USDT.

Đáng chú ý, những ví bị đánh cắp sau này đều không được trang bị bất kỳ mã hợp đồng thông minh nào. Mỗi giao dịch chuyển tiền đều được ký bởi khóa riêng thực sự của từng ví và khéo léo được trộn lẫn trong dòng giao dịch rút tiền hàng ngày thông thường của người dùng.

Kiểm soát tài khoản thông minh: Liên tục rút cạn tài sản nạp vào sau

Vào lúc 20:41:23, tin tặc đã sử dụng Binance 14 vẫn đang trong trạng thái ủy thác để gọi tài khoản thông minh Circle mà nó sở hữu, ví nóng Binance 34 (địa chỉ: 0xEe7aE8...).

Tin tặc đã rút 780 triệu USDC từ tài khoản thông minh này đến địa chỉ thu gom của tin tặc (giao dịch hash: 0xdc102d...), sau đó lại tiếp tục rút thêm 43 triệu USDC.

Vào lúc 21:44, tin tặc lại thực hiện một cuộc cướp thứ hai đối với Binance 14 (giao dịch hash: 0x55ba4d...), cuỗm sạch 200 triệu USDT và 13 loại token khác mà người dùng bên ngoài mới nạp vào địa chỉ này sau lần cướp đầu tiên.

Đến 22:00 ngày hôm đó, lệnh ủy thác độc hại vẫn kiên quyết tồn tại trên chuỗi, bất kỳ tài sản mới nào không bị phát hiện được chuyển vào Binance 14 đều không cần hacker cung cấp chữ ký ví một lần nữa, mà có thể trực tiếp bị hacker thu dọn mang đi.

Suy ngẫm về cơ chế: EIP-7702 làm thế nào để biến việc rò rỉ khóa riêng thành kiểm soát lâu dài

Trước khi giao thức EIP-7702 của Ethereum ra đời, việc đánh cắp khóa riêng của ví nóng thường biến thành một cuộc đua chuyển nhượng tài sản trong tích tắc. Hacker phải nhanh chóng ký từng giao dịch để lấy tiền, trong khi đội ngũ vận hành của sàn giao dịch có cơ hội chuyển số tiền còn lại đi bằng cách tăng phí Gas sau khi phát hiện ra; một khi sàn giao dịch chuyển ví nóng sang địa chỉ mới, khóa riêng cũ bị đánh cắp trong tay hacker sẽ hoàn toàn trở thành phế liệu.

Tuy nhiên, khi khóa riêng bị đánh cắp có khả năng ký ủy thác trừu tượng tài khoản, cục diện tấn công và phòng thủ đã xảy ra sự đảo ngược cơ bản. Chỉ với một chứng nhận ủy quyền có hiệu lực dưới một Nonce cụ thể, Binance 14 đã hoàn toàn được cải tạo thành chương trình máy rút tiền thuộc sở hữu riêng của kẻ tấn công.

Sau đợt thu dọn đầu tiên vào lúc 20:24 UTC lấy đi tài sản tồn kho, mối quan hệ ủy thác vẫn tiếp tục được gắn trên chuỗi. Đến 21:44, hacker lại dễ dàng lấy đi hơn 200 triệu đô la tài sản mới nạp mà không cần Binance 14 cung cấp bất kỳ chữ ký mới nào.

Lúc này, ngay cả khi sàn giao dịch đổi khóa bí mật nội bộ thành khóa riêng mới, cũng không thể xóa bỏ ủy thác trên chuỗi này, vì mối quan hệ ủy thác gắn liền với địa chỉ cơ sở. Chỉ có thể sử dụng lại khóa riêng bị rò rỉ để ký một chứng nhận mới, rõ ràng đặt lại mục tiêu ủy thác về địa chỉ không, mới có thể hoàn toàn giải phóng hacker khỏi kiểm soát mã của tài khoản đó. Trước khi làm điều này, bất kỳ tài sản nào chảy vào Binance 14 đều là của hacker có thể lấy bất cứ lúc nào.

Đối với đội ngũ quản lý tài khoản EOA lớn, sự kiện này đã gióng lên hồi chuông cảnh báo an ninh nghiêm trọng, chiến lược ứng phó cụ thể rất rõ ràng: phải coi ủy quyền EIP-7702 như một hoạt động đặc quyền, đặt dưới sự kiểm soát chiến lược nghiêm ngặt hoàn toàn giống như việc rút tiền từ ví lạnh.

Thực hiện giám sát trạng thái mã của tất cả địa chỉ ví nóng 24/7, và chuẩn bị trước các giao dịch hủy đã ký; trước khi trạng thái ủy thác chưa được xác nhận an toàn, tuyệt đối tránh để bất kỳ quỹ nào tồn đọng tại địa chỉ đó; sau khi xảy ra sự cố rò rỉ khóa riêng, trước khi đổi khóa và bổ sung ví, phải hoàn toàn xóa bỏ mối quan hệ ủy thác trên chuỗi.

Đồng thời, khi khởi xướng bất kỳ giao dịch ủy thác nào, phải truyền đạt đầy đủ danh sách ủy quyền đến tầng kiểm tra giao dịch. Bởi vì nếu tách rời danh sách đó, một giao dịch ủy thác nguy hiểm sẽ trông giống như một cuộc gọi trống vô hại đến địa chỉ đáng tin cậy.

Tổng kết sự kiện và kết luận cuối cùng

Rò rỉ khóa riêng vẫn là nguồn gốc gây thiệt hại tài chính lớn nhất mà thế giới chuỗi công khai đang phải đối mặt. Nếu dữ liệu thống kê công khai cuối cùng được xác thực, sự kiện này sẽ trở thành vụ trộm lớn nhất trong lịch sử tiền điện tử, quy mô liên quan lớn gấp ba lần thiệt hại mà Bybit gặp phải vào tháng 2 năm 2025 (khoảng 1,5 tỷ đô la).

11 khóa riêng của ví nóng thuộc Binance đã nhanh chóng thực hiện chuyển tiền đến một địa chỉ hacker vừa mới được tạo ra vài phút, trong đó một ví quan trọng đã ký một chứng nhận ủy quyền EIP-7702, khiến nó trở thành công cụ cướp bóc lâu dài của hacker.

Mặc dù nhà phát hành stablecoin tuân thủ đã khẩn cấp đóng băng khoảng 2,4 tỷ đô la tài sản trong vòng hai giờ sau sự cố, nhưng hacker vẫn thành công cuỗm đi một lượng lớn Ethereum và các tài sản gốc khác.

Từ góc độ blockchain cơ sở, một chữ ký hợp pháp được phát hành bởi khóa riêng bị đánh cắp không khác gì một chữ ký hợp pháp được ủy quyền bình thường. Trong loại tấn công khóa riêng này, ranh giới thực sự phụ thuộc vào sự kiểm soát chiến lược vào thời điểm tạo ra chữ ký, cũng như khả năng ngăn chặn chính xác nó trong những phút vàng vừa mới bắt đầu dòng tiền thông qua giám sát chuỗi nhạy bén.