Circle/Tether 冻结了价值约 17 亿美元的稳定币，这占受影响资金的很大一部分。CZ 建议 safu 基金可以填补这个缺口。
最大的资产大约是：
• 16.15亿 USDT
• 6260万 RLUSD
• 29,934 wBETH
• 11,372 XAUt
• 619万 UNI
• 1.984亿 ENA
• 7.175万亿 PEPE
• 2780万 USD1
• 226万 LINK
• 127,853 AAVE
按浏览器价格计算，约25亿美元。
1. 攻击者在 UTC 时间 15:59 从中继器部署了一个委托合约，0x63e842b0...73e9c6fAe。
2. 大约四小时后，中继器提交了一个 EIP-7702 授权交易
该交易在 Binance 14 上安装了恶意 7702 委托代码。
3. 然后，中继器向 Binance 14 发出调用，执行委托代码，并转移 Binance 14 的 ETH 和代币余额。
4. 调用数据标记为 sweep(address, address[])。第二个参数是一个可识别的代币合约地址列表，加上零地址（eth）。
5. 同一中继器后来使用相同的委托从 Binance 热钱包 34 转移 7.8亿 USDC 到同一池中
• 中继器 0x7C... 在前两天通过三次 Tornado Cash 0.1 ETH 提款获得资金。
• 同一池在主要清扫后 24 秒从 Binance 16 收到 28,005.6 ETH。
• 该池随后将 195,460 ETH 转发到一个新的、未标记的 EOA
• 该 EOA 只有一笔交易，目前持有 195,460 ETH。
有点不清楚的是，为什么一开始需要中继器。如果他们有 Binance 钱包的私钥，他们本可以直接以原子捆绑方式发送资产，而完全不需要中继器。
因此，似乎很可能他们没有私钥，而是仅通过某种方式钓鱼获得了 7702 授权签名。
我觉得我们可以直接假设是 DPRK。
关于币安黑客事件的一个有趣细节：该耗尽交易提交了 50 个 EIP7702 授权，每个授权都带有顺序的 nonce。
只有一个是交易的正确、有效 nonce。
攻击者很可能在一段时间内收集了所有 50 个授权，当时并不知道执行时的正确 nonce 是什么，然后一次性提交了它们。以太坊只会接受有效的那个，无效的会被丢弃。 $BNB
最大的资产大约是：
• 16.15亿 USDT
• 6260万 RLUSD
• 29,934 wBETH
• 11,372 XAUt
• 619万 UNI
• 1.984亿 ENA
• 7.175万亿 PEPE
• 2780万 USD1
• 226万 LINK
• 127,853 AAVE
按浏览器价格计算，约25亿美元。
1. 攻击者在 UTC 时间 15:59 从中继器部署了一个委托合约，0x63e842b0...73e9c6fAe。
2. 大约四小时后，中继器提交了一个 EIP-7702 授权交易
该交易在 Binance 14 上安装了恶意 7702 委托代码。
3. 然后，中继器向 Binance 14 发出调用，执行委托代码，并转移 Binance 14 的 ETH 和代币余额。
4. 调用数据标记为 sweep(address, address[])。第二个参数是一个可识别的代币合约地址列表，加上零地址（eth）。
5. 同一中继器后来使用相同的委托从 Binance 热钱包 34 转移 7.8亿 USDC 到同一池中
• 中继器 0x7C... 在前两天通过三次 Tornado Cash 0.1 ETH 提款获得资金。
• 同一池在主要清扫后 24 秒从 Binance 16 收到 28,005.6 ETH。
• 该池随后将 195,460 ETH 转发到一个新的、未标记的 EOA
• 该 EOA 只有一笔交易，目前持有 195,460 ETH。
有点不清楚的是，为什么一开始需要中继器。如果他们有 Binance 钱包的私钥，他们本可以直接以原子捆绑方式发送资产，而完全不需要中继器。
因此，似乎很可能他们没有私钥，而是仅通过某种方式钓鱼获得了 7702 授权签名。
我觉得我们可以直接假设是 DPRK。
关于币安黑客事件的一个有趣细节：该耗尽交易提交了 50 个 EIP7702 授权，每个授权都带有顺序的 nonce。
只有一个是交易的正确、有效 nonce。
攻击者很可能在一段时间内收集了所有 50 个授权，当时并不知道执行时的正确 nonce 是什么，然后一次性提交了它们。以太坊只会接受有效的那个，无效的会被丢弃。 $BNB
