sansec分析：从服务权限到资产签名，再到链上控制，一次入侵为何可能演变为持续损失？
文章作者、来源：Sansec(Hong Kong)
2026年10月29日20:05（UTC，香港时间10月30日4:05）前后，币安热钱包发生安全事件，币安随后披露涉及约63亿美元资产。初步调查线索包括DevOps终端可能受到入侵、服务容器被访问及未经授权的提现；后续又发现其他受影响点。币安称尚未发现私钥泄露证据，完整根因仍待正式复盘。
沿着这条线索，我们需要逐层发掘：
- 如果DevOps终端是入口，攻击者如何进一步进入服务容器？
- 即使容器失陷，攻击者又如何获得业务层的资产签名能力？
- 签名之前，系统如何核验真实业务授权，识别改变账户执行逻辑的请求？
- 如果这类授权已在链上生效，切断内部访问是否足以阻止后续资金流失？
依据现有公开线索，Sansec分析了与资产安全直接相关的三个控制环节。
核心风险
1. 从服务容器访问到资产签名的权限扩散
DevOps终端可能是入侵入口，但攻击者随后获得的权限范围，是影响资产损失规模的关键因素之一。TRM Labs 观察到多链有效签名转账，并将热钱包签名基础设施可能被滥用列为主要调查方向。因此，复盘应追问：DevOps身份如何校验，权限如何授予、限制和回收？单个身份或容器能调用哪些密钥、执行哪些操作、能否修改签名规则？资金操作是否仍需独立业务授权？这些问题指向同一条边界：局部系统失陷后，攻击者能否进一步取得资产操作权限。币安称尚未发现私钥泄露证据，但链上有效签名不能排除私钥泄露，也不能证明操作经过真实审批。
2. 一次授权可能交出后续账户控制权
据 Blockaid 披露，此次事件的部分以太坊链上活动涉及 EIP-7702 恶意委托。这类授权改变的是账户执行逻辑，允许账户使用指定代码执行操作；即使没有立即转走资金，也可能打开持续转移资产的通道。
当恶意委托获得有效签名并在链上生效后，攻击者就可能利用被委托的代码转移资产，后续操作也可能脱离原有的审批流程。
因此，复盘应查明：系统是否区分普通转账与账户控制权变更？签名前是否识别授权的实际含义及其对后续资产控制的影响？高风险授权为何能够通过？具体失效环节仍需正式调查确认。
3. 系统访问被撤销后链上权限仍可能有效
研究方观察到，恶意委托生效后，后续入账资金继续遭到清扫。这意味着，风险可能从签名服务中的一次异常调用，转变为持续存在的链上权限。更换登录凭据、隔离容器或暂停签名服务，并不自动撤销已生效的委托。因此，复盘还应追问：应急处置是否同时覆盖内部访问权限与链上授权？能否及时发现异常委托，并确认撤销措施已在链上生效？风险地址是否仍在接收归集、补款或用户充值？这些问题指向处置范围的完整性：内部系统恢复受控后，链上的资产转移通道是否也已关闭，否则新增资金仍可能持续流失。
解决方案
1. 服务容器与资产、交易业务设置独立授权域
对应第一个风险，应在服务请求与资产签名之间设置独立授权，避免单个身份或容器独立取得资产操作权限。
多人、多级、多种签名方式与多业务域授权，可将这道防线细化：
- 多人授权分散批准权，业务审批人数与密码学签名门限分别配置；
- 多级审批按风险设置逐级检查和差异化路径；
- 多种签名方式按业务需求选择单签、MPC阈值签名或链上多签；
- 多业务域分别限定账户、密钥与操作范围，防止权限跨域扩散。
需要注意的是，MPC分片管理、审批流程及访问权限等变更操作，也须独立授权。各层风控规则应由独立于业务容器的组件执行，覆盖所有调用入口；规则修改与签名调用须分权，避免攻击者通过修改规则或其他接口绕过校验。
2. 在签名前识别权限变化，阻断未经授权的控制权转移
针对本案的恶意委托线索，签名系统应识别操作是否改变账户控制方式，不能只检查金额和收款地址。普通转账、代币授权、账户委托和合约升级应分别设置规则。
日常提现不需要账户委托时，应默认禁止；确有需求时，核验委托目标、代码及适用链，并进入高风险审批。校验必须覆盖所有签名入口，防止通用接口绕过。委托授权可由其他账户提交上链，仅限制本机构广播的交易类型并不足够。
个人授权硬件可进一步独立确认高风险操作：在可信界面呈现关键权限变化，将确认与实际待签内容绑定，由独立于业务容器的签名侧验证。没有本次操作的有效确认就拒绝签名，且不允许其他接口绕过，才能在容器失陷后继续约束签名能力。
3. 在授权生效后持续监测，及时撤销权限并限制损失
对应第三个风险，暂停签名或更换凭据并不自动清除链上委托。应持续监测账户委托及权限变化，并与审批记录核对。发现异常后，同时处理内部入侵与链上风险：隔离受影响系统、撤销凭据，并根据链上状态撤销或替换恶意委托、安全迁移剩余资产；停止向风险地址归集和自动补款，更新充值地址，并核验链上处置结果，减少新增资金继续流失。
为限制损失，还应按用途隔离冷热钱包，热钱包仅保留必要周转资金，并同时设置余额上限与自动补款累计限额，避免低余额钱包因持续补款扩大损失。内部审批到期不代表链上委托失效，是否解除风险应以链上状态为准。签名前阻止异常授权、授权后监测撤销与资金隔离，需要相互衔接。