Web3 老尘
Web3 老尘
2017年入圈，经历了各种起起伏伏活到了现在，不认命，但认输
37Seuratut
89seuraajat
Syöte
Suoratoisto
Syöte
币安这次安全事件有个特别值得研究的技术细节。
币安官方表示，目前没有发现钱包私钥泄露的证据。
但 TRM Labs 的链上调查发现，攻击者在以太坊上使用了 EIP-7702 授权机制。
简单理解，EIP-7702 可以让普通钱包授权执行特定智能合约代码。
攻击者利用相关授权，让一个币安热钱包执行由攻击者控制的转账逻辑。
TRM 还发现，攻击者提前准备了 50 个签名授权，并在其他九条链上实施了资金转移。
这说明一个很重要的问题：
私钥本身没有被直接提取出来，不代表交易签名系统就一定安全。
如果攻击者能够诱导或操纵系统生成有效授权，仍然可能造成严重损失。
不过，现在还不能断言 EIP-7702 本身存在漏洞。
它只是这次攻击在以太坊上的一种执行机制。
真正的根本原因，还要等待币安完整的技术复盘。
我觉得这次事件值得所有钱包和交易所重新思考：
安全不只是把私钥保存好，还包括限制签名系统究竟能够授权什么操作。
来源：TRM Labs 链上调查 · EIP-7702 官方规范
今天币安发生的安全事件，可能是加密行业历史上规模最大的一次盗窃。
币安官方初步披露，受影响资产约 63 亿美元，其中约 30 亿美元已经在链上被冻结。
但我觉得比金额更值得关注的是初步入侵路径。
币安称，攻击者可能先入侵了一名 DevOps 工程师的笔记本电脑，随后进入内部服务容器，提交未经授权的提现交易。
目前没有发现钱包私钥泄露的证据，完整调查还没结束。
这意味着，即使私钥本身没有泄露，内部系统的操作权限和交易授权流程，也可能成为极其危险的薄弱环节。
还有一个值得研究的问题：为什么已经转出去的加密资产，能够有近一半被迅速冻结？
因为 USDT、USDC 等部分资产的发行方拥有冻结相关代币的能力。
这种能力可以在重大盗窃中阻止资金进一步转移，但它也说明，某些链上资产并不是完全不受发行方控制的。
币安承诺通过 SAFU 基金和公司资金覆盖损失，但最终追回多少、实际净损失多少，还需要后续验证。
代币化股票的名字看起来和普通美股差不多，但你实际拥有的东西可能很不一样。
我建议先用 找到具体资产，看看发行平台、代币化类型、底层资产和合约地址。
然后去发行商官网查产品说明，重点找几个词：
Ownership：你是否拥有股票权益？
Voting Rights：有没有投票权？
Redemption：能否赎回，向谁赎回，有什么限制？
Custody：底层股票由谁托管？
最后看发行方破产时，持有人究竟有什么权利。
比如 xStocks 官方说有 1:1 股票支持，但不提供股东投票权。Robinhood 欧洲的 Classic Stock Tokens 则明确属于衍生品合约。
两个产品都有股票价格敞口，但法律结构不同。
美国 SEC 在 2026 年 1 月的说明中，也专门区分了托管型与合成型代币化证券。
工具：
官方参考：
代币化股票这个赛道，有个挺容易忽略的问题：
你买了某家公司的股票代币，可能根本不是这家公司的股东。
Robinhood 欧洲的 Classic Stock Tokens，本质上是跟踪股票价格的衍生品合约。官方明确说明，持有人不拥有标的股票，也没有相应的投票权。
xStocks 又是另一种模式。
它声称每枚代币都有 1:1 的真实股票支持，由托管机构持有。但用户拿到的是跟踪凭证，同样不享有标的股票投票权。
更有意思的是，Ondo 2026 年 7 月推出的美国托管型代币化证券，又采用了不同结构。
底层股票由受监管机构托管，代币代表相应的证券权益，Ondo 宣称持有人可以通过 Broadridge 参与代理投票。
同样叫 Tokenized Stocks，背后的法律关系可能完全不同。
一种是价格敞口，一种有股票作支持，另一种试图把传统证券权益直接带到链上。
所以我现在觉得，研究 RWA 不能只看资产规模和交易量。
更重要的问题是：代币对应什么法律权利？底层资产属于谁？发行方倒闭后，持有人又能主张什么？
这可能比所谓的 24 小时交易更值得关注。
这是对 2026 年已发布产品文件的研究，不是今天发生的新事件。
