币安被盗事件发生后，多家区块链安全机构和链上分析师第一时间展开溯源。目前，币安尚未公布攻击的具体方式，但从各方披露的链上细节来看，这是一次准备充分、执行迅速的有组织攻击。
攻击者提前演练
链上数据显示，攻击者在正式动手前一天就部署了清扫合约，并在自己的钱包上进行了数小时的盗币演练。慢雾创始人余弦表示，从链上看黑客的操作较为粗糙，但演练准备做得很足。
此次攻击中，攻击者在一笔交易里打包了 50 个 EIP-7702 授权，目标是币安 14 号热钱包。Blockaid 分析认为，攻击者并不知道该钱包的实时 nonce，于是采取批量覆盖的方式，最终有 1 个授权与当时的 nonce 匹配并生效，钱包随即被委托给攻击者控制的清扫合约。
余弦强调，EIP-7702 机制本身没有问题，攻击者选择它只是为了方便批量清扫热钱包上的代币，即使没有这一机制，攻击者也能用其他方式完成攻击。
入侵路径存在分歧
对于攻击者如何拿到签名权限，安全机构给出了不同判断。
Blockaid CEO Ido Ben-Natan 倾向于认为，攻击者入侵的是交易签名基础设施，让系统为恶意交易完成授权，私钥本身并未泄露。Ido Ben-Natan 还表示，此次事件与 Bybit 被盗案非常相似，手法接近朝鲜关联黑客组织的作案特征。
慢雾首席信息安全官 23pds 则更倾向于私钥泄露的推测。23pds 认为，攻击者能够绕过币安的风控系统，大概率使用了定制化的提币工具，建议安全部门围绕私钥泄露链路和异常提币工具展开深入排查。
攻击者也留下了破绽
协议工程师 Justin Kalland 发现，攻击者的一个钱包在 Gas 充足的情况下仍然使用了 MetaMask 的 Gas 代付功能。由于这类交易需要经过 MetaMask 的服务器，MetaMask 一侧可能留有包括 IP 地址在内的链下记录，为后续追查提供了线索。
风险尚未完全解除
Cobo 联合创始人神鱼提醒，事发两小时后，币安 14 号热钱包仍未撤销 EIP-7702 委托，一笔约 2961 枚 ETH 的入账交易因 Gas 过低处于待确认状态，一旦上链，资金存在被再次转走的风险。
从目前的分析来看，无论最终结论是私钥泄露还是签名系统被攻破，这起事件都再次说明，交易所热钱包的安全短板往往不在密码学本身，而在访问控制、签名流程和运维管理这些环节。