Panduan Keselamatan EIP-7702: 5 Kelalaian Mematikan dalam Mekanisme Baharu Berdasarkan Kehilangan USD6.3 Bilion di Binance

Pada 30 Oktober, Binance kehilangan USD6.3 bilion—gempa hebat yang mengguncang seluruh dunia. Siasatan susulan menunjukkan bahawa penyerang tidak menggunakan kaedah curi kunci peribadi secara tradisional, tetapi memanfaatkan kuasa delegasi EIP-7702, mekanisme baharu Ethereum yang baru diaktifkan tahun ini. Ini bukanlah “kelemahan baharu”, melainkan “titik buta reka bentuk” dalam mekanisme itu sendiri yang bertembung dengan tabiat keselamatan manusia. Pengguna biasa dan pembangun sama-sama berisiko terkena. Artikel ini menganalisis keseluruhan rantai serangan, menjelaskan secara ringkas dan mudah difahami apa itu EIP-7702, dan akhirnya memberikan dua senarai langkah praktikal—masing-masing lima perkara—untuk elakkan jebakan ini.

I. Apa Peranan EIP-7702 dalam Insiden Kehilangan Aset Binance?

Pertama-tama, mari kembali ke insiden itu sendiri. Pada awal pagi 30 Oktober, pemantau on-chain bernama “Shen Yu” memuat naik butiran yang menghairankan di X: 14 alamat dompet panas Binance, selepas peningkatan Ethereum Pectra, semuanya telah menandatangani suatu “transaksi aneh”—transaksi jenis-4. Dan semua dompet ini masih mempunyai kuasa delegasi yang sah kepada kontrak penyerang luar.

Rantai serangan penuh, berdasarkan rekonstruksi komuniti sehingga kini, lebih kurang seperti berikut:

1. Pintu masuk serangan: Komputer riba seorang pegawai pembangunan atau operasi dalaman Binance diserang melalui phishing atau malware;
2. Penanaman transaksi berbahaya: Penyerang mendapat akses ke saluran tandatangan dalaman, membolehkan mereka memasukkan transaksi jenis-4 ke dalam dompet panas;
3. Delegasi berkelompok: Dalam masa beberapa jam sahaja, 50 dompet panas secara berperingkat “menandatangani”, menyerahkan kuasa pelaksanaan kod mereka kepada kontrak yang dikawal oleh penyerang;
4. Pengambilalihan kuasa kawalan: Setelah delegasi berkuat kuasa, penyerang boleh memanggil dompet-dompet panas ini seolah-olah ia adalah kontrak mereka sendiri—sistem tandatangan hanya melihat “ringkasan transaksi” sepanjang 32 bait, tetapi apa yang benar-benar ditandatangani ialah surat delegasi yang setara dengan “menyerahkan kunci kereta kepada orang lain untuk memandunya”.

Berkat tindakan pantas pasukan Binance di rantai, transaksi pembatalan segera telah dilaksanakan—dan kini lebih kurang USD3 bilion aset yang dicuri berjaya dikunci semula. Ini bermakna delegasi EIP-7702 bukanlah tidak dapat dibatalkan, tetapi syarat utamanya ialah anda masih mampu menandatangani transaksi pembatalan. Untuk garis masa penuh insiden ini, sila rujuk laporan mendalam kami sebelum ini: USD6.3 Bilion Dicuri: Dompet Panas Binance Dirampas Melalui Delegasi EIP-7702.

Perlu ditekankan bahawa Binance bukan institusi pertama yang menjadi sasaran EIP-7702—sejak September lalu, sudah ada pelabur runcit kecil yang kehilangan aset akibat menandatangani transaksi jenis-4 dari DApp yang tidak dikenali. Namun, insiden Binance telah membawa isu keselamatan tahap mekanisme ini ke permukaan secara tiba-tiba.

II. Gambaran Pantas Mekanisme Utama EIP-7702 (Faham dalam 3 Minit)

Ethereum tradisional hanya mempunyai dua jenis akaun: EOA (akaun dimiliki luaran) dan akaun kontrak. EOA ibarat kad bank anda—anda gunakan kunci peribadi untuk tandatangan satu transaksi, satu kali penggunaan; manakala akaun kontrak ialah logik kod yang di-deploy di rantai. Soalan utama yang ingin diselesaikan EIP-7702 ialah: Bolehkah EOA memperoleh keupayaan akaun kontrak secara sementara?

Jawapannya ialah “delegasi”—bayangkan: anda meminjamkan kereta (EOA) kepada rakan (kontrak sasaran) untuk dipandu. Cara meminjam bukan dengan menukar nombor plat, tetapi dengan menandatangani surat delegasi di rantai, yang menyatakan dengan jelas “siapa yang akan menjaga kunci kereta untuk sementara waktu”.

Dari segi teknikal, EIP-7702 memperkenalkan dua perubahan utama:

• Transaksi jenis-4: Jenis transaksi baharu khas untuk “menandatangani delegasi”. Pihak yang menandatangani tidak perlu menghantar ETH kepada alamat sasaran—cukup muat naik surat delegasi ke rantai.
• Delegasi berkuat kuasa secara kekal sehingga dibatalkan secara eksplisit. Ini adalah fakta paling penting—dan juga paling sering diabaikan: tiada “tarikh luput automatik”, tiada “guna sekali lalu hilang”.

Kedengarannya bagus, kan? Secara teori, anda boleh mendelegasikan dompet anda secara sementara kepada kontrak yang membayar gas, atau memberikan kebenaran operasi automatik berhad masa kepada DApp. Tetapi reka bentuk “berkuat kuasa kekal” ini justru menjadi punca hampir semua kemalangan keselamatan.

III. Lima Titik Buta Mematikan (Yang Sering Menjerat Pengguna Biasa)

Lima titik buta berikut merupakan jebakan paling lazim bagi pengguna biasa—dan setiap satunya mempunyai kes nyata.

1. Delegasi tidak luput secara automatik—guna dan tak batalkan = serahkan kunci secara kekal kepada orang lain

Banyak DApp mengarahkan pengguna untuk “klik delegate, dan yuran transaksi akan dikurangkan 20% untuk selamanya”, lalu pengguna tandatangan dan terus lupa. Akibatnya, delegasi itu kekal aktif di rantai—DApp mungkin telah bertukar pasukan, atau malah menjual alamatnya, tetapi kunci dompet anda masih berada di tangan orang lain.

2. Antara muka dompet tidak memaparkan siapa yang telah anda delegasikan

Inilah salah satu keadaan paling memalukan dalam ekosistem hari ini. Sehingga Oktober 2026, kebanyakan dompet utama (Trust Wallet, Exodus, malah sebahagian antara muka dompet perkakasan) masih tidak mempunyai halaman “pengurusan delegasi”. Anda mungkin telah menandatangani 17 transaksi jenis-4, tetapi dalam dompet anda hanya kelihatan satu rentetan “ringkasan transaksi”—tanpa petunjuk langsung siapa yang kini memegang kunci anda.
Berita baiknya: etherscan.io akhirnya mengemas kini antara mukanya—kini apabila anda buka halaman alamat anda, di tab “Delegations”, anda boleh lihat semua rekod delegasi lampau.etherscan.io kini merupakan alat pemeriksaan sendiri yang paling boleh dipercayai.

3. Tandatangan = berkuat kuasa serta-merta, tanpa pengesahan kedua

Apabila anda klik “sahkan” di DApp, dompet anda muncul pop-up bertulis “yuran gas: 0.001 ETH”, lalu anda tandatangan—apa yang berlaku di rantai ialah: EOA anda menghantar surat delegasi kekal kepada kontrak penyerang. Tiada pop-up kedua, tiada pengesahan tambahan. Yang dilihat penandatangan hanyalah ringkasan transaksi 32 bait—tidak dapat dibezakan sama ada ini transaksi biasa atau jenis-4.

4. Delegasi boleh bersarang—pihak yang menandatangani asal tidak tahu langsung

A melantik B, B melantik C, C melantik D—secara teori, rantai pelantikan ini boleh diarapkan tanpa had. Tanda-tanda rantai pelantikan sedemikian muncul dalam insiden Binance. Jika dompet anda telah dikuasai oleh kontrak jahat, ia boleh melantik lebih banyak alamat lain tanpa persetujuan anda.

5. Pembatalan pelantikan sendiri juga memerlukan tandatangan

Inilah titik paling menyedihkan. Jika penyerang sudah memperoleh kuasa pelantikan anda, mereka boleh membekukan aset anda atau mengubah dompet anda ke mod kontrak jahat. Anda ingin membatalkannya? Pembatalan pelantikan juga memerlukan tandatangan. Manakala saluran tandatangan anda mungkin sudah dikuasai oleh penyerang melalui pelantikan berarap.

Empat. Senarai Tindakan Praktikal untuk Pengguna Biasa

Setelah banyak perkara dibincangkan, apakah tindakan paling penting yang perlu anda lakukan sekarang? Lakukan 5 langkah pemeriksaan ini secara berurutan:

✅ Langkah 1: Semak serta-merta rekod pelantikan dompet anda.
Buka etherscan.io, masukkan alamat dompet anda, dan tukar ke tab "Delegations". Jika anda melihat alamat yang tidak dikenali dalam senarai pelantikan, itu adalah bom waktu.

✅ Langkah 2: Batalkan segera jika terdapat pelantikan asing.
Alat pembatalan utama ialah OpenZeppelin Defender atau EIP-7702 Revoker yang diselenggarakan komuniti. Kos gas untuk pembatalan on-chain biasanya antara $1–$5, dan prosesnya mirip dengan pindahan biasa.
⚠️ Perhatian: Jika dompet anda sudah dikuasai oleh pelantikan jahat, pembatalan mungkin gagal. Dalam kes ini, cara paling selamat pada masa ini ialah menjana tandatangan untuk transaksi pembatalan secara luar talian menggunakan dompet perkakasan (Ledger atau Trezor), kemudian siarkan transaksi tersebut dari komputer lain yang bersih.

✅ Langkah 3: Sementara waktu, ubah tabiat penggunaan dompet anda.
Jika anda menggunakan Trust Wallet atau Exodus, elakkan menandatangani transaksi jenis-4 secara langsung. Kombinasi yang relatif lebih selamat ialah dompet perkakasan Ledger + plugin penyemak imbas Rabby—peranti tandatangan perkakasan tidak akan melaksanakan pelantikan berarap secara automatik, sekurang-kurangnya tidak akan menandatangani "secara senyap" untuk anda.

✅ Langkah 4: Jangan klik butang "Delegate" di DApp yang tidak dikenali.
Mana-mana DApp yang meminta anda menandatangani pelantikan dengan alasan seperti "diskaun yuran gas", "tiada yuran transaksi", atau "hasil automatik", hentikan seketika. Carilah nama DApp tersebut ditambah kata kunci "hack" atau "scam" di X atau Telegram, dan luangkan 3 minit untuk siasatan latar belakang—ini jauh lebih bernilai daripada menjimatkan beberapa dolar AS yuran gas.

✅ Langkah 5: Notis khas untuk pengguna pertukaran.
Jika anda kebanyakannya menggunakan pertukaran pusat seperti Binance atau OKX, mereka mengurus pelantikan dompet panas secara bersama. Anda tidak perlu melakukan tindakan tambahan pada tahap akaun peribadi, tetapi disyorkan agar menggunakan Aplikasi rasmi pertukaran tersebut, dan bukannya dompet pihak ketiga untuk menandatangani transaksi jenis-4 ke alamat deposit pertukaran.

Lima. Senarai Tindakan Praktikal untuk Pembangun

Sebagai pembangun DApp atau DeFi, tanggungjawab anda lebih besar. Berikut adalah lima prinsip yang kini dianggap sebagai "garis dasar keselamatan minimum" dalam industri:

1. Kuasa pelantikan mesti mempunyai cap waktu luput (expiry) yang munasabah.
Walaupun tidak semua dompet kini menyokong pengesahan expiry pada lapisan tandatangan, logik kontrak pelantikan yang anda pasang mesti memasukkan semakan ini secara keras (hardcoded). Pelantikan yang "luput secara automatik selepas 30 hari" dan pelantikan yang "berkuat kuasa selama-lamanya" mempunyai tahap keselamatan yang sama sekali berbeza.

2. UI hadapan mesti menunjukkan transaksi jenis-4 dalam tetingkap pop-up merah besar.
Amalan piawai ialah: selepas pengguna mengklik butang Delegate, UI hadapan mesti memaparkan kotak modul merah berasingan dengan ayat tebal besar yang menyatakan jelas: "⚠️ Anda akan menandatangani transaksi pelantikan EIP-7702—ini memberikan kuasa kepada alamat sasaran untuk melaksanakan kod pada dompet anda", dan memerlukan pengguna memasukkan secara manual frasa "Saya faham risikonya" sebelum proses boleh diteruskan.

3. Jangan pernah menerima alamat sasaran pelantikan yang dimasukkan pengguna.
Alamat kontrak sasaran pelantikan mesti dikodkan secara keras dalam kod hadapan anda dan disahkan dengan alamat yang dipasang di rantai. Membenarkan pengguna memasukkan alamat sasaran sama seperti menyerahkan "nombor rumah" kuasa pelantikan.

4. Naik taraf ke varian "delegateWithPermissions" dalam EIP-7715.
EIP-7715 menambahkan had kebenaran (permissions) ke atas EIP-7702, membolehkan anda menetapkan fungsi mana yang boleh dipanggil oleh sasaran pelantikan dan fungsi mana yang tidak dibenarkan. Secara teori, ini patut menjadi piawaian, walaupun sokongan masih terhad pada masa ini. Lakukan migrasi secepat mungkin.

5. Jalankan skrip audit EIP-7702 OpenZeppelin secara paksa dalam persekitaran ujian.
OpenZeppelin telah memasukkan audit keselamatan EIP-7702 ke dalam senarai semakan Defender mereka. Setiap kali kontrak dipasang, jalankan skrip automatik untuk mengimbas risiko berkaitan pelantikan—kosnya hampir sifar.

Enam. Penutup

EIP-7702 bukan protokol yang "mengandungi pepijat"; matlamat reka bentuk utamanya—memberikan keupayaan kontrak kepada EOA biasa—adalah betul. Masalahnya terletak pada asumsi asas "berkuat kuasa selama-lamanya", yang bertembung dengan bahagian paling lemah dalam ekosistem Ethereum: tabiat keselamatan manusia.

Insiden Binance mungkin merupakan kelas keselamatan paling mahal sejak EIP-7702 diperkenalkan. Namun dari sudut lain, insiden ini telah mengejutkan seluruh ekosistem dari mimpi "pelantikan tanpa sedar". Kini etherscan mempunyai tab pelantikan, pasukan dompet mula menambah tetingkap amaran keselamatan, dan OpenZeppelin telah mengemas kini skrip audit mereka—setiap insiden membantu mekanisme ini menjadi lebih selamat.

Bagi anda secara peribadi, hanya dua tindakan yang benar-benar bernilai sekarang: pergi ke etherscan dan semak sama ada anda mempunyai pelantikan asing, dan beritahu rakan-rakan anda yang menggunakan DeFi tentang perkara ini. Itu sahaja.