以太坊修復Bybit式黑客攻擊的方案仍需一年時間，且無法阻止2026年大部分黑客攻擊

以太坊基金會已確定了一種協議級防禦措施，本可發現價值15億美元的Bybit盜竊案和5000萬美元的Aave交換災難。 

然而，基金會表示該解決方案將在2027年之前不會推出。它還補充說，即使該方案已經可用，也無法阻止導致2026年大部分損失的盜鑰和社會工程攻擊。

鏈在交易運行後強制執行的一條規則

在 一篇 於10月5星期一發布，基金會的 萬億美元安全倡議 討論了“原生交易斷言如何在當前防禦失效時保護用戶，以及其背後的設計選擇。”

The 萬億美元安全倡議 於5月成立，是一項旨在提升以太坊安全的生態系統舉措。

現有慣例是簽名用於授權請求，但結果取決於請求在執行時遇到的代碼和狀態。

這意味着在以太坊上，系統會執行已授權的操作，而不會檢查結果是否符合預期。

這正是基金會希望填補的空白，其認爲斷言（assertion）是解決方案。該機制允許賬戶檢查交易實際執行的內容，通過比較餘額（即起始餘額與最終餘額）、存儲狀態以及事件，並與預設規則進行比對。如果規則校驗失敗，則回滾整個交易。 

基金會已將 EIP-7906 確定爲解決該問題的潛在方案。該提案指出，EIP-7906 在交易末尾添加只讀檢查，並基於 EIP-8141 中的幀交易模型構建。

意圖不匹配與結果不匹配

基金會將簽名導致的損失分爲兩類。第一類是意圖不匹配，即用戶批准了與其原本認爲不同的內容。 

一個典型的例子是Bybit事件，其簽名界面被篡改。這導致Bybit的簽名者批准了對Safe實現合約的替換操作。 

此次攻擊背後的黑手——與朝鮮有關聯的Lazarus Group（ Lazarus 集團）——盜取了約40萬枚ETH。

以太坊基金會表示，如果有一條禁止該合約變更的既定規則，就可以撤銷這一操作。

被指出的第二種簽名丟失情況是：簽名請求本身是誠實的，但最終結果仍然出錯。 

基金會用來描述此類丟失的案例研究是Aave事件：在2026年3月，一名用戶通過Aave界面中的CoW Swap小部件，將價值5040萬美元的aEthUSDT兌換成了價值約3.6萬美元的aEthAAVE。 

過時的Gas上限拒絕了報價更優的選項，而勝出的求解器未能執行交易。這使得最差的路線成爲唯一選擇。設置最低可接受輸出值的斷言機制，無論界面發出何種警告，都能阻止該交易。

防禦的邊界在哪裏？

CertiK報告稱，2026年上半年加密貨幣安全事件導致損失達13.2億美元。據TRM Labs稱，與朝鮮相關的組織造成了約三分之二的這些損失。

TRM Labs還發現，基礎設施和運營方面的漏洞約佔事件的15%，但導致了近76%的資金損失。

對於這些案例而言，斷言（Assertions）的作用微乎其微。一個例子是Drift漏洞，該漏洞導致2.85億美元損失。造成該漏洞的原因是一次長達六個月的社交工程攻擊，導致貢獻者的機器被入侵。

另一個例子是 Bitget的387.5百萬美元 9月損失，源於被盜的熱錢包密鑰。基金會承認這一限制：規則只有在源自獨立批准的意圖或攻擊者無法篡改的既定政策時纔有效。持有密鑰的對手也會簽署該斷言。

Hegotá，以及可能延後的時間線

EIP-8141作爲幀交易的基礎，已計劃納入Hegotá升級。然而，EIP-7906在Hegotá元提案中僅達到“考慮納入”階段。截至目前，尚未確認。

基金會最新的文章增加了EIP-7906獲得確認的可能性。

最聰明的加密領域人士已經在閱讀我們的通訊。想加入嗎？加入他們。