钱包安全
2026 年 10 月 26 日
10月第一周 SHIB 出现近两年首次日线金叉，又因登陆 Solana 短暂放量，但两次在0.000006美元下方受阻，10月7日回到0.0000055美元附近。文章从技术位、交易所存量和资金流向解读这一周数据，不构成投资建议。
阅读全文
一次签名清空钱包：SHIB持有者要防的EIP-7702委托钓鱼，怎么查、怎么撤
以太坊Pectra升级引入的EIP-7702让普通地址可委托给合约代码，也催生了新型盗币手法。10月14日又有用户因签署恶意委托损失约2.27万美元。本文解释委托与代币授权的区别、真实案例经过，以及SHIB持有者如何在Etherscan检查委托、撤销并防范。
大多数 SHIB 存放在以太坊上，是一种 ERC-20 代币。2025年以太坊 Pectra 升级引入了 EIP-7702，让普通钱包地址可以“临时变身”智能合约钱包，带来批量交易、代付 Gas 等便利，同时也催生了一种新型盗币手法：骗你签一份“委托授权”，把整个钱包的控制逻辑交给攻击者的合约。10月14日，又有一位以太坊用户因此损失约2.27万美元。本文用通俗语言解释 EIP-7702 委托是什么、骗局怎么运作，以及 SHIB 持有者如何检查和自保。
EIP-7702 是什么
按照以太坊官网（ethereum.org）的介绍，EIP-7702 允许普通外部账户（EOA，也就是大家用助记词创建的那种钱包地址）通过一种新的交易类型（type 4）和一份授权列表，把自己“指向”一段已经部署好的合约代码。指向之后，这个地址在调用时会执行那段合约代码，从而获得批量操作、代付手续费、会话权限等智能钱包功能。
它和大家熟悉的“代币授权”（approve）有本质区别：
- 代币授权：只允许某个合约动用你的某一种代币，额度可以设定；
- EIP-7702 委托：改变的是整个地址的执行逻辑。如果委托的是恶意合约，攻击者可以通过它调用你地址里的所有资产——ETH、SHIB 以及其他代币。
以太坊官网也明确提示：如果用户在不知情的情况下委托给了恶意合约，攻击者就可能获得控制权并盗走资金。
真实案例：一次签名，钱包被清空
据 crypto.news 10月14日的报道，安全公司 ExVul 在 X 上披露，一个与 sven.eth 相关的钱包被盗走约9.12枚 ETH（当时约合2.27万美元）以及一些其他代币。经过如下：
- 受害者此前签署了一份 EIP-7702 授权，把钱包委托给攻击者控制的合约；
- 攻击者自己支付手续费，提交了一笔携带这份授权的 type 4 交易，让委托正式生效；
- 委托生效后，攻击者通过恶意合约领取了受害者在某挖矿项目里的奖励，并转走钱包里的 ETH。
ExVul 表示，这次攻击不涉及闪电贷或价格操纵，也不是项目合约的漏洞，问题出在那一次签名上。至于攻击者是通过什么渠道拿到这份签名的，报道称目前还不清楚。更危险的是，检查时这个恶意委托仍然有效——如果受害者继续往这个地址转入资产，新资产同样面临风险。
这类攻击并非个例。crypto.news 提到，2025年5月 Wintermute 的研究发现，当时观察到的 EIP-7702 委托中超过97%指向代码完全相同的合约，其中很多与自动“清扫”资产的盗币程序有关；Etherscan 知识库也引用了这一说法。
为什么 SHIB 持有者要特别注意
- 资产集中在以太坊：SHIB 的主合约在以太坊上，大量持有者用 MetaMask 等以太坊钱包存放 SHIB，正是 EIP-7702 的适用范围；
- “全链生效”的风险：以太坊官网指出，如果授权里的链 ID 设为0，委托会在所有支持 EIP-7702 的 EVM 链上同时生效，一次签名可能让你在多条链上的同一地址都暴露风险；
- 签名界面不直观：委托授权是一种签名请求，很多用户以为只是“登录”或“验证”，看不出它会改变整个账户的行为。
如何检查自己的地址有没有被委托
根据 Etherscan 知识库的说明：
- 在 Etherscan 搜索自己的地址，如果地址已被委托，页面上会显示一个标签，注明委托到哪个合约地址。例如 MetaMask 官方的智能账户会显示为“MetaMask: EIP-7702 Delegator”；
- 开启委托的那笔交易会出现在“其他交易”（Other Transactions）标签页中；
- 如果委托已撤销，委托地址一栏会显示为“Null”。
如果你从没主动开启过智能账户，却看到地址被委托到一个陌生合约，就应当按被盗处理。
发现异常委托后怎么办
- 先别再往这个地址转钱：恶意委托生效期间，新转入的资产同样可能被转走；
- 撤销或替换委托：以太坊官网说明，可以通过委托给空地址（零地址）来重置委托。MetaMask 用户可以在“账户详情 → 智能账户”中关闭对应网络，确认一笔交易即可恢复为普通账户；
- 转移剩余资产：撤销后尽快把 SHIB 等资产转到一个全新的、从未签过可疑授权的钱包。如果助记词也可能已经泄露，撤销委托并不能解决问题，必须换新钱包；
- 同时检查代币授权：用 Etherscan 的授权检查工具或 Revoke.cash 查看并撤销可疑的 approve 授权。
日常预防的五条规则
- 只在钱包内部开启智能账户：MetaMask 帮助中心说明，它目前只支持升级到自家的智能合约，而且只能由用户在钱包里手动开启；它也不会通过邮件通知你“升级账户”。任何网站弹出的“升级钱包”“激活智能账户”请求都要高度警惕。
- 看不懂的签名一律拒绝：签名前看清请求类型和目标合约地址。凡是提到“授权”“委托”“升级账户”的签名，又不是你主动发起的，直接拒绝。
- 警惕“领空投”“免 Gas”诱饵：EIP-7702 允许第三方代付手续费，骗子常以“免费领取”“无需 Gas”为由诱导签名。
- 大额 SHIB 放在硬件钱包：以太坊官网建议硬件钱包只允许委托给可信的合约列表，硬件钱包也能让你在设备屏幕上确认签名内容。
- 分开“日常钱包”和“存储钱包”：经常连接 DApp 的钱包只放少量资产，长期持有的 SHIB 放在不与网站交互的独立地址。
小结
EIP-7702 本身是以太坊的一项正常升级，但它让“一次签名”的影响范围从单个代币扩大到了整个钱包。对 SHIB 持有者来说，记住三点就够了：不在网站上签“升级账户”类请求，定期在 Etherscan 上检查自己的地址是否被委托，大额资产放在硬件钱包或独立地址里。
参考来源
本站出于传递信息之目的刊登本文，若未明确标注本站原创，内容版权均归原作者所有。如您认为内容侵犯了您的权益，请联系我们。本文内容仅供参考，不构成任何投资建议。
更多内容
