MetaMask 13.49.0安全更新：两项变化怎么看 图 1
MetaMask 13.49.0安全更新：两项变化怎么看 · 图 1

MetaMask Extension 13.49.0 的安全更新集中在两处：一是调整地址投毒检测对“已知收款人”的识别，二是把 EIP-7702 账户升级设为符合条件账户授予高级权限前的必要环节。官方将该版本标记为 2026 年 9 月 17 日发布。它是一份特定版本的变更记录，不能单独证明所有 MetaMask 用户都曾处于同一种风险中，也没有说明发生过针对用户的攻击。

版本说明具体写了什么

MetaMask 官方 release 的 Security 栏列出两项变更。第一项是 address-poisoning detection 修正：来自已确认授权以及其他非发送交易的 token、protocol 合约地址，不再被当作已知收款人。第二项是 advanced-permission handling 改进：符合条件的账户在授予高级权限前，需要先完成 EIP-7702 升级。两项都属于钱包对权限流程和地址识别规则的调整；release notes 没有把它们描述成所有交易都会受到影响的紧急事故。

PR #45982 对应地址投毒检测修复，release 用“已知收款人”口径描述改动。阅读时应把它理解为检测逻辑的边界修正，而不是“地址投毒从此不会发生”或“任何看起来熟悉的地址都可信”。尤其是，不能因某地址出现在授权记录或其他非发送交易中，就据此把它等同于用户主动发送过资产的收款对象。版本说明没有量化误判率，也没有给出对所有钱包状态、网络或历史版本的适用范围。

这条边界对日常转账仍有意义：地址标签、交易历史和钱包提示可以辅助核对，但不能替代逐字符核对目标地址。大额转账前应从独立、可信的记录重新取得收款地址，并确认网络与收款方；不要只从近期活动记录复制，也不要因为某个地址被界面识别为熟悉对象就跳过复核。遇到假入口或冒名链接时，站内 识别加密货币钓鱼网站 提供了防御性核验思路。

高级权限与 EIP-7702 前置条件

第二项改动针对高级权限授予流程。官方 release 说明，符合条件的账户必须先完成 EIP-7702 升级，然后才能授予高级权限。PR #46082 进一步记录了相关交互边界：对于不支持 EIP-7702 的硬件或 QR 账户，流程应阻止授予，而不是留下可能让用户误以为可以继续的授权动作；如果用户取消升级，请求应被拒绝，而不是继续进入授权确认。这里描述的是授权前的门槛和取消结果，不代表所有账户都会遇到同一升级流程。

EIP-7702 是账户行为相关的机制，因此“升级”“授权”“签名”不能被混为一个普通登录步骤。遇到高级权限请求时，先确认发起请求的应用、钱包账户及操作目的；如果界面要求升级、显示的账户类型与预期不符，或权限范围无法理解，就暂停并取消。不要根据活动页面、客服私信或弹窗中的倒计时继续操作，也不要向任何人提供助记词、私钥、验证码或远程控制权限。站内 EIP-7702授权是什么？钱包风险 介绍了相关机制；签名内容看不懂时，可参考 盲签名是什么？钱包签名前如何避险。这些延伸阅读不能替代 MetaMask 当前版本和官方文档。

这次 release 没有回答的问题

版本说明和对应 PR 可以支持对两项实现改动的描述，但没有交代所有受影响版本、人群、账户状态或网络范围，也没有说明用户是否需要执行额外操作、更新如何分发到每个浏览器，或是否存在已确认的利用事件。因此，不能从“修复地址投毒检测”推导出某个读者此前一定遭到攻击，也不能将“需要 EIP-7702 升级”改写成所有账户都必须立即升级。本文以官方 v13.49.0 发布记录为范围；截至 2026 年 10 月 15 日，读者仍应核对自己安装的版本和 MetaMask 官方发布渠道，不能把这篇历史版本说明当作当前最新版公告。

用户可以采取的防御动作

  • 从 MetaMask 官方发布页面或浏览器扩展商店核对当前安装版本，不通过陌生私信、群文件或短链接安装所谓“安全补丁”。
  • 发送资产前独立核验完整收款地址和网络；如地址来自历史记录、授权记录或复制板，先回到可信来源确认。
  • 对高级权限请求先核对账户、应用和权限说明；升级提示与预期不符、取消后仍催促继续，或无法理解签名内容时，不要确认。
  • 如已误签或误转，立即停止继续授权和转账，保存交易哈希、网络、请求页面及时间，再通过官方支持入口和可信区块浏览器核查；不要相信声称能追回资产并索要助记词或验证码的人。链上转账通常难以撤回，事后处置不保证能够挽回损失。

安全更新值得关注，但谨慎的结论必须与公告覆盖范围相符：13.49.0 明确记录了地址识别逻辑调整和高级权限授予前置条件，不能据此扩大为普遍漏洞警报或安全保证。本文仅作安全信息与教育用途，不构成投资建议，也不提供买卖、转账或授权建议；数字资产可能剧烈波动并可能损失本金。钱包版本、权限提示和网络规则会变化，请独立核验 MetaMask 官方信息，遇到不明请求先停止操作。