RecodeX 重构消息，协议工程师Justin Kalland指出，一个疑似与Binance热钱包攻击相关的地址（0xAa246BF639586a6Ba46762D378CE50cA4fc654a0）向新钱包转入约1.75亿枚USDT，约2.5分钟后收到2枚ETH；在已有足够Gas的情况下，该地址仍调用MetaMask Gas Station。

同一区块内连续出现Gas Station补ETH、对Kyber路由的无限额USDT授权，以及向Gas Station支付约127.67 USDT，补入ETH数额与两笔交易最大Gas预算精确到wei一致。分析师认为，这可能是攻击者使用MetaMask时匆忙误选USDT支付Gas所致。

经MetaMask Sentinel代付的交易走其通道而非普通RPC，可能留下含IP等信息的链下日志。Kalland称，在所检查的攻击相关钱包中，仅该地址出现Gas Station使用记录，并呼吁MetaMask保留相关Web2日志。