Portfel Ethereum powiązany z sven.eth miał rzekomo utracić 9,1231 ETH o wartości około 22 770 dolarów oraz 1,69271471 tokenów TAPEETH po tym, jak atakujący wykorzystał złośliwą autoryzację EIP-7702, aby przejąć kontrolę nad kontem.
Podsumowanie
- Firma zajmująca się bezpieczeństwem ExVul poinformowała, że portfel Ethereum utracił 9,1231 ETH w wyniku złośliwej delegacji konta.
- Zgłoszony atak obejmował 1,69271471 tokenów TAPEETH wraz z Ethereum o wartości około 22 770 dolarów w momencie wykrycia.
- Sponsorowana transakcja EIP-7702 miała umożliwić wykonanie kodu kontrolowanego przez atakującego za pośrednictwem portfela ofiary.
- ExVul przypisał kradzież złośliwej autoryzacji portfela, a nie lukę w PodMining lub TAPEETH.
- Firma bezpieczeństwa ostrzegła, że złośliwa delegacja pozostawała aktywna na bloku Ethereum 26 188 153 później.
Firma zajmująca się bezpieczeństwem blockchain ExVul zgłosiła incydent 14 października, identyfikując sponsorowaną przez atakującego transakcję, która aktywowała złośliwy kod wcześniej autoryzowany przez właściciela portfela. Firma przypisała kradzież niebezpiecznej delegacji, wyjaśniając, że atakujący opróżnił portfel bez wykorzystywania podstawowego protokołu DeFi.
Zgłoszony incydent dotyczył portfela powiązanego z sven.eth oraz adresu kontrolowanego przez atakującego zaczynającego się od 0x9208. Według śledztwa ExVul autoryzacja pozwoliła kodowi zainstalowanemu za pośrednictwem mechanizmu EIP-7702 Ethereum działać z uprawnieniami portfela.
Atak Ethereum EIP-7702 opróżnia ETH i TAPEETH
Zgłoszona kradzież obejmowała 9,1231 ETH i 1,69271471 TAPEETH, przy czym część ETH została wyceniona na około 22 770 dolarów, gdy ExVul opublikował swoje ustalenia. Firma bezpieczeństwa nie podała osobnej wyceny dolarowej dla tokenów TAPEETH.
ExVul zidentyfikował hash transakcji jako 0x36e0d1491c14e3d8e50bc70d73675b89d2d4712814d16f808f957c84fde820ee, wiążąc tę aktywność ze sponsorowaną transakcją Ethereum typu 4. Takie transakcje obsługują autoryzacje EIP-7702, które pozwalają zwykłym adresom portfeli na wykonywanie kodu inteligentnego kontraktu.
Śledztwo przypisało atak adresowi 0x9208097c007be15e28b20e94e66870a3f9f820bc. Portfel ofiary został zidentyfikowany jako 0xd8ba9e5886b7000bace2c9dbdd0be98ac77d4a28, podczas gdy złośliwa delegacja wskazywała na 0x0366b55f948a688888ca6e029ad0831f6ec260d1.
Według alertu bezpieczeństwa atakujący przesłał transakcję zawierającą autoryzację EIP-7702 podpisaną przez ofiarę. Gdy Ethereum przetworzyło tę autoryzację, kolejne wywołania dotkniętego portfela wykonały instrukcje delegowanego kontraktu w ramach konta ofiary.
Kod kontrolowany przez atakującego miał zawierać stały adres upoważniony do obsługi portfela. Kontroler następnie wywołał funkcję PodMining.claim(), przeniósł wynikające z tego nagrody TAPEETH i wycofał saldo ETH portfela.
ExVul podkreślił, że „nie było zaangażowanej pożyczki błyskawicznej ani manipulacji AMM”. Jego ustalenia wskazały autoryzację konta jako punkt wejścia, bez dowodów w dostarczonej analizie na wykorzystanie obejmujące pule płynności lub manipulację ceną.
Jak złośliwa delegacja portfela umożliwiła kradzież
EIP-7702 jest częścią rozwoju abstrakcji kont Ethereum, pozwalając zewnętrznie posiadanym kontom tymczasowo uzyskać funkcjonalność inteligentnego kontraktu poprzez delegowany kod.
Zgodnie z oficjalną specyfikacją Ethereum użytkownik podpisuje autoryzację identyfikującą inteligentny kontrakt, który będzie kontrolował zachowanie wykonawcze konta. Po przesłaniu przez kompatybilną transakcję Ethereum rejestruje delegację i uruchamia wyznaczony kod, gdy portfel otrzyma odpowiednie wywołania.
Funkcja ta obsługuje uzasadnione zastosowania, w tym sponsorowane transakcje, grupowanie transakcji i bardziej elastyczne uprawnienia portfela. Użytkownik może autoryzować wiele działań za pomocą pojedynczej transakcji lub pozwolić stronie trzeciej na pokrycie opłaty sieciowej.
Jednak ten sam mechanizm niesie ze sobą ryzyko bezpieczeństwa, gdy konto deleguje wykonanie do złośliwego kodu. Specyfikacja EIP-7702 Ethereum wyjaśnia, że źle zaprojektowane lub złośliwe kontrakty delegujące mogą przyznać stronie zewnętrznej szeroką kontrolę nad kontem.
W tym incydencie napastnik podobno zapłacił opłatę transakcyjną i przesłał podpisaną autoryzację. Właściciel portfela nie musiał finansować ani rozgłaszać transakcji, która aktywowała złośliwą delegację.
Podpis dostarczył uprawnienia dla portfela do wykonania kodu napastnika. Po aktywacji kod działał w kontekście konta ofiary, umożliwiając adresowi kontrolującemu zainicjowanie zgłoszonych transferów aktywów.
ExVul stwierdził, że exploit „nie jest błędem TAPEETH / PodMining”. Wniosek odróżnia mechanizm autoryzacji od luki w tokenie lub kontrakcie nagród.
Firma nie ustaliła, w jaki sposób napastnik uzyskał autoryzację ofiary. Jej publiczne ustalenia nie wskazują konkretnej strony phishingowej, złośliwej aplikacji ani skompromitowanego interfejsu podpisywania.
Złośliwa autoryzacja może zagrozić przyszłym depozytom
Po zgłoszonym kradzieży ExVul ostrzegł, że złośliwa delegacja portfela pozostawała aktywna na bloku Ethereum 26 188 153.
Ostrzeżenie dotyczy funkcji EIP-7702: ustawienie delegacji nie usuwa jej automatycznie po zakończeniu transakcji. Autoryzowany kontrakt może pozostać powiązany z portfelem, dopóki właściciel konta nie zastąpi lub nie wyczyści delegacji.
Oficjalne wskazówki dotyczące bezpieczeństwa Ethereum wyjaśniają, że właściciel portfela zachowuje kontrolę poprzez oryginalny klucz prywatny, w tym możliwość zresetowania delegacji poprzez autoryzację adresu zerowego. Jednak złośliwy delegowany kod może pozostać niebezpieczny, dopóki zmiana nie zostanie pomyślnie przetworzona.
ExVul ostrzegł użytkowników przed transferowaniem nowych aktywów na dotknięty adres, dopóki podejrzana delegacja pozostawała aktywna. Nowo zdeponowane środki mogłyby być narażone na to samo ryzyko, gdyby kod napastnika nadal kontrolował uprawnienia do wydatków.
Firma zaleciła wyczyszczenie lub zastąpienie autoryzacji i przeniesienie pozostałych aktywów do bezpiecznego portfela. Takie działania naprawcze wymagają ostrożności, ponieważ dotknięty adres może wykonywać złośliwe instrukcje, dopóki delegacja trwa.
Ostrzeżenie opierało się na statusie delegacji zaobserwowanym na bloku 26 188 153. Oryginalny alert ExVul nie ustalił, czy ofiara następnie usunęła złośliwy kod lub odzyskała jakiekolwiek aktywa.
W dostarczonym śledztwie nie zidentyfikowano żadnego porozumienia dotyczącego zwrotu, transakcji odzyskiwania ani działań organów ścigania.
EIP-7702 już wcześniej budził podobne obawy dotyczące bezpieczeństwa
Najnowszy zgłoszony atak następuje po wcześniejszych ostrzeżeniach badaczy bezpieczeństwa blockchain dotyczących złośliwych delegacji kont.
W maju 2025 roku animator rynku kryptowalut Wintermute zidentyfikował powszechne stosowanie kontraktów EIP-7702 zaprojektowanych do automatycznego opróżniania środków ze skompromitowanych portfeli Ethereum.
Badania Wintermute wykazały, że ponad 97% zaobserwowanych delegacji EIP-7702 na tym etapie wskazywało na kontrakty używające identycznego kodu. Ich analiza powiązała wiele z tych delegacji z automatycznymi zamiataczami, które mogły przenosić przychodzące ETH na adresy kontrolowane przez napastnika.
Wcześniejsze obawy dotyczące bezpieczeństwa wokół aktualizacji Pectra Ethereum koncentrowały się na napastnikach nadużywających funkcji delegacji portfela wprowadzonych przez EIP-7702. Badacze bezpieczeństwa ostrzegali, że złośliwy kod może pozostać połączony z kontami po zakończeniu przez ofiary wstępnej autoryzacji.
Oddzielny incydent dotyczący tokenów World Liberty Financial we wrześniu 2025 roku wzbudził podobne obawy. Badacz blockchain Yu Xian poinformował, że napastnicy wykorzystywali skompromitowane uprawnienia portfela i delegację EIP-7702 do atakowania posiadaczy po udostępnieniu transferów tokenów.
Ataki phishingowe wymierzone w posiadaczy tokenów WLFI obejmowały złośliwe kontrakty delegacji, które pozwalały atakującym na wykonywanie nieautoryzowanych transakcji. Śledczy powiązali tę aktywność ze skompromitowanymi danymi uwierzytelniającymi portfela i oszukańczymi autoryzacjami.
W lipcu 2026 roku inny incydent phishingowy na Ethereum obejmujący prawie 1 milion dolarów pokazał, jak niebezpieczne zatwierdzenia portfela mogą narazić zasoby kryptowalutowe. Ten przypadek dotyczył złośliwych uprawnień transakcyjnych i nie został ustalony jako ta sama metoda wykorzystania zgłoszona przeciwko sven.eth.
Specyfikacja EIP-7702 Ethereum wskazuje kilka zabezpieczeń dla deweloperów tworzących kontrakty delegacji, w tym ochronę przed powtórzeniem, uwierzytelnione parametry transakcji i bezpieczne procedury inicjalizacji.
Specyfikacja ostrzega, że źle zaimplementowane kontrakty delegacji mogą dać złośliwym podmiotom niemal pełną kontrolę nad dotkniętym kontem. Zaleca staranne weryfikowanie uprawnień przyznanych delegowanemu kodowi, szczególnie gdy strony zewnętrzne mogą składać transakcje w imieniu właścicieli portfeli.
Alert ExVul z 14 października zidentyfikował złośliwy kontrakt, adres kontrolera i dotknięte konto, ale nie ujawnił, czy ofiara od tego czasu zastąpiła autoryzację. Dochodzenie odnotowało podejrzaną delegację jako aktywną na bloku 26 188 153.
