Согласно сообщениям, Ethereum-кошелёк, связанный с sven.eth, потерял 9,1231 ETH стоимостью примерно $22 770 и 1,69271471 токена TAPEETH после того, как злоумышленник использовал вредоносную авторизацию EIP-7702 для получения контроля над аккаунтом.
Краткое изложение
- Компания по безопасности ExVul сообщила, что Ethereum-кошелёк потерял 9,1231 ETH через вредоносное делегирование аккаунта.
- Сообщаемая атака включала 1,69271471 токена TAPEETH вместе с Ethereum стоимостью примерно $22 770 на момент обнаружения.
- Спонсируемая транзакция EIP-7702, согласно сообщениям, позволила контролируемому злоумышленником коду выполняться через кошелёк жертвы.
- ExVul связала кражу с вредоносной авторизацией кошелька, а не с уязвимостью в PodMining или TAPEETH.
- Компания по безопасности предупредила, что вредоносное делегирование оставалось активным на блоке Ethereum 26 188 153 после этого.
Компания по безопасности блокчейна ExVul сообщила об инциденте 14 октября, выявив спонсируемую злоумышленником транзакцию, которая активировала вредоносный код, ранее авторизованный владельцем кошелька. Компания связала кражу с небезопасным делегированием, пояснив, что злоумышленник опустошил кошелёк, не эксплуатируя базовый DeFi-протокол.
Сообщаемый инцидент касался кошелька, связанного с sven.eth, и контролируемого злоумышленником адреса, начинающегося с 0x9208. Согласно расследованию ExVul, авторизация позволила коду, установленному через механизм Ethereum EIP-7702, работать с разрешениями кошелька.
Атака Ethereum EIP-7702 опустошает ETH и TAPEETH
Сообщаемая кража включала 9,1231 ETH и 1,69271471 TAPEETH, при этом часть в ETH оценивалась примерно в $22 770 на момент публикации выводов ExVul. Компания по безопасности не предоставила отдельную долларовую оценку токенов TAPEETH.
ExVul идентифицировала хеш транзакции как 0x36e0d1491c14e3d8e50bc70d73675b89d2d4712814d16f808f957c84fde820ee, связав активность со спонсируемой Ethereum-транзакцией типа 4. Такие транзакции поддерживают авторизации EIP-7702, которые позволяют обычным адресам кошельков выполнять код смарт-контрактов.
Расследование приписало атаку адресу 0x9208097c007be15e28b20e94e66870a3f9f820bc. Кошелёк жертвы был идентифицирован как 0xd8ba9e5886b7000bace2c9dbdd0be98ac77d4a28, а вредоносное делегирование указывало на 0x0366b55f948a688888ca6e029ad0831f6ec260d1.
Согласно предупреждению о безопасности, злоумышленник отправил транзакцию, содержащую авторизацию EIP-7702, подписанную жертвой. После того как Ethereum обработал эту авторизацию, последующие вызовы затронутого кошелька выполняли инструкции делегированного контракта в аккаунте жертвы.
Контролируемый злоумышленником код, согласно сообщениям, содержал фиксированный адрес, уполномоченный управлять кошельком. Затем контроллер вызвал функцию PodMining.claim(), перевёл полученные награды TAPEETH и вывел баланс ETH кошелька.
ExVul подчеркнула, что «никакого флеш-кредита или манипуляции AMM не было задействовано». Её выводы определили авторизацию аккаунта как точку входа, при этом в предоставленном анализе нет доказательств эксплуатации, связанной с пулами ликвидности или манипуляцией ценами.
Как вредоносное делегирование кошелька позволило совершить кражу
EIP-7702 является частью развития абстракции аккаунтов Ethereum, позволяя внешне владеемым аккаунтам временно получать функциональность смарт-контрактов через делегированный код.
Согласно официальной спецификации Ethereum, пользователь подписывает авторизацию, определяющую смарт-контракт, который будет управлять поведением выполнения аккаунта. После отправки через совместимую транзакцию Ethereum записывает делегирование и запускает назначенный код, когда кошелёк получает соответствующие вызовы.
Функция поддерживает законные приложения, включая спонсируемые транзакции, пакетную обработку транзакций и более гибкие разрешения для кошельков. Пользователь может авторизовать несколько действий через одну транзакцию или позволить третьей стороне покрыть комиссию сети.
Однако тот же механизм несет риски безопасности, когда аккаунт делегирует выполнение вредоносному коду. Спецификация EIP-7702 Ethereum объясняет, что плохо спроектированные или вредоносные контракты делегирования могут предоставить внешней стороне обширный контроль над аккаунтом.
В этом инциденте, как сообщается, атакующий оплатил комиссию за транзакцию и отправил подписанную авторизацию. Владельцу кошелька не нужно было финансировать или транслировать транзакцию, которая активировала вредоносное делегирование.
Подпись предоставила полномочия кошельку на выполнение кода атакующего. После активации код работал в контексте аккаунта жертвы, позволяя адресу контроллера инициировать заявленные переводы активов.
ExVul заявила, что эксплойт «не является ошибкой TAPEETH / PodMining». Этот вывод отличает механизм авторизации от уязвимости в токене или контракте вознаграждения.
Фирма не установила, как атакующий получил авторизацию жертвы. Ее публичные выводы не указывают на конкретный фишинговый сайт, вредоносное приложение или скомпрометированный интерфейс подписи.
Вредоносная авторизация может угрожать будущим депозитам
После сообщения о краже ExVul предупредила, что вредоносное делегирование кошелька оставалось активным на блоке Ethereum 26 188 153.
Предупреждение касается особенности EIP-7702: установка делегирования не удаляет его автоматически по завершении транзакции. Авторизованный контракт может оставаться связанным с кошельком до тех пор, пока владелец аккаунта не заменит или не очистит делегирование.
Официальное руководство по безопасности Ethereum объясняет, что владелец кошелька сохраняет контроль через исходный приватный ключ, включая возможность сбросить делегирование, авторизовав нулевой адрес. Однако вредоносный делегированный код может оставаться опасным до тех пор, пока изменение не будет успешно обработано.
ExVul предупредила пользователей о недопустимости перевода новых активов на затронутый адрес, пока подозрительное делегирование остается активным. Вновь внесенные средства могут подвергнуться той же опасности, если код атакующего продолжит контролировать разрешения на расходование.
Фирма рекомендовала очистить или заменить авторизацию и переместить оставшиеся активы в безопасный кошелек. Такие действия по восстановлению требуют осторожности, поскольку затронутый адрес может выполнять вредоносные инструкции, пока делегирование сохраняется.
Предупреждение было основано на статусе делегирования, наблюдавшемся на блоке 26 188 153. Первоначальное оповещение ExVul не установило, удалила ли жертва впоследствии вредоносный код или восстановила какие-либо активы.
В предоставленном расследовании не было выявлено никаких договоренностей о возмещении, транзакций по восстановлению или действий правоохранительных органов.
EIP-7702 и ранее вызывал аналогичные опасения по безопасности
Последняя заявленная атака следует за предыдущими предупреждениями исследователей безопасности блокчейна о вредоносных делегированиях аккаунтов.
В мае 2025 года криптовалютный маркет-мейкер Wintermute выявил широкое использование контрактов EIP-7702, предназначенных для автоматического вывода средств со скомпрометированных кошельков Ethereum.
Исследование Wintermute показало, что более 97% наблюдаемых делегирований EIP-7702 на тот момент указывали на контракты с идентичным кодом. Их анализ связал многие из этих делегирований с автоматическими сборщиками, которые могли переводить поступающие ETH на адреса, контролируемые атакующими.
Более ранние опасения по безопасности вокруг обновления Pectra в Ethereum были сосредоточены на злоупотреблении атакующими функциями делегирования кошелька, introduced через EIP-7702. Исследователи безопасности предупреждали, что вредоносный код может оставаться подключенным к аккаунтам после того, как жертвы завершат первоначальную авторизацию.
Отдельный инцидент с токенами World Liberty Financial в сентябре 2025 года вызвал аналогичные опасения. Исследователь блокчейна Yu Xian сообщил, что атакующие использовали скомпрометированные разрешения кошельков и делегирование EIP-7702 для атаки на держателей после того, как стали доступны переводы токенов.
Фишинговые атаки на держателей токенов WLFI включали вредоносные контракты делегирования, которые позволяли злоумышленникам выполнять несанкционированные транзакции. Следователи связали эту активность с скомпрометированными учетными данными кошельков и мошенническими авторизациями.
В июле 2026 года другой фишинговый инцидент в Ethereum, связанный с почти 1 миллионом долларов, продемонстрировал, насколько опасными могут быть одобрения кошельков, подвергающие риску криптовалютные активы. В том случае речь шла о вредоносных разрешениях на транзакции, и он не был установлен как тот же метод эксплуатации, о котором сообщалось против sven.eth.
Спецификация EIP-7702 Ethereum определяет несколько мер защиты для разработчиков, создающих контракты делегирования, включая защиту от повторного воспроизведения, аутентифицированные параметры транзакций и безопасные процедуры инициализации.
Спецификация предупреждает, что плохо реализованные контракты делегирования могут дать злоумышленникам почти полный контроль над затронутым счетом. Она рекомендует тщательно проверять разрешения, предоставляемые делегированному коду, особенно когда внешние стороны могут отправлять транзакции от имени владельцев кошельков.
Оповещение ExVul от 14 октября идентифицировало вредоносный контракт, адрес контроллера и затронутый счет, но не раскрыло, заменила ли жертва с тех пор авторизацию. Расследование зафиксировало подозрительное делегирование как активное на блоке 26 188 153.
