Incidente de Robo en Ethereum
Una billetera de Ethereum asociada con sven.eth ha reportado la pérdida de 9.1231 ETH, valorados en aproximadamente $22,770, y 1.69271471 tokens TAPEETH, tras un ataque en el que un atacante utilizó una autorización maliciosa EIP-7702 para tomar control de la cuenta.
La firma de seguridad blockchain ExVul reportó el incidente el 14 de octubre, identificando una transacción patrocinada por el atacante que activó un código malicioso previamente autorizado por el propietario de la billetera.
La firma atribuyó el robo a una delegación insegura, explicando que el atacante drenó la billetera sin explotar el protocolo DeFi subyacente. El incidente involucró la billetera vinculada a sven.eth y una dirección controlada por el atacante que comienza con 0x9208.
Detalles del Ataque
Según la investigación de ExVul, la autorización permitió que el código instalado a través del mecanismo EIP-7702 de Ethereum operara con los permisos de la billetera. El robo reportado involucró 9.1231 ETH y 1.69271471 TAPEETH, con la parte de ETH valorada en aproximadamente $22,770 cuando ExVul publicó sus hallazgos.
ExVul identificó el hash de la transacción como 0x36e0d1491c14e3d8e50bc70d73675b89d2d4712814d16f808f957c84fde820ee, vinculando la actividad a una transacción de tipo 4 de Ethereum patrocinada. Tales transacciones soportan autorizaciones EIP-7702, que permiten a direcciones de billetera ordinarias ejecutar código de contratos inteligentes.
La investigación atribuyó el ataque a 0x9208097c007be15e28b20e94e66870a3f9f820bc. La billetera de la víctima fue identificada como 0xd8ba9e5886b7000bace2c9dbdd0be98ac77d4a28, mientras que la delegación maliciosa apuntó a 0x0366b55f948a688888ca6e029ad0831f6ec260d1.
Descripción del Mecanismo de Ataque
ALERTA — Drenaje de Billetera EIP-7702 en Ethereum: sven.eth fue drenada por 9.1231 ETH netos (~$22,770) más 1.69271471 TAPEETH.
No se involucró préstamo flash ni manipulación de AMM: el atacante patrocinó una transacción de tipo 4 que contenía la autorización válida EIP-7702 de la víctima, luego barrió…
Según la alerta de seguridad, el atacante envió una transacción que contenía una autorización EIP-7702 firmada por la víctima. Una vez que Ethereum procesó esa autorización, las llamadas subsiguientes a la billetera afectada ejecutaron las instrucciones del contrato delegado dentro de la cuenta de la víctima.
El código controlado por el atacante supuestamente contenía una dirección fija autorizada para operar la billetera. El controlador luego invocó la función PodMining.claim, transfirió las recompensas TAPEETH resultantes y retiró el saldo de ETH de la billetera.
ExVul enfatizó que «no se involucró préstamo flash ni manipulación de AMM.» Sus hallazgos identificaron la autorización de la cuenta como el punto de entrada, sin evidencia en el análisis proporcionado de una explotación que involucrara pools de liquidez o manipulación de precios.
Riesgos de Seguridad de EIP-7702
EIP-7702 es parte del desarrollo de abstracción de cuentas de Ethereum, permitiendo que cuentas de propiedad externa obtengan temporalmente funcionalidad de contrato inteligente a través de código delegado. Según la especificación oficial de Ethereum, un usuario firma una autorización que identifica el contrato inteligente que controlará el comportamiento de ejecución de la cuenta.
Una vez enviada a través de una transacción compatible, Ethereum registra la delegación y ejecuta el código designado cuando la billetera recibe llamadas relevantes. Esta característica soporta aplicaciones legítimas, incluyendo transacciones patrocinadas, agrupamiento de transacciones y permisos de billetera más flexibles.
Sin embargo, el mismo mecanismo conlleva riesgos de seguridad cuando una cuenta delega la ejecución a código malicioso. La especificación EIP-7702 de Ethereum explica que contratos de delegación mal diseñados o maliciosos pueden otorgar a una parte externa un control extenso sobre la cuenta.
Consecuencias y Recomendaciones
En este incidente, el atacante supuestamente pagó la tarifa de transacción y envió la autorización firmada. El propietario de la billetera no necesitaba financiar o transmitir la transacción que activó la delegación maliciosa. La firma suministró autoridad para que la billetera ejecutara el código del atacante.
Una vez activado, el código operó bajo el contexto de la cuenta de la víctima, permitiendo que la dirección controladora iniciara las transferencias de activos reportadas. ExVul declaró que la explotación «no es un error de TAPEETH / PodMining.» La conclusión distingue el mecanismo de autorización de una vulnerabilidad en el token o el contrato de recompensa.
La firma no estableció cómo el atacante obtuvo la autorización de la víctima. Sus hallazgos públicos no identifican un sitio web de phishing específico, aplicación maliciosa o interfaz de firma comprometida.
Después del robo reportado, ExVul advirtió que la delegación maliciosa de la billetera permanecía activa en el bloque de Ethereum 26,188,153. La advertencia se refiere a una característica de EIP-7702: establecer una delegación no elimina automáticamente la misma cuando la transacción finaliza.
La guía de seguridad oficial de Ethereum explica que un propietario de billetera retiene el control a través de la clave privada original, incluyendo la capacidad de restablecer la delegación autorizando la dirección cero. Sin embargo, el código delegado malicioso puede seguir siendo peligroso hasta que el cambio se procese con éxito.
ExVul advirtió a los usuarios que no transfirieran nuevos activos a la dirección afectada mientras la delegación sospechosa permaneciera activa. Los fondos recién depositados podrían enfrentar la misma exposición si el código del atacante continuaba controlando los permisos de gasto.
La firma recomendó limpiar o reemplazar la autorización y mover los activos restantes a una billetera segura. Tales acciones de recuperación requieren cuidado porque la dirección afectada puede ejecutar instrucciones maliciosas mientras la delegación persista.
La alerta original de ExVul no estableció si la víctima había eliminado posteriormente el código malicioso o recuperado algún activo. No se identificó ningún acuerdo de reembolso, transacción de recuperación o acción legal en la investigación suministrada.
Advertencias Previas y Conclusiones
El último ataque reportado sigue a advertencias previas de investigadores de seguridad blockchain sobre delegaciones de cuentas maliciosas. En mayo de 2025, el creador de mercado de criptomonedas Wintermute identificó el uso generalizado de contratos EIP-7702 diseñados para drenar automáticamente fondos de billeteras de Ethereum comprometidas.
La investigación de Wintermute encontró que más del 97% de las delegaciones EIP-7702 observadas en esa etapa apuntaban a contratos que utilizaban código idéntico. Su análisis asoció muchas de esas delegaciones con barrenderos automatizados que podían transferir ETH entrante a direcciones controladas por atacantes.
Las preocupaciones de seguridad anteriores en torno a la actualización Pectra de Ethereum se centraron en atacantes que abusaban de las características de delegación de billetera introducidas a través de EIP-7702. Los investigadores de seguridad advirtieron que el código malicioso podría permanecer conectado a cuentas después de que las víctimas completaran la autorización inicial.
La especificación EIP-7702 de Ethereum identifica varias salvaguardias para los desarrolladores que construyen contratos de delegación, incluyendo protección contra repetición, parámetros de transacción autenticados y procedimientos de inicialización seguros. La especificación advierte que los contratos de delegación mal implementados pueden otorgar a actores maliciosos un control casi completo sobre la cuenta afectada.
La alerta de ExVul del 14 de octubre identificó el contrato malicioso, la dirección controladora y la cuenta afectada, pero no divulgó si la víctima había reemplazado la autorización desde entonces. La investigación registró la delegación sospechosa como activa en el bloque 26,188,153.
