Инцидент с кошельком Ethereum sven.eth
Кошелек Ethereum, связанный с пользователем sven.eth, по сообщениям, потерял 9.1231 ETH, стоимостью примерно $22,770, а также 1.69271471 токенов TAPEETH после того, как злоумышленник использовал вредоносную авторизацию EIP-7702 для получения контроля над аккаунтом.
Подробности кражи
Компания по безопасности блокчейнов ExVul сообщила о происшествии 14 октября, выявив транзакцию, инициированную злоумышленником, которая активировала вредоносный код, ранее авторизованный владельцем кошелька. Эксперты компании приписали кражу небезопасной делегации, объяснив, что злоумышленник опустошил кошелек, не эксплуатируя основной DeFi-протокол.
«Не было задействовано ни flash loan, ни манипуляций с AMM: злоумышленник инициировал транзакцию типа-4 с действительной авторизацией EIP-7702 жертвы».
Механизм EIP-7702
Согласно расследованию ExVul, авторизация позволила коду, установленному через механизм EIP-7702 Ethereum, работать с разрешениями кошелька. Эта функция поддерживает законные приложения, включая спонсируемые транзакции и более гибкие разрешения для кошельков. Однако тот же механизм несет в себе риски безопасности, когда аккаунт делегирует выполнение вредоносному коду.
Рекомендации по безопасности
ExVul предупредила пользователей о том, чтобы они не переводили новые активы на затронутый адрес, пока подозрительная делегация оставалась активной. Новые депонированные средства могут столкнуться с тем же риском, если код злоумышленника продолжит контролировать разрешения на расходование.
«Пользователь может авторизовать несколько действий через одну транзакцию или позволить третьей стороне покрыть сетевой сбор».
Заключение
ExVul подчеркнула, что эксплуатация «не является ошибкой TAPEETH / PodMining». Заключение отличает механизм авторизации от уязвимости в токене или контракте вознаграждения. Компания не установила, как злоумышленник получил авторизацию жертвы и не идентифицировала конкретный фишинговый сайт или вредоносное приложение.
После сообщенной кражи ExVul предупредила, что вредоносная делегация кошелька оставалась активной на блоке Ethereum 26,188,153. Официальные рекомендации по безопасности Ethereum объясняют, что владелец кошелька сохраняет контроль через оригинальный закрытый ключ, включая возможность сброса делегации, авторизовав нулевой адрес.
Предыдущие инциденты
Последняя сообщенная атака следует за предыдущими предупреждениями от исследователей безопасности блокчейнов о вредоносных делегациях аккаунтов. В мае 2025 года крипто-маркетмейкер Wintermute выявил широкое использование контрактов EIP-7702, предназначенных для автоматического опустошения средств из скомпрометированных кошельков Ethereum.
Исследование Wintermute показало, что более 97% наблюдаемых делегаций EIP-7702 на тот момент указывали на контракты, использующие идентичный код. Ранее возникшие проблемы безопасности, связанные с обновлением Pectra Ethereum, сосредоточились на злоумышленниках, злоупотребляющих функциями делегации кошельков, введенными через EIP-7702.
