Un portefeuille Ethereum associé à sven.eth aurait perdu 9,1231 ETH, d'une valeur d'environ 22 770 $, et 1,69271471 jetons TAPEETH après qu'un attaquant a utilisé une autorisation EIP-7702 malveillante pour prendre le contrôle du compte.
Résumé
- La société de sécurité ExVul a signalé qu'un portefeuille Ethereum a perdu 9,1231 ETH via une délégation de compte malveillante.
- L'attaque signalée impliquait 1,69271471 jetons TAPEETH ainsi que de l'Ethereum évalué à environ 22 770 $ au moment de la détection.
- Une transaction EIP-7702 sponsorisée aurait permis à du code contrôlé par l'attaquant de s'exécuter via le portefeuille de la victime.
- ExVul a attribué le vol à une autorisation de portefeuille malveillante, et non à une vulnérabilité dans PodMining ou TAPEETH.
- La société de sécurité a averti que la délégation malveillante restait active au bloc Ethereum 26 188 153 par la suite.
La société de sécurité blockchain ExVul a signalé l'incident le 14 octobre, identifiant une transaction sponsorisée par l'attaquant qui a activé du code malveillant précédemment autorisé par le propriétaire du portefeuille. La société a attribué le vol à une délégation non sécurisée, expliquant que l'attaquant a vidé le portefeuille sans exploiter le protocole DeFi sous-jacent.
L'incident signalé impliquait le portefeuille lié à sven.eth et une adresse contrôlée par l'attaquant commençant par 0x9208. Selon l'enquête d'ExVul, l'autorisation a permis au code installé via le mécanisme EIP-7702 d'Ethereum de fonctionner avec les permissions du portefeuille.
Une attaque Ethereum EIP-7702 vide des ETH et des TAPEETH
Le vol signalé impliquait 9,1231 ETH et 1,69271471 TAPEETH, la partie ETH étant évaluée à environ 22 770 $ lorsque ExVul a publié ses conclusions. La société de sécurité n'a pas fourni d'évaluation séparée en dollars pour les jetons TAPEETH.
ExVul a identifié le hash de transaction comme étant 0x36e0d1491c14e3d8e50bc70d73675b89d2d4712814d16f808f957c84fde820ee, reliant l'activité à une transaction Ethereum de type 4 sponsorisée. De telles transactions prennent en charge les autorisations EIP-7702, qui permettent aux adresses de portefeuille ordinaires d'exécuter du code de contrat intelligent.
L'enquête a attribué l'attaque à 0x9208097c007be15e28b20e94e66870a3f9f820bc. Le portefeuille de la victime a été identifié comme 0xd8ba9e5886b7000bace2c9dbdd0be98ac77d4a28, tandis que la délégation malveillante pointait vers 0x0366b55f948a688888ca6e029ad0831f6ec260d1.
Selon l'alerte de sécurité, l'attaquant a soumis une transaction contenant une autorisation EIP-7702 signée par la victime. Une fois cette autorisation traitée par Ethereum, les appels ultérieurs au portefeuille affecté ont exécuté les instructions du contrat délégué au sein du compte de la victime.
Le code contrôlé par l'attaquant contenait apparemment une adresse fixe autorisée à opérer le portefeuille. Le contrôleur a ensuite invoqué la fonction PodMining.claim(), transféré les récompenses TAPEETH résultantes et retiré le solde ETH du portefeuille.
ExVul a souligné qu'« Aucun flash loan ni manipulation d'AMM n'était impliqué. » Ses conclusions ont identifié l'autorisation de compte comme point d'entrée, sans preuve dans l'analyse fournie d'un exploit impliquant des pools de liquidité ou une manipulation de prix.
Comment la délégation de portefeuille malveillante a permis le vol
EIP-7702 fait partie du développement de l'abstraction de compte d'Ethereum, permettant aux comptes détenus en externe d'acquérir temporairement des fonctionnalités de contrat intelligent via du code délégué.
Selon la spécification officielle d'Ethereum, un utilisateur signe une autorisation identifiant le contrat intelligent qui contrôlera le comportement d'exécution du compte. Une fois soumise via une transaction compatible, Ethereum enregistre la délégation et exécute le code désigné lorsque le portefeuille reçoit des appels pertinents.
La fonctionnalité prend en charge des applications légitimes, notamment les transactions sponsorisées, le regroupement de transactions et des autorisations de portefeuille plus flexibles. Un utilisateur peut autoriser plusieurs actions via une seule transaction ou permettre à un tiers de couvrir les frais de réseau.
Cependant, le même mécanisme comporte des risques de sécurité lorsqu'un compte délègue l'exécution à du code malveillant. La spécification EIP-7702 d'Ethereum explique que des contrats de délégation mal conçus ou malveillants peuvent accorder à un tiers un contrôle étendu sur le compte.
Dans cet incident, l'attaquant aurait payé les frais de transaction et soumis l'autorisation signée. Le propriétaire du portefeuille n'a pas eu besoin de financer ou de diffuser la transaction qui a activé la délégation malveillante.
La signature a fourni l'autorité pour que le portefeuille exécute le code de l'attaquant. Une fois activé, le code a fonctionné dans le contexte du compte de la victime, permettant à l'adresse de contrôle d'initier les transferts d'actifs signalés.
ExVul a déclaré que l'exploit « n'est pas un bug de TAPEETH / PodMining ». La conclusion distingue le mécanisme d'autorisation d'une vulnérabilité dans le jeton ou le contrat de récompense.
La société n'a pas établi comment l'attaquant a obtenu l'autorisation de la victime. Ses conclusions publiques n'identifient pas de site de phishing spécifique, d'application malveillante ou d'interface de signature compromise.
Une autorisation malveillante pourrait menacer les dépôts futurs
Après le vol signalé, ExVul a averti que la délégation malveillante du portefeuille restait active au bloc Ethereum 26 188 153.
L'avertissement concerne une caractéristique de l'EIP-7702 : définir une délégation ne la supprime pas automatiquement lorsque la transaction se termine. Le contrat autorisé peut rester associé au portefeuille jusqu'à ce que le propriétaire du compte remplace ou efface la délégation.
Les directives de sécurité officielles d'Ethereum expliquent qu'un propriétaire de portefeuille conserve le contrôle via la clé privée d'origine, y compris la possibilité de réinitialiser la délégation en autorisant l'adresse zéro. Cependant, le code délégué malveillant peut rester dangereux jusqu'à ce que le changement soit traité avec succès.
ExVul a averti les utilisateurs contre le transfert de nouveaux actifs vers l'adresse affectée tant que la délégation suspecte restait active. Les fonds nouvellement déposés pourraient faire face à la même exposition si le code de l'attaquant continuait à contrôler les autorisations de dépense.
La société a recommandé d'effacer ou de remplacer l'autorisation et de déplacer les actifs restants vers un portefeuille sécurisé. De telles actions de récupération nécessitent de la prudence car l'adresse affectée peut exécuter des instructions malveillantes tant que la délégation persiste.
L'avertissement était basé sur l'état de délégation observé au bloc 26 188 153. L'alerte originale d'ExVul n'a pas établi si la victime avait ensuite supprimé le code malveillant ou récupéré des actifs.
Aucun arrangement de remboursement, transaction de récupération ou action des forces de l'ordre n'a été identifié dans l'enquête fournie.
L'EIP-7702 a déjà soulevé des préoccupations de sécurité similaires
La dernière attaque signalée fait suite à des avertissements précédents de chercheurs en sécurité blockchain concernant des délégations de compte malveillantes.
En mai 2025, le teneur de marché crypto Wintermute a identifié une utilisation répandue de contrats EIP-7702 conçus pour vider automatiquement les fonds des portefeuilles Ethereum compromis.
La recherche de Wintermute a révélé que plus de 97 % des délégations EIP-7702 observées à ce stade pointaient vers des contrats utilisant un code identique. Son analyse a associé bon nombre de ces délégations à des balayeurs automatisés qui pouvaient transférer l'ETH entrant vers des adresses contrôlées par l'attaquant.
Les préoccupations de sécurité antérieures entourant la mise à niveau Pectra d'Ethereum étaient centrées sur des attaquants abusant des fonctionnalités de délégation de portefeuille introduites par l'EIP-7702. Les chercheurs en sécurité ont averti que le code malveillant pouvait rester connecté aux comptes après que les victimes ont terminé l'autorisation initiale.
Un incident distinct impliquant les jetons World Liberty Financial en septembre 2025 a soulevé des préoccupations similaires. L'enquêteur blockchain Yu Xian a rapporté que les attaquants utilisaient des autorisations de portefeuille compromises et la délégation EIP-7702 pour cibler les détenteurs après que les transferts de jetons sont devenus disponibles.
Les attaques de phishing contre les détenteurs de jetons WLFI impliquaient des contrats de délégation malveillants qui permettaient aux attaquants d'exécuter des transactions non autorisées. Les enquêteurs ont lié l'activité à des identifiants de portefeuille compromis et à des autorisations frauduleuses.
En juillet 2026, un autre incident de phishing sur Ethereum impliquant près d'un million de dollars a démontré à quel point les approbations de portefeuille dangereuses peuvent exposer les avoirs en cryptomonnaie. Ce cas impliquait des autorisations de transaction malveillantes et n'a pas été établi comme étant la même méthode d'exploitation que celle signalée contre sven.eth.
La spécification EIP-7702 d'Ethereum identifie plusieurs mesures de protection pour les développeurs créant des contrats de délégation, notamment la protection contre la relecture, les paramètres de transaction authentifiés et les procédures d'initialisation sécurisées.
La spécification avertit que les contrats de délégation mal implémentés peuvent donner aux acteurs malveillants un contrôle presque total sur le compte affecté. Elle recommande de vérifier soigneusement les autorisations accordées au code délégué, en particulier lorsque des parties externes peuvent soumettre des transactions au nom des propriétaires de portefeuille.
L'alerte du 14 octobre d'ExVul a identifié le contrat malveillant, l'adresse du contrôleur et le compte affecté, mais n'a pas divulgué si la victime avait depuis remplacé l'autorisation. L'enquête a enregistré la délégation suspecte comme active au bloc 26 188 153.
