Гаманець Ethereum, пов'язаний із sven.eth, як повідомляється, втратив 9.1231 ETH, вартістю приблизно $22,770, та 1.69271471 токенів TAPEETH після того, як зловмисник використав шкідливу авторизацію EIP-7702 для отримання контролю над обліковим записом.
Підсумок
- Компанія з безпеки ExVul повідомила, що гаманець Ethereum втратив 9.1231 ETH через шкідливе делегування облікового запису.
- Повідомлена атака включала 1.69271471 токенів TAPEETH разом з Ethereum вартістю приблизно $22,770 на момент виявлення.
- Спонсорована транзакція EIP-7702, як повідомляється, дозволила контрольованому зловмисником коду виконуватися через гаманець жертви.
- ExVul приписала крадіжку шкідливій авторизації гаманця, а не вразливості в PodMining або TAPEETH.
- Компанія з безпеки попередила, що шкідливе делегування залишалося активним на блоці Ethereum 26,188,153 після цього.
Компанія з блокчейн-безпеки ExVul повідомила про інцидент 14 жовтня, ідентифікувавши спонсоровану зловмисником транзакцію, яка активувала шкідливий код, раніше авторизований власником гаманця. Компанія приписала крадіжку небезпечному делегуванню, пояснивши, що зловмисник спустошив гаманець, не використовуючи базовий DeFi-протокол.
Повідомлений інцидент стосувався гаманця, пов'язаного з sven.eth, та контрольованої зловмисником адреси, що починається з 0x9208. Згідно з розслідуванням ExVul, авторизація дозволила коду, встановленому через механізм Ethereum EIP-7702, працювати з дозволами гаманця.
Атака Ethereum EIP-7702 спустошує ETH та TAPEETH
Повідомлена крадіжка включала 9.1231 ETH та 1.69271471 TAPEETH, причому частина ETH оцінювалася приблизно в $22,770, коли ExVul опублікувала свої висновки. Компанія з безпеки не надала окремої доларової оцінки для токенів TAPEETH.
ExVul ідентифікувала хеш транзакції як 0x36e0d1491c14e3d8e50bc70d73675b89d2d4712814d16f808f957c84fde820ee, пов'язавши активність зі спонсорованою транзакцією Ethereum типу 4. Такі транзакції підтримують авторизації EIP-7702, які дозволяють звичайним адресам гаманців виконувати код смарт-контракту.
Розслідування приписало атаку 0x9208097c007be15e28b20e94e66870a3f9f820bc. Гаманець жертви було ідентифіковано як 0xd8ba9e5886b7000bace2c9dbdd0be98ac77d4a28, тоді як шкідливе делегування вказувало на 0x0366b55f948a688888ca6e029ad0831f6ec260d1.
Згідно з попередженням про безпеку, зловмисник подав транзакцію, що містила авторизацію EIP-7702, підписану жертвою. Після того, як Ethereum обробив цю авторизацію, подальші виклики до постраждалого гаманця виконували інструкції делегованого контракту в обліковому записі жертви.
Контрольований зловмисником код, як повідомляється, містив фіксовану адресу, авторизовану керувати гаманцем. Потім контролер викликав функцію PodMining.claim(), переказав отримані винагороди TAPEETH та вивів баланс ETH гаманця.
ExVul наголосила, що «Жодних флеш-позик або маніпуляцій з AMM не було». Її висновки визначили авторизацію облікового запису як точку входу, без доказів у наданому аналізі експлуатації, що включала б пули ліквідності або маніпуляції з ціною.
Як шкідливе делегування гаманця уможливило крадіжку
EIP-7702 є частиною розробки абстракції облікових записів Ethereum, що дозволяє зовнішньо керованим обліковим записам тимчасово отримувати функціональність смарт-контракту через делегований код.
Згідно з офіційною специфікацією Ethereum, користувач підписує авторизацію, що ідентифікує смарт-контракт, який контролюватиме поведінку виконання облікового запису. Після подання через сумісну транзакцію Ethereum записує делегування та запускає призначений код, коли гаманець отримує відповідні виклики.
Функція підтримує законні застосування, зокрема спонсоровані транзакції, пакетування транзакцій та гнучкіші дозволи для гаманців. Користувач може авторизувати кілька дій через одну транзакцію або дозволити третій стороні покрити комісію мережі.
Однак той самий механізм несе безпекові ризики, коли акаунт делегує виконання шкідливому коду. Специфікація EIP-7702 Ethereum пояснює, що погано розроблені або шкідливі контракти делегування можуть надати зовнішній стороні широкий контроль над акаунтом.
У цьому інциденті, за повідомленнями, атакувальник сплатив комісію за транзакцію та подав підписану авторизацію. Власнику гаманця не потрібно було фінансувати або транслювати транзакцію, яка активувала шкідливе делегування.
Підпис надав повноваження гаманцю виконувати код атакувальника. Після активації код працював у контексті акаунта жертви, дозволяючи контрольній адресі ініціювати повідомлені перекази активів.
ExVul заявила, що експлойт «не є помилкою TAPEETH / PodMining». Цей висновок відокремлює механізм авторизації від уразливості в токені або контракті винагороди.
Фірма не встановила, як атакувальник отримав авторизацію жертви. Її публічні висновки не ідентифікують конкретний фішинговий вебсайт, шкідливий застосунок або скомпрометований інтерфейс підпису.
Шкідлива авторизація може загрожувати майбутнім депозитам
Після повідомленого крадіжки ExVul попередила, що шкідливе делегування гаманця залишалося активним на блоці Ethereum 26 188 153.
Попередження стосується особливості EIP-7702: встановлення делегування не видаляє його автоматично після завершення транзакції. Авторизований контракт може залишатися пов'язаним з гаманцем, доки власник акаунта не замінить або не очистить делегування.
Офіційне керівництво з безпеки Ethereum пояснює, що власник гаманця зберігає контроль через оригінальний приватний ключ, включаючи можливість скинути делегування шляхом авторизації нульової адреси. Однак шкідливий делегований код може залишатися небезпечним, доки зміну не буде успішно оброблено.
ExVul попередила користувачів не переказувати нові активи на уражену адресу, поки підозріле делегування залишалося активним. Нові депоновані кошти могли б зазнати того самого впливу, якби код атакувальника продовжував контролювати дозволи на витрати.
Фірма рекомендувала очистити або замінити авторизацію та перемістити залишкові активи до безпечного гаманця. Такі дії з відновлення вимагають обережності, оскільки уражена адреса може виконувати шкідливі інструкції, поки делегування зберігається.
Попередження базувалося на статусі делегування, спостереженому на блоці 26 188 153. Початкове оповіщення ExVul не встановило, чи жертва згодом видалила шкідливий код або відновила будь-які активи.
У наданому розслідуванні не було виявлено жодної домовленості про відшкодування, транзакції з відновлення або дій правоохоронних органів.
EIP-7702 вже раніше викликала подібні безпекові занепокоєння
Остання повідомлена атака слідує за попередніми попередженнями дослідників з безпеки блокчейну про шкідливі делегування акаунтів.
У травні 2025 року криптомаркетмейкер Wintermute виявив широке використання контрактів EIP-7702, розроблених для автоматичного виведення коштів із скомпрометованих гаманців Ethereum.
Дослідження Wintermute виявило, що понад 97% спостережуваних делегувань EIP-7702 на тому етапі вказували на контракти, які використовували ідентичний код. Його аналіз пов'язав багато з цих делегувань з автоматичними збирачами, які могли переказувати вхідний ETH на контрольовані атакувальником адреси.
Раніші безпекові занепокоєння навколо оновлення Pectra в Ethereum зосереджувалися на атакувальниках, які зловживали функціями делегування гаманців, запровадженими через EIP-7702. Дослідники з безпеки попереджали, що шкідливий код може залишатися пов'язаним з акаунтами після того, як жертви завершили початкову авторизацію.
Окремий інцидент за участю токенів World Liberty Financial у вересні 2025 року викликав подібні занепокоєння. Дослідник блокчейну Yu Xian повідомив, що атакувальники використовували скомпрометовані дозволи гаманців та делегування EIP-7702 для націлювання на власників після того, як перекази токенів стали доступними.
Фішингові атаки проти власників токенів WLFI включали шкідливі контракти делегування, які дозволяли зловмисникам виконувати несанкціоновані транзакції. Слідчі пов'язали цю активність із скомпрометованими обліковими даними гаманця та шахрайськими авторизаціями.
У липні 2026 року ще один фішинговий інцидент в Ethereum, що включав майже 1 мільйон доларів, продемонстрував, наскільки небезпечними можуть бути схвалення гаманця, які можуть наразити криптовалютні активи. Той випадок включав шкідливі дозволи на транзакції та не був встановлений як той самий метод експлуатації, про який повідомлялося проти sven.eth.
Специфікація EIP-7702 Ethereum визначає кілька запобіжних заходів для розробників, які створюють контракти делегування, включаючи захист від повторного відтворення, автентифіковані параметри транзакцій та безпечні процедури ініціалізації.
Специфікація попереджає, що погано реалізовані контракти делегування можуть надати зловмисникам майже повний контроль над ураженим обліковим записом. Вона рекомендує ретельно перевіряти дозволи, надані делегованому коду, особливо коли зовнішні сторони можуть подавати транзакції від імені власників гаманця.
Попередження ExVul від 14 жовтня ідентифікувало шкідливий контракт, адресу контролера та уражений обліковий запис, але не розкрило, чи замінила жертва авторизацію з того часу. Розслідування зафіксувало підозріле делегування як активне на блоці 26,188,153.
