Tyveri av Ethereum-lommebok
En Ethereum-lommebok tilknyttet sven.eth har angivelig mistet 9.1231 ETH, verdt omtrent $22,770, samt 1.69271471 TAPEETH-tokens etter at en angriper utnyttet en ondsinnet EIP-7702-autorisering for å få kontroll over kontoen. Blockchain-sikkerhetsfirmaet ExVul rapporterte om hendelsen den 14. oktober og identifiserte en angriper-sponset transaksjon som aktiverte ondsinnet kode som tidligere var autorisert av lommebok-eieren.
Angrepsmetode
Firmaet tilskrev tyveriet til en usikker delegasjon og forklarte at angriperen tappet lommeboken uten å utnytte den underliggende DeFi-protokollen. Den rapporterte hendelsen involverte lommeboken knyttet til sven.eth og en angriper-kontrollert adresse som begynner med 0x9208. Ifølge ExVuls etterforskning tillot autoriseringen kode installert gjennom Ethereums EIP-7702-mekanisme å operere med lommebokens tillatelser.
«Ingen flash-lån eller AMM-manipulasjon var involvert.»
ExVul identifiserte transaksjonshashen som 0x36e0d1491c14e3d8e50bc70d73675b89d2d4712814d16f808f957c84fde820ee og knyttet aktiviteten til en sponset type-4 Ethereum-transaksjon. Slike transaksjoner støtter EIP-7702-autoriseringer, som tillater vanlige lommebokadresser å utføre smart kontraktskode.
Konsekvenser av angrepet
Etter det rapporterte tyveriet advarte ExVul om at den ondsinnede delegasjonen til lommeboken forble aktiv ved Ethereum-blokk 26,188,153. Advarselen gjelder en funksjon av EIP-7702: å sette en delegasjon fjerner den ikke automatisk når transaksjonen er ferdig. Den autoriserte kontrakten kan forbli knyttet til lommeboken til kontoens eier erstatter eller fjerner delegasjonen.
ExVul advarte brukere mot å overføre nye eiendeler til den berørte adressen mens den mistenkelige delegasjonen forble aktiv. Nyinnskuddte midler kan stå overfor den samme eksponeringen hvis angriperens kode fortsatt kontrollerte utgiftsrettighetene. Firmaet anbefalte å fjerne eller erstatte autorisasjonen og flytte gjenværende eiendeler til en sikker lommebok.
Historiske bekymringer
Den siste rapporterte angrepet følger tidligere advarsler fra blockchain-sikkerhetsforskere om ondsinnede konto-delegasjoner. I mai 2025 identifiserte kryptomarkedsskaperen Wintermute utbredt bruk av EIP-7702-kontrakter designet for automatisk å tømme midler fra kompromitterte Ethereum-lommebøker. Deres analyse knyttet mange av disse delegasjonene til automatiserte feiere som kunne overføre innkommende ETH til angriper-kontrollerte adresser.
ExVuls varsel den 14. oktober identifiserte den ondsinnede kontrakten, kontrolleradressen og den berørte kontoen, men avslørte ikke om offeret hadde erstattet autorisasjonen siden den gang. Etterforskningen registrerte den mistenkelige delegasjonen som aktiv ved blokk 26,188,153.
