Кошелек Ethereum, связанный с sven.eth, потерял 9.1231 ETH стоимостью примерно $22,770 и 1.69271471 TAPEETH токенов после того, как атакующий использовал вредоносную EIP-7702 авторизацию для получения контроля над аккаунтом. Компания ExVul по блокчейн-безопасности сообщила об инциденте 14 октября 2026 года, идентифицировав спонсируемую атакующим транзакцию, которая активировала вредоносный код, ранее авторизованный владельцем кошелька. Фирма объяснила кражу небезопасным делегированием, уточнив, что атакующий опустошил кошелек без эксплуатации базового DeFi протокола.
Ключевые факты: Потери 9.1231 ETH (~$22,770) + 1.69271471 TAPEETH; EIP-7702 type-4 транзакция; malicious delegation остается активной на блоке 26,188,153; атакующий использовал подписанную жертвой авторизацию; вызов PodMining.claim() для получения rewards; не было flash loan или AMM манипуляции; предыдущие подобные атаки в мае 2025, сентябре 2025 и июле 2026.
Инцидент затронул кошелек, связанный с sven.eth, и атакующего с адресом, начинающимся на 0x9208. Согласно расследованию ExVul, авторизация позволила коду, установленному через механизм EIP-7702 Ethereum, работать с разрешениями кошелька. Зарегистрированная кража включала 9.1231 ETH и 1.69271471 TAPEETH, при этом ETH часть оценивалась примерно в $22,770 на момент публикации выводов ExVul. Фирма безопасности не предоставила отдельную долларовую оценку для TAPEETH токенов.
ExVul идентифицировала хэш транзакции как 0x36e0d1491c14e3d8e50bc70d73675b89d2d4712814d16f808f957c84fde820ee, связав активность со спонсируемой type-4 Ethereum транзакцией. Такие транзакции поддерживают EIP-7702 авторизации, которые позволяют обычным адресам кошельков выполнять код смарт-контрактов. Расследование приписало атаку адресу 0x9208097c007be15e28b20e94e66870a3f9f820bc. Кошелек жертвы был идентифицирован как 0xd8ba9e5886b7000bace2c9dbdd0be98ac77d4a28, в то время как malicious delegation указывала на 0x0366b55f948a688888ca6e029ad0831f6ec260d1.
| Параметр атаки | Значение | Описание |
|---|---|---|
| Жертва | sven.eth | Владелец скомпрометированного кошелька |
| Адрес жертвы | 0xd8ba9e5886b7000bace2c9dbdd0be98ac77d4a28 | Компрометированный кошелек |
| Атакующий | 0x9208097c007be15e28b20e94e66870a3f9f820bc | Адрес, контролировавший malicious код |
| Malicious delegation | 0x0366b55f948a688888ca6e029ad0831f6ec260d1 | Контракт с вредоносным кодом |
| Транзакция | 0x36e0d1491c14e3d8e50bc70d73675b89d2d4712814d16f808f957c84fde820ee | Type-4 транзакция с EIP-7702 авторизацией |
| Блок Ethereum | 26,188,153 | Блок, где зафиксирована активная delegation |
| Потери ETH | 9.1231 ETH (~$22,770) | Основная часть украденных средств |
| Потери TAPEETH | 1.69271471 TAPEETH | Reward токены от PodMining |
Согласно алерту безопасности, атакующий отправил транзакцию, содержащую EIP-7702 авторизацию, подписанную жертвой. Как только Ethereum обработал эту авторизацию, последующие вызовы к затронутому кошельку выполняли инструкции делегированного контракта в контексте аккаунта жертвы. Контролируемый атакующим код предположительно содержал фиксированный адрес, авторизованный для управления кошельком. Контроллер затем вызвал функцию PodMining.claim(), перевел полученные TAPEETH rewards и вывел баланс ETH кошелька.
ExVul подчеркнула, что "не было flash loan или AMM манипуляции". Её выводы идентифицировали авторизацию аккаунта как точку входа, без доказательств в предоставленном анализе эксплойта, связанного с liquidity pools или манипуляцией ценами. Это важное уточнение, поскольку многие атаки на DeFi протоколы используют flash loans для манипуляции ценами или ликвидностью, но в данном случае атака была направлена исключительно на механизм делегирования EIP-7702.
Критический момент: Атакующий оплатил комиссию транзакции и отправил подписанную авторизацию. Владельцу кошелька не нужно было финансировать или транслировать транзакцию, которая активировала malicious delegation. Подпись предоставила полномочия для кошелька выполнять код атакующего.
EIP-7702 является частью разработки account abstraction Ethereum, позволяя externally owned accounts (EOA) временно получать функциональность смарт-контрактов через делегированный код. Согласно официальной спецификации Ethereum, пользователь подписывает авторизацию, идентифицирующую смарт-контракт, который будет контролировать поведение выполнения аккаунта. После отправки через совместимую транзакцию Ethereum записывает delegation и запускает назначенный код, когда кошелек получает соответствующие вызовы.
Эта функция поддерживает легитимные приложения, включая спонсируемые транзакции, batch-обработку транзакций и более гибкие разрешения кошелька. Пользователь может авторизовать множественные действия через одну транзакцию или позволить третьей стороне покрыть сетевую комиссию. Однако тот же механизм несет риски безопасности, когда аккаунт делегирует выполнение вредоносному коду. Спецификация EIP-7702 Ethereum объясняет, что плохо спроектированные или malicious delegation контракты могут предоставить внешней стороне обширный контроль над аккаунтом.
| Компонент EIP-7702 | Функция | Риск при malicious использовании |
|---|---|---|
| Авторизация | Подпись пользователя для делегирования | Предоставляет полный контроль над аккаунтом |
| Type-4 транзакция | Поддерживает EIP-7702 авторизации | Активирует delegated код |
| Delegation контракт | Код, выполняемый от имени кошелька | Может содержать вредоносные инструкции |
| Controller адрес | Адрес, управляющий delegated кодом | Инициирует вредоносные транзакции |
| Account context | Выполнение в контексте жертвы | Транзакции выглядят как легитимные |
В этом инциденте атакующий предположительно оплатил комиссию транзакции и отправил подписанную авторизацию. Владелец кошелька не нуждался в финансировании или трансляции транзакции, которая активировала malicious delegation. Предоставленная подпись дала полномочия для кошелька выполнять код атакующего. После активации код работал в контексте аккаунта жертвы, позволяя контроллеру инициировать зарегистрированные переводы активов.
ExVul заявила, что эксплойт "не является багом TAPEETH / PodMining". Этот вывод отличает механизм авторизации от уязвимости в токене или reward контракте. Фирма не установила, как атакующий получил авторизацию жертвы. Её публичные выводы не идентифицируют конкретный фишинговый сайт, вредоносное приложение или скомпрометированный интерфейс подписи. Это означает, что жертва могла подписать авторизацию через социальную инженерию, фишинговый сайт или вредоносное приложение, не осознавая последствий.
Спецификация EIP-7702 идентифицирует несколько защитных механизмов для разработчиков, создающих delegation контракты, включая защиту от replay, аутентифицированные параметры транзакций и безопасные процедуры инициализации. Спецификация предупреждает, что плохо реализованные delegation контракты могут дать злоумышленникам почти полный контроль над затронутым аккаунтом. Она рекомендует тщательно проверять разрешения, предоставленные delegated коду, особенно когда внешние стороны могут отправлять транзакции от имени владельцев кошельков.
Механизм атаки: Жертва подписала EIP-7702 авторизацию → Атакующий отправил type-4 транзакцию с этой подписью → Ethereum активировал delegated код → Код выполнился в контексте аккаунта жертвы → Контроллер вызвал PodMining.claim() и вывел все средства.
После зарегистрированной кражи ExVul предупредила, что malicious delegation кошелька оставалась активной на блоке Ethereum 26,188,153. Предупреждение касается особенности EIP-7702: установка delegation не удаляет её автоматически при завершении транзакции. Авторизованный контракт может оставаться связанным с кошельком до тех пор, пока владелец аккаунта не заменит или не очистит delegation.
Официальное руководство по безопасности Ethereum объясняет, что владелец кошелька сохраняет контроль через исходный приватный ключ, включая возможность сбросить delegation путем авторизации нулевого адреса. Однако malicious delegated код может оставаться опасным до тех пор, пока изменение не будет успешно обработано. ExVul предупредила пользователей против перевода новых активов на затронутый адрес, пока подозрительная delegation остается активной. Недавно депонированные средства могут столкнуться с той же экспозицией, если код атакующего продолжит контролировать разрешения на расходование.
| Риск | Описание | Меры защиты |
|---|---|---|
| Активная delegation | Malicious код остается связанным с кошельком | Немедленно очистить или заменить авторизацию |
| Будущие депозиты | Новые средства могут быть украдены | Не переводить активы на затронутый адрес |
| Автоматический sweep | Код может автоматически переводить входящие средства | Переместить оставшиеся активы в безопасный кошелек |
| Незавершенные транзакции | Delegation может выполнять отложенные команды | Мониторить активность кошелька после очистки |
Фирма рекомендовала очистить или заменить авторизацию и переместить оставшиеся активы в безопасный кошелек. Такие действия по восстановлению требуют осторожности, поскольку затронутый адрес может выполнять вредоносные инструкции, пока delegation сохраняется. Предупреждение было основано на статусе delegation, наблюдаемом на блоке 26,188,153. Оригинальный алерт ExVul не установил, удалила ли жертва впоследствии malicious код или восстановила какие-либо активы.
Никакие договоренности о возмещении, транзакции восстановления или действия правоохранительных органов не были идентифицированы в предоставленном расследовании. Это подчеркивает важность проактивных мер защиты, поскольку после компрометации восстановление средств часто невозможно. В отличие от традиционных банковских систем, где транзакции могут быть отменены, блокчейн транзакции необратимы, что делает предотвращение атак критически важным.
Для пользователей, подозревающих компрометацию через EIP-7702, критически важно немедленно проверить статус delegation своих кошельков. Если обнаружена подозрительная авторизация, необходимо срочно очистить её путем авторизации нулевого адреса и переместить все средства на новый, безопасный кошелек. Также рекомендуется отозвать все активные approvals и разрешения, которые могли быть предоставлены через скомпрометированный аккаунт.
Критические действия: Проверить статус EIP-7702 delegation → Очистить malicious авторизацию через zero address → Переместить все активы в новый кошелек → Отозвать все approvals → Мониторить активность старого кошелька.
Последняя зарегистрированная атака следует за предыдущими предупреждениями от исследователей блокчейн-безопасности о malicious account delegations. В мае 2025 года крипто маркет-мейкер Wintermute идентифицировал широкое использование EIP-7702 контрактов, предназначенных для автоматического опустошения средств из скомпрометированных Ethereum кошельков. Исследование Wintermute обнаружило, что более 97% наблюдаемых EIP-7702 delegations на том этапе указывали на контракты, использующие идентичный код. Его анализ связал многие из этих delegations с автоматическими sweepers, которые могли переводить входящий ETH на адреса, контролируемые атакующими.
Более ранние опасения безопасности, связанные с обновлением Ethereum Pectra, сосредоточились на злоумышленниках, злоупотребляющих функциями делегирования кошельков, введенными через EIP-7702. Исследователи безопасности предупреждали, что malicious код может оставаться подключенным к аккаунтам после того, как жертвы завершили первоначальную авторизацию. Эта персистентность делает EIP-7702 особенно опасным, поскольку одна подписанная авторизация может привести к многократным кражам в течение длительного периода.
| Дата | Инцидент | Особенности |
|---|---|---|
| Май 2025 | Wintermute исследование | 97% EIP-7702 delegations использовали идентичный malicious код |
| Сентябрь 2025 | World Liberty Financial токены | Атаки на WLFI holders через compromised permissions |
| Июль 2026 | Фишинг на ~$1M | Malicious transaction permissions (другой метод) |
| Октябрь 2026 | sven.eth атака | $22,770 потерь через EIP-7702 delegation |
Отдельный инцидент с World Liberty Financial токенами в сентябре 2025 года вызвал аналогичные опасения. Блокчейн-следователь Yu Xian сообщил, что атакующие использовали скомпрометированные разрешения кошельков и EIP-7702 delegation для таргетинга holders после того, как переводы токенов стали доступны. Фишинговые атаки против WLFI token holders включали malicious delegation контракты, которые позволяли атакующим выполнять несанкционированные транзакции. Следователи связали активность со скомпрометированными учетными данными кошельков и мошенническими авторизациями.
В июле 2026 года другой инцидент фишинга Ethereum с почти $1 миллионом продемонстрировал, насколько опасными могут быть вредоносные разрешения кошельков для криптовалютных холдингов. Этот случай включал malicious transaction permissions и не был установлен как тот же метод эксплойта, о котором сообщалось против sven.eth. Однако он подчеркивает общую тенденцию: злоумышленники все чаще используют механизмы авторизации и делегирования для получения контроля над кошельками жертв.
Спецификация EIP-7702 идентифицирует несколько защитных механизмов для разработчиков, создающих delegation контракты, включая replay protection, authenticated transaction parameters и secure initialization procedures. Спецификация предупреждает, что плохо реализованные delegation контракты могут дать злоумышленникам почти полный контроль над затронутым аккаунтом. Она рекомендует тщательно проверять разрешения, предоставленные delegated коду, особенно когда внешние стороны могут отправлять транзакции от имени владельцев кошельков.
Алерт ExVul от 14 октября идентифицировал malicious контракт, контроллер адрес и затронутый аккаунт, но не раскрыл, заменила ли жертва с тех пор авторизацию. Расследование зафиксировало подозрительную delegation как активную на блоке 26,188,153. Для экосистемы Ethereum этот инцидент подчеркивает необходимость улучшенного образования пользователей о рисках account abstraction и важности тщательной проверки любых подписываемых авторизаций.
Уроки для сообщества: Никогда не подписывайте EIP-7702 авторизации без полной проверки контракта; используйте hardware кошельки для дополнительной защиты; регулярно проверяйте активные delegations и approvals; educate себя о рисках account abstraction перед использованием новых функций.
По мере того как Ethereum продолжает развивать account abstraction через EIP-7702 и связанные улучшения, пользователи должны балансировать преимущества новых функций с повышенными рисками безопасности. Механизмы делегирования предлагают мощные возможности для улучшения пользовательского опыта, но также создают новые векторы атак, которые злоумышленники активно эксплуатируют. Успешная защита требует комбинации технического понимания, осторожного поведения и использования лучших практик безопасности.
«В мире децентрализованных финансов ваша подпись — это ваша сила и ваша уязвимость. Каждая транзакция, каждое разрешение, каждая подпись требуют такого же внимания, как передача ключей от вашего дома незнакомцу».
— Андреас Антонопулос, эксперт по Bitcoin и безопасности блокчейн-систем
