7702

Согласно отчету The Defiant, разработчик nicolashw 30 октября представил проект предложения по основным улучшениям Ethereum, который предполагает возможность постоянного отключения функции делегирования EIP-7702 для внешних аккаунтов (EOA), при этом сохраняя оригинальный адрес, обычные переводы и возможность вызова контрактов.Эта операция необратима и, в отличие от простого удаления текущего делегирования, может предотвратить повторное разрешение аккаунта на выполнение кода смарт-контракта от его имени в будущем, но не может остановить перевод средств после утечки приватного ключа, не отменит уже существующие разрешения на токены и может повлиять на восстановление аккаунтов и доступ к активам, которые зависят от функции делегирования.На данный момент проект еще не объединен и не получил официального номера EIP; если он будет принят в дальнейшем, его все равно нужно будет активировать через обновление сети Ethereum.

Основатель Slow Mist Ю Сян в твите заявил, что хакеры Binance выбрали механизм EIP-7702 на Ethereum, чтобы упростить работу по очистке, то есть массово украсть токены с горячих кошельков, связанных с Binance.Ю Сян отметил, что с точки зрения блокчейна действия хакеров были довольно грубыми, и перед реальным кражей они провели несколько часов подготовительных тренировок. Он подчеркнул, что сам механизм EIP-7702 не имеет проблем, и даже без этого протокола существуют другие способы для выполнения аналогичных операций.

Согласно данным на блокчейне, один из украденных горячих кошельков Binance, Binance 14, отменил авторизацию EIP-7702 30 октября в 8:10 по пекинскому времени. Этот инцидент с Binance связан с механизмом авторизации EIP-7702, после подписания такой авторизации кошелек будет передан под контроль определенной программы до отмены авторизации.Эта атака злоупотребила данным механизмом. Нападающему удалось заставить горячий кошелек Binance подписать авторизацию EIP-7702, передав контроль над кошельком заранее развернутому злонамеренному контракту-очистителю. Как только авторизация вступает в силу, этот злонамеренный контракт получает права на управление кошельком, что позволяет автоматически массово переводить активы, и весь процесс больше не требует дополнительной подписи от владельца кошелька.

Вокруг инцидента с возможной атакой на Binance существует мнение, что хакеры могли использовать механизм Ethereum EIP-7702 для контроля над кошельками и вывода средств. Пользователь X 0xVEER опубликовал сообщение, в котором разработчик 0xjustadev еще около двух лет назад во время обсуждения EIP-7702 предупреждал о такой ситуации. В настоящее время официальное подтверждение связи этого инцидента с EIP-7702 от Binance не получено, вышеуказанное является лишь мнением сообщества.Прилагаемый скриншот показывает, что в октябре 2024 года на форуме сообщества Ethereum в обсуждении EIP-7702 (Set EOA account code) разработчик указал, что тогда методы фишинга в основном основывались на достаточно читаемых и легко имитируемых подписях EIP-712, в то время как это предложение могло позволить злоумышленникам выводить все ценные активы, включая нативные токены, с помощью менее читаемых и более сложных для имитации подписей. Этот разработчик также выразил опасения, что кошельки могут в результате этого принять высоко централизованные контракты с белыми списками подписей, что приведет к регрессу в безопасности и децентрализации.

Сооснователь Cobo Шэнь Юй опубликовал сообщение на платформе X, в котором заявил, что 7702 поручения 14 горячих кошельков Binance не были отменены более 2 часов.Шэнь Юй отметил, что одна транзакция на сумму 2961 ETH, отправленная на Binance 14, из-за низкой комиссии за газ все еще находится в состоянии ожидания. Как только эта транзакция будет добавлена в блокчейн, и базовая комиссия упадет ниже 4.4 gwei, злоумышленник может снова перевести около 2961 ETH.

Сообщение ChainCatcher, согласно мониторингу Specter, что долгосрочный неактивный поставщик ликвидности PancakeSwap (LP) потерял около 2,96 миллиона долларов из-за подписания злонамеренного EIP-7702.Сообщается, что злоумышленник удалил ликвидность в размере около 1,48 миллиона долларов BSC-USD и 1,48 миллиона долларов BUSD, а затем обменял BUSD на ETH. В настоящее время злоумышленник внес около 1,46 миллиона долларов в Tornado Cash, а оставшиеся около 1,48 миллиона долларов USDT все еще находятся на адресе злоумышленника.

According to market news, attackers exploited a flawed EIP-7702 account to steal 1,988.5 QNT (approximately 54.93 ETH) from the QNT reserve pool. The root cause is that the reserve pool administrator EOA delegated the code to the BatchExecutor contract via EIP-7702, and this contract set the permissionless BatchCall contract as the authorized caller.Since the BatchCall.batch() function did not have any permission checks set, any external caller could invoke it, ultimately leading to the depletion of the reserve pool assets.

Slow Mist posted on platform X that MistEye detected potential suspicious activities related to Fusion. The root cause is a vulnerability in the underlying contract commissioned by an EOA account controlled by the project team through EIP-7702, which allows arbitrary external calls, enabling attackers to create and configure malicious circuit breaker contracts for PlasmaVault, thereby extracting funds from the contract.

ChainCatcher message, the GoPlus browser security plugin now fully supports EIP-7702 detection features, providing stronger security protection for Web3 users.This update includes core features such as real-time risk alerts, advanced threat detection, and protection against malicious contracts, capable of instantly identifying and intercepting various attacks based on the EIP-7702 protocol during transactions. As one of the first platforms to focus on the security threats of this protocol, GoPlus recommends users update their extensions in a timely manner to arm themselves with the latest security tools and ensure asset safety.

ChainCatcher news, according to Protos, Wintermute research shows that nearly half of the Ethereum Improvement Proposal 7702 (EIP-7702) user authorizations are associated with criminal activities such as phishing and fund theft.The report states that since May 7 of this year, users have activated this feature 1,580,930 times, with the Wintermute team marking 768,275 instances (48%) as crime-related. This sharply contrasts with Vitalik Buterin's earlier claim that this temporary smart contract feature would provide users with "superpowers" and "guardrails."EIP-7702 allows users to temporarily convert their signed accounts into smart contract wallets during transactions, aimed at enhancing user experience and security.

ChainCatcher news, Slow Mist's Yu Xian stated that a user was phished after participating in the WLFI private placement due to a private key leak, resulting in the complete theft of assets from their MetaMask wallet.The attack is suspected to exploit the EIP-7702 mechanism, where once the user injects gas or attempts to withdraw WLFI, their assets will be automatically transferred away. It is recommended that if rescue is needed, users can try to use Flashbots for a block race operation, but the threshold is relatively high. Users are reminded to be highly vigilant about the secondary risks brought by private key leaks.

ChainCatcher news, according to on-chain security analyst Scam Sniffer (@realScamSniffer), on August 26, a user lost $235,977 worth of crypto assets after signing a malicious EIP-7702 batch transaction.

ChainCatcher message, Slow Mist founder Yu Xian forwarded a security warning issued by Scam Sniffer, stating that today another user lost approximately $1.54 million due to signing EIP-7702 phishing batch transactions, involving multiple tokens staked on Ethereum, including ETH and BTC.This phishing method utilizes EIP-7702 to delegate the user's EOA address authorization to MetaMask: EIP-7702 Delegator, and completes subsequent token transfer operations through its contract calls. This phishing technique has been industrially practiced by mainstream phishing gangs, and if users are inadvertently induced to trade, they will lose all account assets.Yu Xian reminds users to verify the authenticity of websites and links before confirming transactions to prevent fraud.

ChainCatcher news, according to Scam Sniffer monitoring, some users have lost approximately $1.54 million due to signing EIP-7702 phishing batch transactions. The victims signed EIP-7702 phishing batch transactions, which included multiple token transfers and NFT approval operations.

ChainCatcher news, according to official information, GoPlus Security has issued a security alert. Recently, new phishing attacks targeting EIP-7702 smart accounts have re-emerged on the Ethereum mainnet, BNB Chain, and Base chain. In just 3 days since its launch, thousands of addresses have fallen victim, with losses exceeding $10,000 in crypto assets. The attackers use one address for authorization phishing; once the user authorizes, that address can automatically transfer the BNB or other tokens that the user subsequently deposits.The GoPlus security team reminds users: do not transfer or authorize to unknown addresses. The current 7702 scam is leveraging historically leaked private key addresses for large-scale phishing attacks, so please remain vigilant.

ChainCatcher news, according to TheBlock, Wintermute recently issued a warning that the Ethereum Pectra upgrade may expose users to automated attacks. The EIP-7702 feature (account abstraction improvement) in the Ethereum Pectra upgrade is being maliciously exploited, with over 80% of authorizations being used for automated attacks. Blockchain security company Scam Sniffer recently monitored a user who lost nearly $150,000 due to a phishing attack, where the attacker deployed a copy-paste contract named "CrimeEnjoyor" that can automatically drain wallets with leaked private keys. EIP-7702, proposed by Ethereum founder Vitalik Buterin, aims to enhance user experience by temporarily granting wallets smart contract functionality, including batch processing multiple transactions, sponsoring gas fees, using biometric/social verification, and setting single transaction limits.According to Wintermute's Dune dashboard, the vast majority of EIP-7702 authorizations flow to malicious contracts with similar functions. Security expert Taylor Monahan pointed out that EIP-7702 makes draining addresses "cheaper and easier." Wintermute commented, "It's both absurd and cruel that the same copied bytecode occupies most of the EIP-7702 authorizations."BlockBeats previously reported that SlowMist founder Yu Xian stated that the biggest users of the new Ethereum mechanism EIP-7702 are theft gangs (rather than phishing organizations). EIP-7702 allows for the automatic transfer of funds from wallets with leaked private keys or mnemonic phrases through authorizations, with over 97% of EIP-7702 delegations pointing to theft contracts.

ChainCatcher message, Slow Mist's Yu Xian posted on platform X, stating that the "most High" users of the new mechanism EIP-7702 are actually coin theft gangs (not phishing gangs), which facilitate the automatic transfer of related funds from wallet addresses with leaked private keys/mnemonic phrases... Over 97% of EIP-7702 delegations are authorized to such coin theft contracts.

ChainCatcher news, according to Beincrypto, the blockchain security platform Scam Sniffer has disclosed that the notorious phishing organization Inferno Drainer has recently launched a new type of attack utilizing the upcoming EIP-7702 feature in Ethereum, resulting in individual user losses of up to $150,000.EIP-7702 is a proposal in the Ethereum Pectra upgrade that allows external accounts (EOA) to temporarily act as smart contract wallets during transactions. Attackers exploit this by using authorized MetaMask wallets to batch transfer user assets, rather than directly controlling wallet permissions.Yuxian, the founder of Slow Mist Technology, stated that such attacks have evolved from traditional private key theft to utilizing the "execute" command to perform malicious authorizations in the background. Security experts recommend that users regularly check their token authorization status and use tools like Etherscan to identify abnormal delegation behaviors to mitigate potential risks.