Utente Ethereum perde $22K in attacco al wallet EIP-7702

Un wallet Ethereum associato a sven.eth ha riportato la perdita di 9.1231 ETH, valutati circa $22,770, e 1.69271471 token TAPEETH dopo che un attaccante ha utilizzato un'autorizzazione EIP-7702 malevola per ottenere il controllo dell'account.

• La società di sicurezza ExVul ha riportato che un wallet Ethereum ha perso 9.1231 ETH a causa di una delega malevola dell'account.
• L'attacco segnalato ha coinvolto 1.69271471 token TAPEETH insieme a Ethereum valutato circa $22,770 al momento della rilevazione.
• Una transazione EIP-7702 sponsorizzata ha presumibilmente consentito al codice controllato dall'attaccante di essere eseguito attraverso il wallet della vittima.
• ExVul ha attribuito il furto a un'autorizzazione malevola del wallet, non a una vulnerabilità in PodMining o TAPEETH.
• La società di sicurezza ha avvertito che la delega malevola è rimasta attiva al blocco Ethereum 26,188,153 successivamente.

La società di sicurezza blockchain ExVul ha riportato l'incidente il 14 ottobre, identificando una transazione sponsorizzata dall'attaccante che ha attivato un codice malevolo precedentemente autorizzato dal proprietario del wallet. La società ha attribuito il furto a una delega non sicura, spiegando che l'attaccante ha svuotato il wallet senza sfruttare il protocollo DeFi sottostante.

L'incidente segnalato ha coinvolto il wallet collegato a sven.eth e un indirizzo controllato dall'attaccante che inizia con 0x9208. Secondo l'indagine di ExVul, l'autorizzazione ha consentito al codice installato tramite il meccanismo EIP-7702 di operare con i permessi del wallet.

L'attacco EIP-7702 svuota ETH e TAPEETH

Il furto segnalato ha coinvolto 9.1231 ETH e 1.69271471 TAPEETH, con la porzione di ETH valutata circa $22,770 quando ExVul ha pubblicato le sue scoperte. La società di sicurezza non ha fornito una valutazione separata in dollari per i token TAPEETH.

ExVul ha identificato l'hash della transazione come 0x36e0d1491c14e3d8e50bc70d73675b89d2d4712814d16f808f957c84fde820ee, collegando l'attività a una transazione Ethereum di tipo 4 sponsorizzata. Tali transazioni supportano le autorizzazioni EIP-7702, che consentono agli indirizzi wallet ordinari di eseguire codice di smart contract.

L'indagine ha attribuito l'attacco a 0x9208097c007be15e28b20e94e66870a3f9f820bc. Il wallet della vittima è stato identificato come 0xd8ba9e5886b7000bace2c9dbdd0be98ac77d4a28, mentre la delega malevola puntava a 0x0366b55f948a688888ca6e029ad0831f6ec260d1.

🚨 ALLERTA --- Svuotamento Wallet EIP-7702 su Ethereum

sven.eth è stato svuotato di 9.1231 ETH netti (~$22.77K) più 1.69271471 TAPEETH.

Non è stato coinvolto alcun prestito flash o manipolazione AMM: l'attaccante ha sponsorizzato una transazione di tipo 4 contenente l'autorizzazione EIP-7702 valida della vittima, quindi ha svuotato...
--- ExVul (@exvulsec) 14 ottobre 2026

Secondo l'allerta di sicurezza, l'attaccante ha presentato una transazione contenente un'autorizzazione EIP-7702 firmata dalla vittima. Una volta che Ethereum ha elaborato quell'autorizzazione, le chiamate successive al wallet interessato hanno eseguito le istruzioni del contratto delegato all'interno dell'account della vittima.

Il codice controllato dall'attaccante riportava presumibilmente un indirizzo fisso autorizzato a operare il wallet. Il controllore ha quindi invocato la funzione PodMining.claim(), trasferito i premi TAPEETH risultanti e ritirato il saldo ETH del wallet.

ExVul ha sottolineato che "Non è stato coinvolto alcun prestito flash o manipolazione AMM." Le sue scoperte hanno identificato l'autorizzazione dell'account come punto di ingresso, senza evidenze nell'analisi fornita di un exploit che coinvolgesse pool di liquidità o manipolazione dei prezzi.

Come la delega malevola del wallet ha abilitato il furto

L'EIP-7702 fa parte dello sviluppo dell'astrazione degli account di Ethereum, consentendo agli account di proprietà esterna di acquisire temporaneamente funzionalità di smart contract attraverso codice delegato.

Secondo la specifica ufficiale di Ethereum, un utente firma un'autorizzazione che identifica lo smart contract che controllerà il comportamento di esecuzione dell'account. Una volta presentata tramite una transazione compatibile, Ethereum registra la delega ed esegue il codice designato quando il wallet riceve chiamate pertinenti.

La funzionalità supporta applicazioni legittime, comprese transazioni sponsorizzate, raggruppamento di transazioni e permessi di portafoglio più flessibili. Un utente può autorizzare più azioni attraverso una singola transazione o consentire a una terza parte di coprire la commissione di rete.

Tuttavia, lo stesso meccanismo comporta rischi per la sicurezza quando un account delega l'esecuzione a codice malevolo. La specifica EIP-7702 di Ethereum spiega che contratti di delega mal progettati o malevoli possono concedere a una parte esterna un controllo esteso sull'account.

In questo incidente, l'attaccante ha presumibilmente pagato la commissione di transazione e ha presentato l'autorizzazione firmata. Il proprietario del portafoglio non ha dovuto finanziare o trasmettere la transazione che ha attivato la delega malevola.

La firma fornita autorizzava il portafoglio a eseguire il codice dell'attaccante. Una volta attivato, il codice operava nel contesto dell'account della vittima, consentendo all'indirizzo del controllore di avviare i trasferimenti di asset segnalati.

ExVul ha dichiarato che lo sfruttamento "non è un bug di TAPEETH / PodMining." La conclusione distingue il meccanismo di autorizzazione da una vulnerabilità nel token o nel contratto di ricompensa.

L'azienda non ha stabilito come l'attaccante abbia ottenuto l'autorizzazione della vittima. Le sue scoperte pubbliche non identificano un sito di phishing specifico, un'applicazione malevola o un'interfaccia di firma compromessa.

L'autorizzazione malevola potrebbe minacciare i futuri depositi

Dopo il furto segnalato, ExVul ha avvertito che la delega malevola del portafoglio rimaneva attiva al blocco Ethereum 26.188.153.

L'avviso riguarda una funzionalità dell'EIP-7702: impostare una delega non rimuove automaticamente la delega quando la transazione termina. Il contratto autorizzato può rimanere associato al portafoglio fino a quando il proprietario dell'account non sostituisce o cancella la delega.

Le linee guida ufficiali di sicurezza di Ethereum spiegano che un proprietario di portafoglio mantiene il controllo attraverso la chiave privata originale, inclusa la possibilità di ripristinare la delega autorizzando l'indirizzo zero. Tuttavia, il codice delegato malevolo potrebbe rimanere pericoloso fino a quando la modifica non viene elaborata con successo.

ExVul ha avvertito gli utenti di non trasferire nuovi asset nell'indirizzo interessato mentre la delega sospetta rimaneva attiva. I fondi depositati di recente potrebbero affrontare la stessa esposizione se il codice dell'attaccante continuava a controllare i permessi di spesa.

L'azienda ha raccomandato di cancellare o sostituire l'autorizzazione e spostare gli asset rimanenti in un portafoglio sicuro. Tali azioni di recupero richiedono attenzione poiché l'indirizzo interessato potrebbe eseguire istruzioni malevole mentre la delega persiste.

L'avviso si basava sullo stato della delega osservato al blocco 26.188.153. L'allerta originale di ExVul non ha stabilito se la vittima avesse successivamente rimosso il codice malevolo o recuperato asset.

Nessun accordo di rimborso, transazione di recupero o azione delle forze dell'ordine è stato identificato nell'indagine fornita.

L'EIP-7702 ha affrontato preoccupazioni precedenti sulla sicurezza dei portafogli

L'ultimo attacco segnalato segue avvertimenti precedenti da parte di ricercatori di sicurezza blockchain riguardo alle deleghe malevole degli account.

Nel maggio 2025, il market maker di criptovalute Wintermute ha identificato un uso diffuso di contratti EIP-7702 progettati per drenare automaticamente fondi da portafogli Ethereum compromessi.

La ricerca di Wintermute ha rilevato che oltre il 97% delle deleghe EIP-7702 osservate in quella fase puntavano a contratti che utilizzavano codice identico. La sua analisi ha associato molte di quelle deleghe a spazzini automatizzati che potevano trasferire ETH in arrivo a indirizzi controllati dagli attaccanti.

Le preoccupazioni sulla sicurezza precedenti riguardanti l'aggiornamento Pectra di Ethereum si concentravano sugli attaccanti che abusavano delle funzionalità di delega del portafoglio introdotte tramite EIP-7702. I ricercatori di sicurezza hanno avvertito che il codice malevolo potrebbe rimanere connesso agli account dopo che le vittime avevano completato l'autorizzazione iniziale.

Un incidente separato che ha coinvolto i token di World Liberty Financial nel settembre 2025 ha sollevato preoccupazioni simili. L'investigatore blockchain Yu Xian ha riportato che gli attaccanti stavano utilizzando permessi di portafoglio compromessi e deleghe EIP-7702 per prendere di mira i possessori dopo che i trasferimenti di token erano diventati disponibili.

Gli attacchi di phishing contro i possessori di token WLFI hanno coinvolto contratti di delega malevoli che consentivano agli attaccanti di eseguire transazioni non autorizzate. Gli investigatori hanno collegato l'attività a credenziali di portafoglio compromesse e autorizzazioni fraudolente.

Nel luglio 2026, un altro incidente di phishing su Ethereum che ha coinvolto quasi 1 milione di dollari ha dimostrato quanto possano essere pericolose le approvazioni di portafoglio per esporre le criptovalute detenute. Quel caso ha coinvolto permessi di transazione malevoli e non è stato stabilito come lo stesso metodo di sfruttamento riportato contro sven.eth.

La specifica EIP-7702 di Ethereum identifica diverse misure di sicurezza per gli sviluppatori che costruiscono contratti di delega, inclusa la protezione contro la ripetizione, parametri di transazione autenticati e procedure di inizializzazione sicure.

La specifica avverte che contratti di delega mal implementati possono dare agli attori malevoli quasi il completo controllo sull'account interessato. Raccomanda di verificare attentamente i permessi concessi al codice delegato, in particolare quando parti esterne possono inviare transazioni per conto dei proprietari del portafoglio.

L'allerta di ExVul del 14 ottobre ha identificato il contratto malevolo, l'indirizzo del controllore e l'account interessato, ma non ha rivelato se la vittima avesse successivamente sostituito l'autorizzazione. L'indagine ha registrato la delega sospetta come attiva al blocco 26.188.153.