Eine mit sven.eth verbundene Ethereum-Wallet hat Berichten zufolge 9,1231 ETH im Wert von etwa 22.770 US-Dollar und 1,69271471 TAPEETH-Token verloren, nachdem ein Angreifer eine bösartige EIP-7702-Autorisierung genutzt hatte, um die Kontrolle über das Konto zu erlangen.
Zusammenfassung
- Das Sicherheitsunternehmen ExVul berichtete, dass eine Ethereum-Wallet durch bösartige Kontodelegierung 9,1231 ETH verlor.
- Der gemeldete Angriff betraf 1,69271471 TAPEETH-Token zusammen mit Ethereum im Wert von etwa 22.770 US-Dollar zum Zeitpunkt der Entdeckung.
- Eine gesponserte EIP-7702-Transaktion ermöglichte Berichten zufolge die Ausführung von angreiferkontrolliertem Code über die Wallet des Opfers.
- ExVul schrieb den Diebstahl einer bösartigen Wallet-Autorisierung zu, nicht einer Schwachstelle in PodMining oder TAPEETH.
- Das Sicherheitsunternehmen warnte, dass die bösartige Delegierung danach bei Ethereum-Block 26.188.153 weiterhin aktiv blieb.
Das Blockchain-Sicherheitsunternehmen ExVul berichtete am 14. Oktober über den Vorfall und identifizierte eine vom Angreifer gesponserte Transaktion, die bösartigen Code aktivierte, der zuvor vom Wallet-Eigentümer autorisiert worden war. Das Unternehmen schrieb den Diebstahl einer unsicheren Delegierung zu und erklärte, dass der Angreifer die Wallet leerte, ohne das zugrunde liegende DeFi-Protokoll auszunutzen.
Der gemeldete Vorfall betraf die mit sven.eth verbundene Wallet und eine vom Angreifer kontrollierte Adresse, die mit 0x9208 beginnt. Laut ExVuls Untersuchung erlaubte die Autorisierung, dass über den EIP-7702-Mechanismus von Ethereum installierter Code mit den Berechtigungen der Wallet operierte.
Ethereum-EIP-7702-Angriff entzieht ETH und TAPEETH
Der gemeldete Diebstahl betraf 9,1231 ETH und 1,69271471 TAPEETH, wobei der ETH-Anteil zum Zeitpunkt der Veröffentlichung von ExVuls Ergebnissen auf etwa 22.770 US-Dollar geschätzt wurde. Das Sicherheitsunternehmen gab keine separate Dollar-Bewertung für die TAPEETH-Token an.
ExVul identifizierte den Transaktionshash als 0x36e0d1491c14e3d8e50bc70d73675b89d2d4712814d16f808f957c84fde820ee und verknüpfte die Aktivität mit einer gesponserten Ethereum-Transaktion vom Typ 4. Solche Transaktionen unterstützen EIP-7702-Autorisierungen, die es gewöhnlichen Wallet-Adressen ermöglichen, Smart-Contract-Code auszuführen.
Die Untersuchung schrieb den Angriff 0x9208097c007be15e28b20e94e66870a3f9f820bc zu. Die Wallet des Opfers wurde als 0xd8ba9e5886b7000bace2c9dbdd0be98ac77d4a28 identifiziert, während die bösartige Delegierung auf 0x0366b55f948a688888ca6e029ad0831f6ec260d1 verwies.
Laut dem Sicherheitsalarm reichte der Angreifer eine Transaktion ein, die eine vom Opfer signierte EIP-7702-Autorisierung enthielt. Nachdem Ethereum diese Autorisierung verarbeitet hatte, führten nachfolgende Aufrufe an die betroffene Wallet die Anweisungen des delegierten Vertrags innerhalb des Opferkontos aus.
Der vom Angreifer kontrollierte Code enthielt Berichten zufolge eine feste Adresse, die zur Bedienung der Wallet autorisiert war. Der Kontrolleur rief dann die Funktion PodMining.claim() auf, übertrug die daraus resultierenden TAPEETH-Belohnungen und hob das ETH-Guthaben der Wallet ab.
ExVul betonte, dass „kein Flash Loan oder AMM-Manipulation beteiligt war“. Seine Ergebnisse identifizierten die Kontoautorisierung als Einstiegspunkt, wobei es in der bereitgestellten Analyse keine Hinweise auf einen Exploit mit Liquiditätspools oder Preis Manipulation gab.
Wie bösartige Wallet-Delegierung den Diebstahl ermöglichte
EIP-7702 ist Teil der Account-Abstraktionsentwicklung von Ethereum und ermöglicht es externen Konten, vorübergehend Smart-Contract-Funktionalität durch delegierten Code zu erlangen.
Gemäß der offiziellen Ethereum-Spezifikation signiert ein Benutzer eine Autorisierung, die den Smart Contract identifiziert, der das Ausführungsverhalten des Kontos steuern wird. Sobald sie über eine kompatible Transaktion eingereicht wurde, zeichnet Ethereum die Delegierung auf und führt den designierten Code aus, wenn die Wallet relevante Aufrufe erhält.
Die Funktion unterstützt legitime Anwendungen, darunter gesponserte Transaktionen, Transaktionsbündelung und flexiblere Wallet-Berechtigungen. Ein Benutzer kann mehrere Aktionen durch eine einzige Transaktion autorisieren oder einem Dritten erlauben, die Netzwerkgebühr zu übernehmen.
Derselbe Mechanismus birgt jedoch Sicherheitsrisiken, wenn ein Konto die Ausführung an bösartigen Code delegiert. Die EIP-7702-Spezifikation von Ethereum erklärt, dass schlecht entworfene oder bösartige Delegierungsverträge einer externen Partei umfassende Kontrolle über das Konto gewähren können.
In diesem Vorfall zahlte der Angreifer Berichten zufolge die Transaktionsgebühr und übermittelte die signierte Autorisierung. Der Wallet-Eigentümer musste die Transaktion, die die bösartige Delegierung aktivierte, weder finanzieren noch übertragen.
Die Signatur lieferte die Befugnis für die Wallet, den Code des Angreifers auszuführen. Einmal aktiviert, operierte der Code im Kontext des Kontos des Opfers, wodurch die Controller-Adresse die gemeldeten Vermögensübertragungen einleiten konnte.
ExVul erklärte, dass der Exploit „kein TAPEETH / PodMining-Fehler“ sei. Die Schlussfolgerung unterscheidet den Autorisierungsmechanismus von einer Schwachstelle im Token oder im Belohnungsvertrag.
Das Unternehmen stellte nicht fest, wie der Angreifer die Autorisierung des Opfers erlangte. Seine öffentlichen Ergebnisse identifizieren keine bestimmte Phishing-Website, bösartige Anwendung oder kompromittierte Signierungsschnittstelle.
Bösartige Autorisierung könnte zukünftige Einzahlungen bedrohen
Nach dem gemeldeten Diebstahl warnte ExVul, dass die bösartige Delegierung der Wallet bei Ethereum-Block 26.188.153 weiterhin aktiv war.
Die Warnung betrifft eine Funktion von EIP-7702: Das Festlegen einer Delegierung entfernt sie nicht automatisch, wenn die Transaktion abgeschlossen ist. Der autorisierte Vertrag kann mit der Wallet verbunden bleiben, bis der Kontoinhaber die Delegierung ersetzt oder löscht.
Die offizielle Sicherheitsrichtlinie von Ethereum erklärt, dass ein Wallet-Eigentümer die Kontrolle über den ursprünglichen privaten Schlüssel behält, einschließlich der Möglichkeit, die Delegierung durch Autorisierung der Nulladresse zurückzusetzen. Bösartiger delegierter Code kann jedoch gefährlich bleiben, bis die Änderung erfolgreich verarbeitet wurde.
ExVul warnte Benutzer davor, neue Vermögenswerte auf die betroffene Adresse zu übertragen, solange die verdächtige Delegierung aktiv blieb. Neu eingezahlte Gelder könnten derselben Gefahr ausgesetzt sein, wenn der Code des Angreifers weiterhin die Ausgabebefugnisse kontrollierte.
Das Unternehmen empfahl, die Autorisierung zu löschen oder zu ersetzen und verbleibende Vermögenswerte auf eine sichere Wallet zu verschieben. Solche Wiederherstellungsmaßnahmen erfordern Sorgfalt, da die betroffene Adresse bösartige Anweisungen ausführen kann, solange die Delegierung besteht.
Die Warnung basierte auf dem bei Block 26.188.153 beobachteten Delegierungsstatus. Der ursprüngliche Alarm von ExVul stellte nicht fest, ob das Opfer anschließend den bösartigen Code entfernt oder Vermögenswerte wiedererlangt hatte.
In der bereitgestellten Untersuchung wurden keine Rückerstattungsvereinbarung, Wiederherstellungstransaktion oder Strafverfolgungsmaßnahme identifiziert.
EIP-7702 hat bereits früher ähnliche Sicherheitsbedenken aufgeworfen
Der jüngste gemeldete Angriff folgt auf frühere Warnungen von Blockchain-Sicherheitsforschern vor bösartigen Kontodelegierungen.
Im Mai 2025 identifizierte der Krypto-Market-Maker Wintermute die weitverbreitete Nutzung von EIP-7702-Verträgen, die darauf ausgelegt sind, Gelder automatisch von kompromittierten Ethereum-Wallets abzuziehen.
Die Forschung von Wintermute ergab, dass mehr als 97 % der zu diesem Zeitpunkt beobachteten EIP-7702-Delegierungen auf Verträge mit identischem Code verwiesen. Ihre Analyse verband viele dieser Delegierungen mit automatisierten Sweepern, die eingehendes ETH an von Angreifern kontrollierte Adressen übertragen konnten.
Die früheren Sicherheitsbedenken rund um Ethereums Pectra-Upgrade konzentrierten sich auf Angreifer, die die durch EIP-7702 eingeführten Wallet-Delegierungsfunktionen missbrauchten. Sicherheitsforscher warnten, dass bösartiger Code mit Konten verbunden bleiben könnte, nachdem Opfer die ursprüngliche Autorisierung abgeschlossen hatten.
Ein separater Vorfall mit World Liberty Financial-Token im September 2025 löste ähnliche Bedenken aus. Der Blockchain-Ermittler Yu Xian berichtete, dass Angreifer kompromittierte Wallet-Berechtigungen und EIP-7702-Delegierung nutzten, um Inhaber anzugreifen, nachdem Token-Übertragungen verfügbar wurden.
Die Phishing-Angriffe gegen WLFI-Token-Inhaber beinhalteten bösartige Delegationsverträge, die es Angreifern ermöglichten, unbefugte Transaktionen auszuführen. Ermittler brachten die Aktivität mit kompromittierten Wallet-Anmeldeinformationen und betrügerischen Autorisierungen in Verbindung.
Im Juli 2026 zeigte ein weiterer Ethereum-Phishing-Vorfall mit fast 1 Million US-Dollar, wie gefährlich Wallet-Genehmigungen Kryptowährungsbestände aussetzen können. Dieser Fall beinhaltete bösartige Transaktionsberechtigungen und wurde nicht als dieselbe Exploit-Methode eingestuft, die gegen sven.eth gemeldet wurde.
Ethereums EIP-7702-Spezifikation identifiziert mehrere Schutzmaßnahmen für Entwickler, die Delegationsverträge erstellen, darunter Replay-Schutz, authentifizierte Transaktionsparameter und sichere Initialisierungsverfahren.
Die Spezifikation warnt, dass schlecht implementierte Delegationsverträge bösartigen Akteuren nahezu vollständige Kontrolle über das betroffene Konto geben können. Sie empfiehlt, die dem delegierten Code gewährten Berechtigungen sorgfältig zu überprüfen, insbesondere wenn externe Parteien Transaktionen im Namen von Wallet-Eigentümern einreichen können.
ExVuls Warnung vom 14. Oktober identifizierte den bösartigen Vertrag, die Controller-Adresse und das betroffene Konto, gab jedoch nicht bekannt, ob das Opfer die Autorisierung inzwischen ersetzt hatte. Die Untersuchung verzeichnete die verdächtige Delegation als aktiv bei Block 26.188.153.
