Una cartera de Ethereum asociada con sven.eth ha perdido presuntamente 9,1231 ETH, valorados en aproximadamente $22.770, y 1,69271471 tokens TAPEETH después de que un atacante utilizara una autorización maliciosa EIP-7702 para tomar el control de la cuenta.
Resumen
- La firma de seguridad ExVul informó que una cartera de Ethereum perdió 9,1231 ETH mediante una delegación de cuenta maliciosa.
- El ataque reportado involucró 1,69271471 tokens TAPEETH junto con Ethereum valorados en aproximadamente $22.770 en el momento de la detección.
- Una transacción EIP-7702 patrocinada permitió presuntamente que código controlado por el atacante se ejecutara a través de la cartera de la víctima.
- ExVul atribuyó el robo a una autorización maliciosa de la cartera, no a una vulnerabilidad en PodMining o TAPEETH.
- La firma de seguridad advirtió que la delegación maliciosa permaneció activa en el bloque 26.188.153 de Ethereum después.
La firma de seguridad blockchain ExVul informó del incidente el 14 de octubre, identificando una transacción patrocinada por el atacante que activó código malicioso previamente autorizado por el propietario de la cartera. La firma atribuyó el robo a una delegación insegura, explicando que el atacante vació la cartera sin explotar el protocolo DeFi subyacente.
El incidente reportado involucró la cartera vinculada a sven.eth y una dirección controlada por el atacante que comienza con 0x9208. Según la investigación de ExVul, la autorización permitió que el código instalado a través del mecanismo EIP-7702 de Ethereum operara con los permisos de la cartera.
El ataque EIP-7702 de Ethereum drena ETH y TAPEETH
El robo reportado involucró 9,1231 ETH y 1,69271471 TAPEETH, con la porción de ETH valorada en aproximadamente $22.770 cuando ExVul publicó sus hallazgos. La firma de seguridad no proporcionó una valoración separada en dólares para los tokens TAPEETH.
ExVul identificó el hash de la transacción como 0x36e0d1491c14e3d8e50bc70d73675b89d2d4712814d16f808f957c84fde820ee, vinculando la actividad a una transacción Ethereum de tipo 4 patrocinada. Dichas transacciones admiten autorizaciones EIP-7702, que permiten a direcciones de cartera ordinarias ejecutar código de contrato inteligente.
La investigación atribuyó el ataque a 0x9208097c007be15e28b20e94e66870a3f9f820bc. La cartera de la víctima fue identificada como 0xd8ba9e5886b7000bace2c9dbdd0be98ac77d4a28, mientras que la delegación maliciosa apuntaba a 0x0366b55f948a688888ca6e029ad0831f6ec260d1.
Según la alerta de seguridad, el atacante envió una transacción que contenía una autorización EIP-7702 firmada por la víctima. Una vez que Ethereum procesó esa autorización, las llamadas posteriores a la cartera afectada ejecutaron las instrucciones del contrato delegado dentro de la cuenta de la víctima.
El código controlado por el atacante contenía presuntamente una dirección fija autorizada para operar la cartera. El controlador luego invocó la función PodMining.claim(), transfirió las recompensas TAPEETH resultantes y retiró el saldo de ETH de la cartera.
ExVul enfatizó que “No hubo préstamo flash ni manipulación de AMM”. Sus hallazgos identificaron la autorización de la cuenta como el punto de entrada, sin evidencia en el análisis proporcionado de un exploit que involucre pools de liquidez o manipulación de precios.
Cómo la delegación maliciosa de cartera permitió el robo
EIP-7702 es parte del desarrollo de abstracción de cuentas de Ethereum, que permite a las cuentas de propiedad externa obtener temporalmente funcionalidad de contrato inteligente a través de código delegado.
Según la especificación oficial de Ethereum, un usuario firma una autorización que identifica el contrato inteligente que controlará el comportamiento de ejecución de la cuenta. Una vez enviada a través de una transacción compatible, Ethereum registra la delegación y ejecuta el código designado cuando la cartera recibe llamadas relevantes.
La función admite aplicaciones legítimas, incluidas transacciones patrocinadas, agrupación de transacciones y permisos de billetera más flexibles. Un usuario puede autorizar múltiples acciones a través de una sola transacción o permitir que un tercero cubra la tarifa de red.
Sin embargo, el mismo mecanismo conlleva riesgos de seguridad cuando una cuenta delega la ejecución a código malicioso. La especificación EIP-7702 de Ethereum explica que los contratos de delegación mal diseñados o maliciosos pueden otorgar a una parte externa un control extenso sobre la cuenta.
En este incidente, el atacante supuestamente pagó la tarifa de transacción y envió la autorización firmada. El propietario de la billetera no necesitó financiar ni transmitir la transacción que activó la delegación maliciosa.
La firma otorgó autoridad para que la billetera ejecutara el código del atacante. Una vez activado, el código operó bajo el contexto de la cuenta de la víctima, permitiendo que la dirección controladora iniciara las transferencias de activos reportadas.
ExVul declaró que el exploit "no es un error de TAPEETH / PodMining". La conclusión distingue el mecanismo de autorización de una vulnerabilidad en el token o el contrato de recompensa.
La firma no estableció cómo el atacante obtuvo la autorización de la víctima. Sus hallazgos públicos no identifican un sitio web de phishing específico, una aplicación maliciosa o una interfaz de firma comprometida.
La autorización maliciosa podría amenazar futuros depósitos
Después del robo reportado, ExVul advirtió que la delegación maliciosa de la billetera permanecía activa en el bloque 26,188,153 de Ethereum.
La advertencia se refiere a una característica de EIP-7702: establecer una delegación no la elimina automáticamente cuando finaliza la transacción. El contrato autorizado puede permanecer asociado con la billetera hasta que el propietario de la cuenta reemplace o borre la delegación.
La guía de seguridad oficial de Ethereum explica que el propietario de la billetera conserva el control a través de la clave privada original, incluida la capacidad de restablecer la delegación autorizando la dirección cero. Sin embargo, el código delegado malicioso puede seguir siendo peligroso hasta que el cambio se procese con éxito.
ExVul advirtió a los usuarios contra transferir nuevos activos a la dirección afectada mientras la delegación sospechosa permaneciera activa. Los fondos recién depositados podrían enfrentar la misma exposición si el código del atacante continuara controlando los permisos de gasto.
La firma recomendó borrar o reemplazar la autorización y mover los activos restantes a una billetera segura. Tales acciones de recuperación requieren cuidado porque la dirección afectada puede ejecutar instrucciones maliciosas mientras persiste la delegación.
La advertencia se basó en el estado de delegación observado en el bloque 26,188,153. La alerta original de ExVul no estableció si la víctima había eliminado posteriormente el código malicioso o recuperado algún activo.
No se identificó ningún acuerdo de reembolso, transacción de recuperación o acción policial en la investigación proporcionada.
EIP-7702 ya ha planteado preocupaciones de seguridad similares anteriormente
El último ataque reportado sigue a advertencias previas de investigadores de seguridad de blockchain sobre delegaciones de cuentas maliciosas.
En mayo de 2025, el creador de mercado de criptomonedas Wintermute identificó el uso generalizado de contratos EIP-7702 diseñados para drenar automáticamente fondos de billeteras Ethereum comprometidas.
La investigación de Wintermute encontró que más del 97% de las delegaciones EIP-7702 observadas en esa etapa apuntaban a contratos que usaban código idéntico. Su análisis asoció muchas de esas delegaciones con barredores automatizados que podían transferir ETH entrante a direcciones controladas por atacantes.
Las preocupaciones de seguridad anteriores en torno a la actualización Pectra de Ethereum se centraron en atacantes que abusaban de las funciones de delegación de billetera introducidas a través de EIP-7702. Los investigadores de seguridad advirtieron que el código malicioso podría permanecer conectado a las cuentas después de que las víctimas completaran la autorización inicial.
Un incidente separado que involucró tokens de World Liberty Financial en septiembre de 2025 planteó preocupaciones similares. El investigador de blockchain Yu Xian informó que los atacantes estaban utilizando permisos de billetera comprometidos y delegación EIP-7702 para atacar a los tenedores después de que las transferencias de tokens estuvieran disponibles.
Los ataques de phishing contra los tenedores del token WLFI involucraron contratos de delegación maliciosos que permitieron a los atacantes ejecutar transacciones no autorizadas. Los investigadores vincularon la actividad con credenciales de billetera comprometidas y autorizaciones fraudulentas.
En julio de 2026, otro incidente de phishing en Ethereum que involucró casi $1 millón demostró lo peligrosas que pueden ser las aprobaciones de billeteras al exponer tenencias de criptomonedas. Ese caso involucró permisos de transacción maliciosos y no se estableció como el mismo método de explotación reportado contra sven.eth.
La especificación EIP-7702 de Ethereum identifica varias salvaguardas para desarrolladores que crean contratos de delegación, incluyendo protección contra repetición, parámetros de transacción autenticados y procedimientos de inicialización seguros.
La especificación advierte que los contratos de delegación mal implementados pueden otorgar a actores maliciosos un control casi total sobre la cuenta afectada. Recomienda verificar cuidadosamente los permisos otorgados al código delegado, particularmente cuando terceros externos pueden enviar transacciones en nombre de los propietarios de billeteras.
La alerta del 14 de octubre de ExVul identificó el contrato malicioso, la dirección del controlador y la cuenta afectada, pero no reveló si la víctima había reemplazado la autorización desde entonces. La investigación registró la delegación sospechosa como activa en el bloque 26,188,153.
