• ExVul informó el 14 de octubre que sven.eth perdió 9.1231 ETH, unos 22.770 dólares, en el vaciado de una billetera mediante EIP-7702.

• El vaciado también sustrajo 1.69271471 TAPEETH de la billetera vinculada a sven.eth.

• El atacante financió una transacción de tipo 4 que incluía la autorización válida de EIP-7702 de la víctima, sin recurrir a un préstamo flash.

9.1231 ETH robados de sven.eth mediante EIP-7702

Una billetera de Ethereum (ETH) vinculada al nombre sven.eth perdió 9.1231 ETH, con un valor aproximado de 22.770 dólares según el precio de Ethereum cuando se publicaron los hallazgos, además de 1.69271471 TAPEETH, después de que una autorización maliciosa de EIP-7702 dejara la cuenta bajo el control de un tercero. El robo está documentado en la cadena de bloques. Hasta el momento, ninguno de quienes han informado sobre el incidente ha establecido cómo obtuvo el atacante la autorización firmada de la víctima. La firma de seguridad blockchain ExVul alertó del vaciado el 14 de octubre. Su aviso, publicado en X, describe una transacción de tipo 4 financiada por el atacante que incluía la autorización válida de EIP-7702 de la víctima, sin que hubiera préstamos flash ni manipulación de creadores de mercado automatizados en ningún punto del proceso. El hash de la transacción, 0x36e0d1491c14e3d8e50bc70d73675b89d2d4712814d16f808f957c84fde820ee, se puede verificar en Etherscan. Una vez que la red procesó esa autorización, las llamadas posteriores a la billetera ejecutaron las instrucciones del contrato delegado dentro de la cuenta de la víctima. El mecanismo central del caso, EIP-7702, es la función de abstracción de cuentas de Ethereum: permite que una cuenta ordinaria de propiedad externa delegue la ejecución a código de contrato inteligente, lo que posibilita el pago de comisiones por terceros, la agrupación de transacciones y permisos de billetera más flexibles. La función se incorporó con la actualización Pectra de Ethereum y desde entonces ha permitido usos legítimos, entre ellos que terceros cubran las comisiones de red. El mismo diseño se convierte en una superficie de ataque cuando el código delegado es malicioso. La propia especificación de Ethereum advierte que los contratos de delegación mal diseñados o maliciosos pueden otorgar a terceros un amplio control sobre la cuenta afectada. La cuenta expuesta corresponde a la dirección de una billetera de criptomonedas 0xd8ba9e5886b7000bace2c9dbdd0be98ac77d4a28, que el aviso vincula con sven.eth, un identificador al estilo de Ethereum Name Service; quienes no conozcan estos nombres pueden consultar nuestra guía para obtener un dominio .ETH. La cifra de 22.770 dólares corresponde únicamente a la parte en ETH, y el aviso no asigna ningún valor en dólares a la parte de la pérdida correspondiente al token. Desde 2025 se han registrado casos comparables de abuso de delegación en Ethereum, un patrón en el que encaja este incidente.

La investigación de ExVul atribuyó el ataque a la dirección 0x9208097c007be15e28b20e94e66870a3f9f820bc, con la delegación maliciosa apuntando a 0x0366b55f948a688888ca6e029ad0831f6ec260d1. El atacante pagó la comisión de la transacción y presentó él mismo la autorización firmada, por lo que el propietario de la billetera nunca financió ni transmitió la transacción que activó el código malicioso. Una vez activado, el código se ejecutó en el contexto de la cuenta de la víctima: invocó la función PodMining.claim(), transfirió las recompensas TAPEETH resultantes al controlador y retiró el saldo de ETH de la billetera. La empresa afirmó que el exploit no se debe a un error de TAPEETH ni de PodMining. Su análisis identificó la autorización de la cuenta como punto de entrada y no encontró indicios de un exploit relacionado con pools de liquidez o manipulación de precios. ExVul no determinó cómo obtuvo el atacante la autorización de la víctima; sus conclusiones públicas no mencionan ningún sitio de phishing, aplicación maliciosa ni interfaz de firma comprometida. La advertencia posterior se refiere a la persistencia de las delegaciones EIP-7702. Una vez establecida, una delegación no se elimina al finalizar la transacción: el contrato autorizado permanece asociado a la billetera hasta que el propietario lo reemplace o lo elimine. El propietario conserva el control mediante la clave privada original y puede restablecer la delegación autorizando la dirección cero, pero el código malicioso puede seguir siendo peligroso hasta que se procese ese cambio. ExVul registró que la delegación maliciosa seguía activa en el bloque 26,188,153 de Ethereum y advirtió que no se enviaran nuevos activos a esa dirección mientras persistiera. Recomendó borrar o reemplazar la autorización y trasladar los activos restantes de la billetera caliente expuesta a una billetera fría. La alerta no determinó si la víctima eliminó posteriormente el código o recuperó algún activo, y no se ha identificado ningún acuerdo de reembolso, transacción de recuperación ni acción policial. El caso recuerda advertencias anteriores sobre las delegaciones: en mayo de 2025, el creador de mercado Wintermute descubrió que más del 97 % de las delegaciones EIP-7702 observadas apuntaban a contratos de drenaje idénticos, capaces de transferir el ETH entrante a direcciones controladas por atacantes. El método utilizado en este caso difiere de los robos en puentes, como el reciente exploit del puente de Autheo.

Sigue sin saberse cómo se obtuvo la firma

En conjunto, los registros en cadena y el análisis posterior de ExVul confirman el mecanismo: una autorización EIP-7702 firmada, activada mediante una transacción de tipo 4 pagada por el atacante, permitió que el código ejecutado dentro de la cuenta de la víctima reclamara recompensas y vaciara el saldo. La causa raíz fue la autorización, y la solución se desprende de ella: borrar o reemplazar la delegación y luego trasladar los fondos restantes a una billetera de hardware. Lo que nadie ha podido determinar es el primer eslabón de la cadena: cómo se obtuvo la firma de la víctima. No se ha señalado ningún sitio de phishing, aplicación maliciosa ni firmante comprometido. La alerta registra que la delegación seguía activa en el bloque 26,188,153; si el propietario la ha eliminado desde entonces no consta en los registros documentados.