El atraco de 3 minutos: cómo EIP-7702 convirtió una cartera en su propia ladrona
Tres minutos y veinticuatro segundos. Eso fue todo lo que hizo falta para que desaparecieran 167,464 ETH y 63 tokens, entre ellos 1.615B USDT, de una cartera etiquetada como Binance, después de que un único mensaje firmado instalara una delegación EIP-7702. El investigador de seguridad Odysseus, de phylax.systems, reconstruyó todo el ataque en la cadena en un hilo que ahora se está haciendo viral.
La cronología es escalofriante.
20:20:59 UTC: se instala en la cartera una autorización de delegación EIP-7702. 20:24:23: otra dirección llama a sweep(). El contexto de ejecución de la propia cartera ahora ejecuta el contrato del atacante, que lo drena todo hacia 0x027…2ffe. Luego, a las 20:41:23, la situación empeora: la cartera delegada utiliza su rol de propietario en otra cartera inteligente para transferir otros 780M USDC.
¿Por qué es esto tan peligroso? EIP-7702 permite que una cartera normal ejecute temporalmente código de contrato inteligente. El truco: la delegación persiste, y ese código puede seguir autorizando transferencias sin que el propietario vuelva a firmar. El delegado del atacante incluso tenía codificado un operador financiado por Tornado Cash y rechazaba a llamadores no relacionados. Fue una operación de precisión, no un ataque indiscriminado.
La pregunta abierta es cómo se obtuvo la firma: una clave privada robada, o una autorización maliciosa engañada al propietario. En cualquier caso, la lección es la misma.
Protégente:
1. Nunca firmes un mensaje de autorización opaco que no entiendas por completo, especialmente cualquier cosa que mencione delegación.
2. Comprueba a qué código está delegada tu dirección y revoca de inmediato cualquier cosa que no reconozcas.
3. Divide tus activos: carteras calientes para la actividad, carteras frías para las grandes cantidades.
4. Recuerda que el código delegado hereda tus permisos, incluidos los roles de propietario en otros contratos.
Una firma. Sin segunda confirmación. Más de 2,4 mil millones de dólares solo en stablecoins, perdidos en menos de cuatro minutos. EIP-7702 es poderoso, y ese poder corta en ambos sentidos.