Le portefeuille chaud de Binance a eu un problème cette nuit, et beaucoup de gens ont entendu parler d’EIP-7702 pour la première fois. Commençons par expliquer clairement ce que c’est :
1. De quoi s’agit-il ? D’une fonctionnalité apportée par la mise à niveau Pectra d’Ethereum. Un portefeuille classique peut signer une autorisation qui délègue temporairement le droit d’exécution à du code de contrat intelligent, sans changer d’adresse. Cela permet d’effectuer des opérations par lots et de laisser quelqu’un d’autre payer les frais de gas.
2. Pourquoi cette fonctionnalité est-elle dans le viseur cette fois-ci ? Selon les analyses de Blockaid et d’autres acteurs, l’attaquant a inclus dans une transaction 50 autorisations portant sur des numéros consécutifs, dans le seul but de tomber sur le numéro utilisé à ce moment-là par le portefeuille chaud. Une fois la bonne autorisation trouvée, le contrat malveillant pouvait transférer des actifs par lots au nom du portefeuille. Et si la délégation n’est pas révoquée, elle reste active indéfiniment.
3. Contre quoi les utilisateurs ordinaires doivent-ils se protéger ? Premièrement, ne signez pas d’autorisations que vous ne comprenez pas, en particulier celles qui regroupent de nombreuses opérations en une seule signature. Deuxièmement, si un site inconnu vous demande de signer, arrêtez-vous et vérifiez à quel contrat la délégation sera accordée. Troisièmement, vérifiez régulièrement vos autorisations et révoquez celles dont vous n’avez plus besoin. Dans la mesure du possible, gardez les actifs importants dans un portefeuille froid.
À mon avis, EIP-7702 n’est pas une porte dérobée en soi : cette fonctionnalité transforme le portefeuille, qui n’était qu’une clé permettant de transférer des fonds, en une clé capable d’exécuter des programmes. Cette clé étant plus puissante, vérifier attentivement à qui l’on délègue ses droits avant de signer devient indispensable. D’habitude, lisez-vous chaque autorisation avant de signer ?
$ETH #EIP7702
1. De quoi s’agit-il ? D’une fonctionnalité apportée par la mise à niveau Pectra d’Ethereum. Un portefeuille classique peut signer une autorisation qui délègue temporairement le droit d’exécution à du code de contrat intelligent, sans changer d’adresse. Cela permet d’effectuer des opérations par lots et de laisser quelqu’un d’autre payer les frais de gas.
2. Pourquoi cette fonctionnalité est-elle dans le viseur cette fois-ci ? Selon les analyses de Blockaid et d’autres acteurs, l’attaquant a inclus dans une transaction 50 autorisations portant sur des numéros consécutifs, dans le seul but de tomber sur le numéro utilisé à ce moment-là par le portefeuille chaud. Une fois la bonne autorisation trouvée, le contrat malveillant pouvait transférer des actifs par lots au nom du portefeuille. Et si la délégation n’est pas révoquée, elle reste active indéfiniment.
3. Contre quoi les utilisateurs ordinaires doivent-ils se protéger ? Premièrement, ne signez pas d’autorisations que vous ne comprenez pas, en particulier celles qui regroupent de nombreuses opérations en une seule signature. Deuxièmement, si un site inconnu vous demande de signer, arrêtez-vous et vérifiez à quel contrat la délégation sera accordée. Troisièmement, vérifiez régulièrement vos autorisations et révoquez celles dont vous n’avez plus besoin. Dans la mesure du possible, gardez les actifs importants dans un portefeuille froid.
À mon avis, EIP-7702 n’est pas une porte dérobée en soi : cette fonctionnalité transforme le portefeuille, qui n’était qu’une clé permettant de transférer des fonds, en une clé capable d’exécuter des programmes. Cette clé étant plus puissante, vérifier attentivement à qui l’on délègue ses droits avant de signer devient indispensable. D’habitude, lisez-vous chaque autorisation avant de signer ?
$ETH #EIP7702