Perampokan 3 Menit: Bagaimana EIP-7702 Mengubah Dompet Menjadi Perampoknya Sendiri
Tiga menit dua puluh empat detik. Hanya selama itulah 167,464 ETH dan 63 token, termasuk 1.615B USDT, lenyap dari dompet berlabel Binance setelah satu pesan yang ditandatangani memasang delegasi EIP-7702. Peneliti keamanan Odysseus dari phylax.systems memetakan seluruh serangan di blockchain dalam sebuah utas yang kini viral.
Linimasa ini mengerikan.
20:20:59 UTC: otorisasi delegasi EIP-7702 dipasang pada dompet. 20:24:23: alamat lain memanggil sweep(). Konteks eksekusi dompet itu sendiri kini menjalankan kontrak penyerang, menguras semua aset ke 0x027…2ffe. Lalu pada 20:41:23, situasinya memburuk: dompet yang didelegasikan menggunakan peran pemiliknya pada dompet pintar terpisah untuk memindahkan 780M USDC lagi.
Mengapa ini sangat berbahaya? EIP-7702 memungkinkan dompet biasa menjalankan kode kontrak pintar untuk sementara. Masalahnya: delegasi tersebut tetap berlaku, dan kode itu dapat terus mengotorisasi transfer tanpa pemilik menandatangani lagi. Delegasi penyerang bahkan menetapkan operator yang didanai Tornado Cash secara hard-code dan menolak pemanggil yang tidak terkait. Ini operasi yang sangat terarah, bukan serangan membabi buta.
Pertanyaan yang belum terjawab adalah bagaimana tanda tangan itu diperoleh: apakah kunci privatnya dicuri, atau pemiliknya ditipu agar memberikan otorisasi berbahaya. Apa pun itu, pelajarannya tetap sama.
Lindungi diri Anda:
1. Jangan pernah menandatangani pesan otorisasi yang tidak jelas dan tidak sepenuhnya Anda pahami, terutama yang menyebut delegasi.
2. Periksa kode apa yang menjadi tujuan delegasi alamat Anda dan segera cabut apa pun yang tidak Anda kenali.
3. Pisahkan aset Anda: gunakan dompet panas untuk aktivitas sehari-hari, dan dompet dingin untuk menyimpan aset dalam jumlah besar.
4. Ingat, kode yang didelegasikan mewarisi izin Anda, termasuk peran pemilik di kontrak lain.
Satu tanda tangan. Tanpa konfirmasi kedua. Lebih dari $2.4B dalam stablecoin saja lenyap dalam waktu kurang dari empat menit. EIP-7702 sangat canggih, dan kekuatan itu bisa berdampak ke dua arah.