O assalto de 3 minutos: como o EIP-7702 transformou uma carteira em sua própria ladra
Três minutos e vinte e quatro segundos. Foi só isso que bastou para 167,464 ETH e 63 tokens, incluindo 1.615B USDT, desaparecerem de uma carteira identificada como Binance, depois que uma única mensagem assinada instalou uma delegação EIP-7702. O pesquisador de segurança Odysseus, da phylax.systems, mapeou todo o ataque on-chain em uma thread que agora está viralizando.
A cronologia é arrepiante.
20:20:59 UTC: uma autorização de delegação EIP-7702 é instalada na carteira. 20:24:23: um endereço diferente chama sweep(). O próprio contexto de execução da carteira passa a executar o contrato do invasor, drenando tudo para 0x027…2ffe. Então, às 20:41:23, a situação piora: a carteira delegada usa seu papel de proprietária em outra carteira inteligente para transferir mais 780M USDC.
Por que isso é tão perigoso? O EIP-7702 permite que uma carteira comum execute temporariamente código de contrato inteligente. O problema: a delegação persiste, e esse código pode continuar autorizando transferências sem que o proprietário precise assinar novamente. O delegado do invasor chegou a codificar um operador financiado pelo Tornado Cash e rejeitava chamadas de terceiros sem relação. Foi uma operação de precisão, não um ataque indiscriminado.
A questão em aberto é como a assinatura foi obtida: por meio de uma chave privada roubada ou de uma autorização maliciosa induzida do proprietário. De qualquer forma, a lição é a mesma.
Proteja-se:
1. Nunca assine uma mensagem de autorização opaca que você não compreenda totalmente, especialmente qualquer coisa que mencione delegação.
2. Verifique a que código seu endereço está delegado e revogue imediatamente qualquer coisa que não reconheça.
3. Divida seus ativos: carteiras quentes para movimentações, carteiras frias para grandes quantias.
4. Lembre-se de que o código delegado herda suas permissões, incluindo funções de proprietário em outros contratos.
Uma assinatura. Nenhuma segunda confirmação. Mais de US$ 2,4 bilhões apenas em stablecoins, perdidos em menos de quatro minutos. O EIP-7702 é poderoso, e esse poder tem dois lados.