Адрес в делегировании аккаунта — это единственный, кто может получать деньги?
Если в разрешении для смарт-аккаунта $ETH указан адрес, не думайте, что это значит: «платить можно только на этот адрес».
Делегирование кода в EIP-7702 позволяет аккаунту выполнять код контракта, размещённый по указанному адресу. Этот адрес отвечает на вопрос «какую программу использовать», а не «кому можно переводить деньги».
В стандарте особо подчёркивается: делегированный код может беспрепятственно получать доступ к аккаунту, поэтому кошельки должны тщательно его проверять. На уровне протокола нет встроенных ограничений прав на уровне приложения; чтобы разрешить использование только определённому приложению или тратить только определённые токены, это должна корректно обеспечивать система прав поверх делегированного кода.
Поэтому перед подписанием проверьте, показывает ли кошелёк делегирование кода аккаунта или ограниченные права какого-либо приложения. Одного лишь знакомого адреса назначения или надписи «лимит» на странице недостаточно, чтобы убедиться, что ограничение действительно будет соблюдаться. Сначала ознакомьтесь с пояснениями кошелька о реализации кода и правилах доступа; если что-то непонятно — не подписывайте.
В этой статье объясняется область действия разрешения. Она не является аудитом какого-либо кошелька и не сообщает о новой атаке.
Источник: https://eips.ethereum.org/EIPS/eip-7702
Если в разрешении для смарт-аккаунта $ETH указан адрес, не думайте, что это значит: «платить можно только на этот адрес».
Делегирование кода в EIP-7702 позволяет аккаунту выполнять код контракта, размещённый по указанному адресу. Этот адрес отвечает на вопрос «какую программу использовать», а не «кому можно переводить деньги».
В стандарте особо подчёркивается: делегированный код может беспрепятственно получать доступ к аккаунту, поэтому кошельки должны тщательно его проверять. На уровне протокола нет встроенных ограничений прав на уровне приложения; чтобы разрешить использование только определённому приложению или тратить только определённые токены, это должна корректно обеспечивать система прав поверх делегированного кода.
Поэтому перед подписанием проверьте, показывает ли кошелёк делегирование кода аккаунта или ограниченные права какого-либо приложения. Одного лишь знакомого адреса назначения или надписи «лимит» на странице недостаточно, чтобы убедиться, что ограничение действительно будет соблюдаться. Сначала ознакомьтесь с пояснениями кошелька о реализации кода и правилах доступа; если что-то непонятно — не подписывайте.
В этой статье объясняется область действия разрешения. Она не является аудитом какого-либо кошелька и не сообщает о новой атаке.
Источник: https://eips.ethereum.org/EIPS/eip-7702
