Отзыв разрешения токена не означает, что делегирование EIP-7702 в кошельке было отменено. Об этом уровне разрешений легко забыть при поиске причин неполадок с кошельком.
В препринте, опубликованном на arXiv 30 октября, исследуется атака, при которой вредоносный контракт-делегат переводит полученные ETH. Статья ещё не прошла рецензирование, поэтому здесь рассматриваются только механизмы, которые можно перепроверить по спецификациям Ethereum.
EIP-7702 позволяет обычному адресу делегировать выполнение кода смарт-контракта. Сам адрес остаётся прежним, но логика выполнения может измениться; делегирование также не исчезает автоматически по завершении транзакции. Среди обычных сценариев использования — пакетные операции и оплата комиссий за пользователя. Риск зависит от того, кому вы передали право на выполнение кода.
Если вы видите запрос на подпись, например для обновления смарт-аккаунта, не ограничивайтесь проверкой того, будет ли немедленно выполнен перевод. Проверьте, какую цель делегирования показывает кошелёк, в какой сети оно действует и откуда получен код. Если вы подозреваете, что делегирование уже было подменено злоумышленником, проверьте также состояние делегирования аккаунта — одной проверки разрешений ERC-20 недостаточно.
Подписи в кошельке и смарт-контракты сопряжены с риском. Перед действием проверяйте разрешения и не подписывайте запросы вслепую.
Пригласительный код Binance Wallet: MOLLY666
В препринте, опубликованном на arXiv 30 октября, исследуется атака, при которой вредоносный контракт-делегат переводит полученные ETH. Статья ещё не прошла рецензирование, поэтому здесь рассматриваются только механизмы, которые можно перепроверить по спецификациям Ethereum.
EIP-7702 позволяет обычному адресу делегировать выполнение кода смарт-контракта. Сам адрес остаётся прежним, но логика выполнения может измениться; делегирование также не исчезает автоматически по завершении транзакции. Среди обычных сценариев использования — пакетные операции и оплата комиссий за пользователя. Риск зависит от того, кому вы передали право на выполнение кода.
Если вы видите запрос на подпись, например для обновления смарт-аккаунта, не ограничивайтесь проверкой того, будет ли немедленно выполнен перевод. Проверьте, какую цель делегирования показывает кошелёк, в какой сети оно действует и откуда получен код. Если вы подозреваете, что делегирование уже было подменено злоумышленником, проверьте также состояние делегирования аккаунта — одной проверки разрешений ERC-20 недостаточно.
Подписи в кошельке и смарт-контракты сопряжены с риском. Перед действием проверяйте разрешения и не подписывайте запросы вслепую.
Пригласительный код Binance Wallet: MOLLY666
