ExVul发现以太坊(ETH)钱包遭EIP-7702授权攻击,被转走9.1231枚ETH

sven.eth关联钱包经EIP-7702授权被转走9.1231枚ETH

链上记录显示,与sven.eth关联的一个以太坊(ETH)钱包在遭到恶意EIP-7702授权后失去控制权,共被转走9.1231枚Ethereum (ETH),按发现发布时的以太坊价格计算约合22,770美元,另有1.69271471枚TAPEETH代币一同流出。盗窃行为本身在链上留有明确记录,但截至目前,没有任何公开报告说明攻击者是如何拿到受害者签名授权的,这一关键环节仍未查明。区块链安全公司ExVul于10月14日发出预警,其在X上发布的公告指出,攻击者以自己付费的方式提交了一笔type-4交易,其中携带受害者有效的EIP-7702授权,整个资金流转过程中没有出现闪电贷,也没有任何自动做市商操纵的痕迹。交易哈希为0x36e0d1491c14e3d8e50bc70d73675b89d2d4712814d16f808f957c84fde820ee,可在Etherscan上逐项核验。网络处理该授权之后,对这一钱包的后续调用便在受害者账户内部执行被委托合约的指令。案件的核心机制EIP-7702是以太坊的账户抽象功能:它允许普通的外部拥有账户将执行权委托给智能合约代码,从而实现第三方代付手续费、交易批量打包以及更灵活的钱包权限管理。该功能随以太坊Pectra升级上线,此后也一直支撑着正当用途,比如由第三方代付网络费用。但当被委托的代码本身带有恶意时,同样的设计就成了攻击面。以太坊自己的规范文档早已警告,设计不佳或恶意的委托合约可能让外部一方对受影响账户获得广泛控制权。本次暴露的账户是加密钱包地址0xd8ba9e5886b7000bace2c9dbdd0be98ac77d4a28,公告将其关联到sven.eth这一以太坊域名服务风格的标识;对这类域名不熟悉的读者可以参考我们关于注册.ETH域名的指南。需要说明的是,22,770美元这一数字只覆盖Ethereum (ETH)部分,公告并未对代币侧的损失给出美元估值。自2025年以来,类似的委托授权滥用在以太坊上持续被追踪,本案正属于这一模式。

ExVul的调查将攻击行为归因于地址0x9208097c007be15e28b20e94e66870a3f9f820bc,恶意委托指向0x0366b55f948a688888ca6e029ad0831f6ec260d1。攻击者自行支付了交易费用并亲自提交了签名授权,也就是说,激活恶意代码的这笔交易从头到尾没有经过钱包持有者之手,受害者既没有出资,也没有广播。代码一旦激活,便在受害者账户的上下文中运行:它调用PodMining.claim()函数领取奖励,把所得TAPEETH转移给控制者地址,随后将钱包内的ETH余额尽数转出。ExVul明确表示,这次攻击不是TAPEETH或PodMining的漏洞所致。其分析认定账户授权就是入口,没有发现任何涉及流动性池或价格操纵的利用行为。至于攻击者如何拿到受害者的授权,ExVul同样未能查明,其公开结论中没有点名任何钓鱼网站、恶意应用或被攻陷的签名界面。随后的预警重点在于EIP-7702委托的持续性:委托一旦设定,不会随交易结束而自动清除,被授权的合约会一直挂在钱包上,直到持有者主动替换或移除。持有者仍可通过原始私钥保持控制,并对零地址进行授权即可重置委托,但在这一变更被网络处理之前,恶意代码始终具有危险性。ExVul记录到,在以太坊区块26,188,153处,该恶意委托仍然处于激活状态,并提醒用户在此期间不要向该地址转入新资产。其建议是清除或替换授权,同时把幸存资产从暴露的热钱包转入冷钱包。公告没有说明受害者此后是否移除了恶意代码,也没有记录到任何追回资产的安排、挽回交易或执法行动。本案与更早的委托授权警告相呼应:2025年5月,做市商Wintermute发现,在观察到的EIP-7702委托中,超过97%指向完全相同的清扫合约,这类合约能把转入的ETH转移至攻击者控制的地址。与近期的Autheo桥攻击那样的跨链桥级盗窃相比,本案的作案手法明显不同。

签名如何到手仍是未解之谜

综合链上记录与ExVul的复盘,攻击机制已经清楚:一份签名过的EIP-7702授权,经攻击者付费的type-4交易激活,让代码得以在受害者账户内部领取奖励并扫走余额。根源在授权本身,处置方案也随之而来:清除或替换委托,然后把幸存资金转入硬件钱包。真正悬而未决的是链条的第一环,也就是产生受害者签名的那一步。没有任何钓鱼网站、恶意应用或被攻陷的签名工具被点名。公告记录了该委托在区块26,188,153时仍然有效;持有者此后是否已将其清除,则超出了现有链上记录所能证实的范围。