ExVul, EIP-7702 Yetkilendirmesiyle 9,1231 ETH Boşaltılan Ethereum (ETH) Cüzdanını Tespit Etti

sven.eth Cüzdanından 9,1231 ETH Boşaltıldı

sven.eth adına bağlı bir Ethereum (ETH) cüzdanı, kötü niyetli bir EIP-7702 yetkilendirmesi hesabı dışarıdaki bir tarafın kontrolüne soktuğu için 9,1231 ETH kaybetti. Bulguların yayımlandığı andaki Ethereum fiyatıyla bu tutar yaklaşık 22.770 dolar ediyor; cüzdan ayrıca 1,69271471 TAPEETH de yitirdi. Hırsızlığın kendisi zincir üstü kayıtlarda belgeli durumda. Buna karşılık saldırganın mağdurun imzalı yetkilendirmesini nasıl ele geçirdiği, olayı bugüne kadar raporlayan hiçbir tarafta açıklığa kavuşmadı. Blockchain güvenlik şirketi ExVul, boşaltma işlemini 14 Ekim'de işaret etti. Şirketin X'te yayımladığı uyarı, saldırgan tarafından ödenen ve mağdurun geçerli EIP-7702 yetkilendirmesini taşıyan tip-4 bir işlemi tarif ediyor; akışın hiçbir aşamasında anlık kredi ya da otomatik piyasa yapıcı manipülasyonu yok. İşlem karması, 0x36e0d1491c14e3d8e50bc70d73675b89d2d4712814d16f808f957c84fde820ee, Etherscan üzerinden doğrulanabilir. Ağ yetkilendirmeyi işledikten sonra cüzdana yapılan sonraki çağrılar, devredilen sözleşmenin talimatlarını mağdurun hesabının içinde çalıştırdı. Vakânın merkezindeki mekanizma EIP-7702, Ethereumun hesap soyutlama özelliği: sıradan bir harici sahipli hesabın yürütümü akıllı sözleşme koduna devretmesine izin veriyor; bu da başkasının ücret ödemesi, işlemleri paketleme ve daha esnek cüzdan yetkileri gibi kullanımları mümkün kılıyor. Özellik Ethereumun Pectra yükseltmesiyle geldi ve o zamandan beri üçüncü tarafların ağ ücretlerini karşılaması gibi meşru amaçlara hizmet etti. Aynı tasarım, devredilen kod düşmanca olduğunda saldırı yüzeyine dönüşüyor. Ethereumun kendi şartnamesi, kötü tasarlanmış ya da kötü niyetli devretme sözleşmelerinin etkilenen hesap üzerindeki geniş kontrolü dışarıdaki bir tarafa verebileceği konusunda uyarıyor. İfşa olan hesap, uyarının sven.eth'e bağladığı, Ethereum (ETH) Name Service tarzı bir tanımlayıcı olan 0xd8ba9e5886b7000bace2c9dbdd0be98ac77d4a28 adlı cüzdan adresi; bu tür alan adlarına yabancı okurlar, .ETH alan adı alma rehberimize bakabilir. 22.770 dolarlık rakam yalnızca ETH tarafını kapsıyor; uyarı, kaybın token tarafına dolar değeri koymuyor. Benzer devretme istismarı 2025'ten bu yana Ethereum genelinde izleniyor ve bu vaka o desene uyuyor.

ExVul'un incelemesi saldırıyı 0x9208097c007be15e28b20e94e66870a3f9f820bc adresine bağladı; kötü niyetli devretme ise 0x0366b55f948a688888ca6e029ad0831f6ec260d1'yi işaret ediyor. İşlem ücretini saldırgan ödedi ve imzalı yetkilendirmeyi bizzat kendisi sundu, yani düşmanca kodu etkinleştiren işlemi cüzdan sahibi ne finanse etti ne de yayımladı. Kod etkinleştiğinde mağdurun hesap bağlamında çalıştı: PodMining.claim() fonksiyonunu çağırdı, doğan TAPEETH ödülleri kontrol edene taşıdı ve cüzdanın ETH bakiyesini çekti. Şirket, istismarın TAPEETH ya da PodMining hatası olmadığını belirtti. Analizi hesap yetkilendirmesini giriş noktası olarak saptadı; likidite havuzlarına yönelik bir istismara ya da fiyat manipülasyonuna dair kanıt yok. ExVul, saldırganın mağdurun yetkilendirmesini nasıl elde ettiğini kuramadı; kamuya açık bulgular hiçbir kör imzalama riski taşıyan arayüz, kimlik avı sitesi ya da zararlı uygulama adı vermiyor. Uyarının ardından gelen konu, EIP-7702 devretmelerinin kalıcılığı. Bir devretme, kurulduktan sonra işlemin bitmesiyle kendiliğinden temizlenmiyor: yetkili sözleşme, sahibi onu değiştirene ya da kaldırana kadar cüzdana bağlı kalıyor. Sahip, orijinal özel anahtarı üzerinden kontrolünü sürdürüyor ve sıfır adresini yetkilendirerek devretmeyi sıfırlayabiliyor; ama düşmanca kod, o değişiklik işlenene kadar tehlikeli kalabiliyor. ExVul, kötü niyetli devretmeyi Ethereum (ETH) blok 26.188.153'te hâlâ etkin olarak kaydetti ve bu sürdüğü sürece adrese yeni varlık gönderilmemesi gerektiği uyarısında bulundu. Şirketin önerisi, yetkilendirmenin temizlenmesi ya da değiştirilmesi ve ayakta kalan varlıkların ifşa olmuş hot wallet tanımlı çevrimiçi cüzdandan bir soğuk cüzdana taşınması oldu. Uyarı, mağdurun sonradan kodu kaldırıp kaldırmadığını ya da varlıkların herhangi bir kısmını geri alıp almadığını saptamadı; bir tazminat düzenlemesi, kurtarma işlemi ya da kolluk kuvvetleri adımı da tespit edilmedi. Vaka, daha önceki devretme uyarılarını çağrıştırıyor: Mayıs 2025'te piyasa yapıcı Wintermute, gözlemlenen EIP-7702 devretmelerinin yüzde 97'sinden fazlasının, kendisine gelen ETH'yi saldırganın kontrolündeki adreslere taşıyabilen birbirinin aynı süpürücü sözleşmelere işaret ettiğini saptamıştı. Buradaki yöntem, yakın tarihte bir köprü protokolü düzeyindeki Autheo köprüsü istismarı gibi hırsızlıklardan ayrılıyor.

İmzanın Nasıl Ele Geçirildiği Açık Değil

Zincir üstü kayıt ile ExVul'un olay sonrası analizi birleşince mekanizma netleşiyor: saldırganın ödediği bir tip-4 işlemle etkinleştirilen imzalı bir EIP-7702 yetkilendirmesi, mağdurun hesabının içindeki kodun ödülleri talep etmesine ve bakiyeyi süpürmesine izin verdi. Kök neden yetkilendirmenin kendisinde duruyor ve çözüm de buradan çıkıyor: devretmeyi temizlemek ya da değiştirmek, sonra ayakta kalan fonları bir donanım cüzdanına taşımak. Kimsenin kapatamadığı kısım, zincirin ilk halkası: mağdurun imzasını üreten adım. Hiçbir kimlik avı sitesi, zararlı uygulama ya da ele geçirilmiş imzalama arayüzü adlandırılmadı. Uyarı, devretmeyi blok 26.188.153'te etkin olarak kaydediyor; sahibin o tarihten sonra onu temizleyip temizlemediği ise belgelenmiş kaydın dışında kalıyor.