ExVul, EIP-7702 Yetkilendirmesiyle 9,1231 ETH Boşaltılan Ethereum (ETH) Cüzdanını Tespit Etti

Güncelleme 17:45 UTC: Aynı gün ayrıca bildirilen ikinci bir olayda güvenlik firması Blockaid, Ethereum (ETH) üzerindeki UNCX Network'ün ortak token vesting havuzunda (vesting pool) süren bir sömürüyi (exploit) raporladı; tek bir işlemle yaklaşık 86.000 dolar boşaltıldı.

sven.eth Cüzdanından EIP-7702 Yoluyla 9,1231 ETH Boşaltıldı

sven.eth ismine bağlı bir Ethereum (ETH) cüzdanı, kötü niyetli bir EIP-7702 yetkilendirmesi hesabı üçüncü bir tarafın kontrolüne geçirdikten sonra 9,1231 ETH ile birlikte 1,69271471 TAPEETH kaybetti. Bulguların yayımlandığı andaki Ethereum fiyatı üzerinden ETH tarafının değeri kabaca 22.770 dolara denk geliyor. Zincir üstü kayıtlar hırsızlığın kendisini belgeliyor; saldırganın mağdurun imzalı yetkilendirmesine nasıl ulaştığı ise olayı bugüne dek inceleyen hiçbir kaynak tarafından aydınlatılamadı. Blok zincir güvenlik firması ExVul, boşaltmayı 14 Ekim'de teşhis etti. X üzerinde paylaşılan uyarı, mağdurun geçerli EIP-7702 yetkilendirmesini taşıyan, saldırgan tarafından ödenen bir tip-4 işlemi tarif ediyor; akışın hiçbir aşamasında flash loan ya da otomatik piyasa yapıcı (automated market maker) manipülasyonu görünmüyor. İşlem karması 0x36e0d1491c14e3d8e50bc70d73675b89d2d4712814d16f808f957c84fde820ee ve Etherscan üzerinden herkes tarafından doğrulanabilir durumda. Ağ o yetkilendirmeyi işledikten sonra cüzdana gelen çağrılar, delege edilen sözleşmenin talimatlarını mağdurun hesabı içinde çalıştırdı.

Olayın merkezindeki mekanizma EIP-7702, Ethereum'un hesap soyutlama özelliği: sıradan bir harici sahipli hesabın, çalışmasını akıllı sözleşme koduna devretmesine izin veriyor. Bu sayede üçüncü tarafların işlem ücreti ödemesi, işlemlerin paketlenmesi ve daha esnek cüzdan izinleri gibi kullanımlar mümkün oluyor. Özellik, Ethereum'un Pectra güncellemesiyle kullanıma sunuldu ve o günden beri ağ ücretlerini başkalarının karşılaması gibi meşru senaryolarda çalışıyor. Ancak delege edilen kod düşmanca olduğunda aynı tasarım bir saldırı yüzeyine dönüşüyor. Ethereum'un kendi şartnamesi de kötü tasarlanmış ya da zararlı delege sözleşmelerinin, etkilenen hesap üzerinde geniş kontrole yol açabileceği konusunda uyarıyor. Saldırıya uğrayan hesap, uyarının sven.eth'e bağladığı 0xd8ba9e5886b7000bace2c9dbdd0be98ac77d4a28 adresli kripto cüzdan adresi; sven.eth ise Ethereum (ETH) Name Service tarzı bir kimlik. Bu tür isimleri ilk kez duyan okuyucular, .ETH alan adı alma rehberimize bakabilir. 22.770 dolarlık rakam yalnızca ETH tarafını kapsıyor; uyarı, kaybın token tarafına bir dolar değeri sabitlemiyor. 2025'ten bu yana Ethereum üzerinde benzer delege kötüye kullanımları izleniyor ve bu olay da o örüntüye oturuyor.

ExVul'un incelemesi saldırıyı 0x9208097c007be15e28b20e94e66870a3f9f820bc adresine atfetti; zararlı delege ise 0x0366b55f948a688888ca6e029ad0831f6ec260d1 adresine işaret ediyor. İşlem ücretini saldırgan ödedi ve imzalı yetkilendirmeyi de kendisi zincire taşıdı; yani düşmanca kodu devreye alan işlemi cüzdan sahibi ne finanse etti ne de yayımladı. Kod bir kez etkinleşince mağdurun hesap bağlamında çalıştı: PodMining.claim() fonksiyonunu çağırdı, üretilen TAPEETH ödülleri kontrolör adresine taşıdı ve cüzdanın ETH bakiyesini çekti. Firma, sömürünün bir TAPEETH ya da PodMining hatası olmadığını belirtiyor. Analiz, giriş noktası olarak hesap yetkilendirmesini gösteriyor; likidite havuzlarını içeren bir istismar ya da fiyat manipülasyonuna dair hiçbir kanıt yok. ExVul, saldırganın mağdurun yetkilendirmesini nasıl elde ettiğini ise tespit edememiş; kamuya açık bulgularında bir kimlik avı sitesi, zararlı uygulama ya da ele geçirilmiş imza arayüzü adı geçmiyor. Uyarının devamındaki başlık, EIP-7702 delegasyonlarının kalıcılığı: bir delege, işlem bittiğinde kendiliğinden silinmiyor; yetkili sözleşme, sahibi onu değiştirene ya da kaldırana kadar cüzdana bağlı kalıyor. Sahip, orijinal özel anahtarla kontrolü elinde tutuyor ve sıfır adresini yetkilendirerek delegasyonu sıfırlayabiliyor; ama bu değişiklik işlenene kadar zararlı kod tehlike oluşturmayı sürdürüyor. ExVul, zararlı delegasyonu Ethereum'un 26.188.153 numaralı bloğunda hâlâ aktif olarak kaydetti ve bu süreçte adrese yeni varlık gönderilmemesi gerektiği uyarısında bulundu. Tavsiye, yetkilendirmenin temizlenmesi ya da değiştirilmesi ve hayatta kalan varlıkların ele maruz sıcak cüzdandan soğuk cüzdana taşınması yönündeydi. Uyarı, mağdurun sonradan kodu kaldırıp kaldırmadığını ya da varlık kurtarıp kurtarmadığını tespit edememiş; bir geri ödeme düzenlemesi, kurtarma işlemi ya da kolluk kuvvetleri adımı da görünmüyor. Olay, daha önceki delege uyarılarını hatırlatıyor: Mayıs 2025'te piyasa yapıcı Wintermute, gözlemlenen EIP-7702 delegasyonlarının yüzde 97'sinden fazlasının, gelen ETH'yi saldırgan kontrollü adreslere aktarabilen özdeş boşaltma sözleşmelerine işaret ettiğini tespit etmişti. Buradaki yöntem, yakın tarihli Autheo köprü sömürüsü gibi köprü düzeyindeki hırsızlıklardan ayrışıyor.

Aynı gün ayrıca işaretlenen ikinci olayda güvenlik firması Blockaid, Ethereum (ETH) üzerindeki UNCX Network'ün ortak token vesting havuzunda süren bir sömürü bildirdi; tek bir işlemle yaklaşık 86.000 dolar boşaldı. Blockaid'in 14 Ekim'de X'te yayımladığı uyarı, saldırının hâlâ sürdüğünü yazdı: sömürücü birkaç vesting pozisyonu açtı, büyük bir pozisyonu serbest bıraktı, havuzu ek tokenlarla doldurdu, ardından doldurduğu pozisyonu iptal etti ve başka kullanıcıların tokenlarını çekebilen küçük bir yuva bıraktı. UNCX sözleşmeleri blok zincirler arasında toplam yaklaşık 179,7 milyon dolar tutuyor; bunun 111,4 milyon dolarlık bölümü Ethereum üzerinde. Firma iki sömürücü cüzdan adlandırdı ve uyarının yayımlandığı anda UNCX'ten kamuya açık bir açıklama gelmemişti.

@blockaid_ · X gönderisi

Hâlâ sürdüğünü.

X'te görüntüle

İmzanın Nasıl Elde Edildiği Belirsizliğini Koruyor

Zincir üstü kayıt ile ExVul'un olay sonrası analizi bir araya geldiğinde mekanizma netleşiyor: saldırgan tarafından ödenen bir tip-4 işlemiyle etkinleştirilen imzalı bir EIP-7702 yetkilendirmesi, mağdurun hesabı içindeki kodun ödül talep etmesine ve bakiyeyi süpürmesine izin verdi. Kök neden yetkilendirmede duruyor ve çözüm de oradan çıkıyor: delegasyonu temizleyin ya da değiştirin, sonra hayatta kalan fonları bir donanım cüzdanına taşıyın. Kimsenin çözemediği ise zincirin ilk halkası, mağdurun imzasını üreten adım. Adı geçen bir kimlik avı sitesi, zararlı uygulama ya da ele geçirilmiş imzalayıcı yok. Uyarı, delegasyonu 26.188.153 numaralı blokta aktif olarak kaydediyor; sahibin o tarihten sonra onu temizleyip temizlemediği ise belgelenmiş kaydın dışında kalıyor.