eip-7702

慢雾の創設者余弦は、ツイッターでバイナンスのハッカーがイーサリアム上でEIP-7702メカニズムを選択したのは、清掃作業を便利にするためであり、バイナンス関連のホットウォレットからトークンを大量に盗むためだと述べました。余弦は、チェーン上で見ると、ハッカーの操作はかなり粗雑であり、実際にコインを盗む前に数時間のリハーサル準備を行ったと強調しました。彼は、EIP-7702メカニズム自体には問題がなく、このプロトコルメカニズムがなくても、類似の操作を実現する他の方法が存在すると述べました。

オンチェーンデータによると、Binanceの盗まれたホットウォレットの一つであるBinance 14は、10月30日北京時間8:10にEIP-7702の承認を取り消しました。Binanceの今回の事件はEIP-7702の承認メカニズムに関わっており、このような承認が署名されると、ウォレットは特定のプログラムによって引き継がれ、承認が取り消されるまで続きます。今回の攻撃はこのメカニズムを悪用しました。攻撃者はBinanceのホットウォレットにEIP-7702の承認を署名させ、ウォレットの制御権を攻撃者が事前に展開した悪意のあるスクリーニングコントラクトに委託することに成功しました。承認が有効になると、その悪意のあるコントラクトはウォレットを操作する権限を得て、資産を自動的に一括で移動させることができ、プロセス全体でウォレットの所有者の追加署名は不要となります。

Coboの共同創設者である神魚が動画を公開し、チェーン上の視点からバイナンスの疑似盗難事件を振り返りました。神魚は、攻撃者が10月30日の午前4時20分に50件の承認リクエストを含む取引を放送し、約3分後に資産の大量移転を開始したと述べています。これはイーサリアム、トロンなど複数のチェーンに関わり、当時の価格を基に推定すると、移転された資産の総額は約580億ドルです。攻撃者はEIP-7702の承認メカニズムを利用して資産移転を実施し、事前に64種類のトークンを含む移転リストを作成し、テストウォレットを使用して2回のリハーサルを行いました。最後のリハーサルは正式な攻撃の約3時間半前でした。攻撃の過程で、攻撃者は一部のUSDTなどの凍結可能な資産をETHに交換し、発行者の凍結措置を回避しました。神魚は、現在までにTetherが13.8億USDTを凍結し、Circleが8.23億USDCを凍結し、Rippleが4054万RLUSDおよびその他のトークンを凍結したことを明らかにしました。イーサリアムチェーン上で移転された約37.5億ドルの資産のうち、約24億ドルが凍結されています。また、トロンチェーン上で移転された約6.3億ドルの資産のうち、約3.8億ドルが凍結されています。神魚は、核心的な問題は署名の段階にある可能性があり、現在のところ契約の脆弱性は発見されていないと考えています。私鍵の漏洩なのか、署名システムの悪用なのかは、バイナンスのさらなる確認を待つ必要があり、各取引プラットフォームに対して予期しない承認のリスクを調査するよう警告しています。約580億ドルは当時の価格を基に推定された複数のチェーンでの移転資産の総額であり、確認された最終的な盗難損失ではありません。

Binanceがハッキングされた疑いに関して、ハッカーがイーサリアムのEIP-7702メカニズムを利用してウォレットを制御し、資金を移動させた可能性があるとの見解があります。Xユーザー0xVEERは、開発者0xjustadevが約2年前のEIP-7702の議論の際にこのような状況について警告を発していたと投稿しました。現在、この事件がEIP-7702に関連しているかどうかはBinanceの公式に確認されておらず、上記の内容はあくまでコミュニティの見解です。添付されたスクリーンショットには、2024年10月にイーサリアムコミュニティフォーラムのEIP-7702（Set EOA account code）に関する議論スレッドで、開発者が当時のフィッシング手法が可読性があり、比較的模倣しやすいEIP-712署名に集中していたと指摘している様子が示されています。この提案は、攻撃者が可読性が低く、模倣が難しい署名を通じて、ネイティブトークンを含むすべての価値のある資産を移動させる可能性があるとしています。この開発者は、ウォレットがそのために高度に中央集権的な契約署名のホワイトリストを採用する可能性があり、安全性と分散化の後退を招くことを懸念しています。

ブロックチェーンセキュリティプラットフォーム Phalcon が発表しました。約 6 時間前、約 355 万ドルの未受領のクロスチェーン資金が受け取られ、転送されました。Phalcon は疑問を提起します：関連する取引は資金の所有者によって開始されたのか、それとも攻撃者が有効な EIP-7702 の権限を取得したのか。オンチェーン情報によると、受け取りはアドレス 0x24a9 から提出され、このアドレスの資金は Tornado Cash から来ており、外部アカウント上の EIP-7702 委託によって実行されています。2 件の取引金額はそれぞれ 133 万ドルと 222 万ドルで、オンチェーンデータは関連する権限が有効であることを確認しています。数日前、オンチェーン研究者 stuckfunds.eth はアドレス 0x4943 に対して何度もメッセージを送り、所有者に関連資金がまだ受け取れることを知らせました。現在、オンチェーンデータでは所有者が意図的に署名したのか、誘導されて署名したのか、または秘密鍵が漏洩したのかを確認することができません。

Specter の監視によると、長期間活動していない PancakeSwap の流動性提供者（LP）が悪意のある EIP-7702 認可に署名したため、約 296 万ドルの損失を被りました。報告によると、攻撃者は被害者が提供した約 148 万ドルの BSC-USD と 148 万ドルの BUSD の流動性を削除し、BUSD を ETH に交換しました。現在、攻撃者は Tornado Cash に約 146 万ドルの資金を預け入れ、残りの約 148 万ドルの USDT は攻撃者のアドレスに留まっています。

市場の情報によると、攻撃者は欠陥のある EIP-7702 アカウントを利用して、QNT 備蓄プールから 1,988.5 QNT（約 54.93 ETH）を盗みました。根本的な原因は、備蓄プールの管理者 EOA が EIP-7702 を通じてコードを BatchExecutor コントラクトに委託し、そのコントラクトが権限のない BatchCall コントラクトを承認された呼び出し元として設定したことです。BatchCall.batch() 関数には権限検証が設定されていないため、任意の外部呼び出し者が呼び出すことができ、最終的に備蓄プールの資産が枯渇する結果となりました。

慢雾は X プラットフォームで、MistEye が Fusion に関連する潜在的な疑わしい活動を検出したと発表しました。根本的な原因は、プロジェクトチームが EIP-7702 によって制御される EOA アカウントを通じて委託した基盤コントラクトに脆弱性が存在し、この脆弱性により任意の外部呼び出しが可能になり、攻撃者が PlasmaVault の悪意のあるブレークコントラクトを作成および構成できるため、コントラクトから資金を引き出すことができるということです。

ChainCatcher のメッセージ、GoPlus ブラウザセキュリティプラグインは現在 EIP-7702 検出機能を全面的にサポートしており、Web3 ユーザーにより強力なセキュリティ保護を提供します。このアップデートには、リアルタイムのリスク警告、高度な脅威検出、悪意のあるコントラクト保護などのコア機能が含まれており、取引中に EIP-7702 プロトコルに基づくさまざまな攻撃を即座に識別し、阻止することができます。このプロトコルのセキュリティ脅威に注目する最初のプラットフォームの一つとして、GoPlus はユーザーに拡張機能を迅速に更新し、最新のセキュリティツールを活用して自身を武装し、資産の安全を確保することを推奨します。

ChainCatcher のメッセージによると、Protos の報告では、Wintermute の研究が示すところによれば、ほぼ半数のイーサリアム改善提案 7702（EIP-7702）使用者の承認がフィッシングや資金盗取などの犯罪活動に関与しているとのことです。報告によれば、今年の 5 月 7 日以降、ユーザーはこの機能を 1,580,930 回アクティブにしており、そのうち Wintermute チームは 768,275 回（48%）を犯罪関連としてマークしています。これは、Vitalik Buterin が以前にこの一時的なスマートコントラクト機能がユーザーに「超能力」と「バリア」を提供すると主張したことと対照的です。EIP-7702 は、取引中にユーザーの署名アカウントを一時的にスマートコントラクトウォレットに変換することができ、ユーザー体験と安全性を向上させることを目的としています。

ChainCatcher のメッセージによると、SlowMist の余弦が発表したところによれば、あるユーザーが WLFI のプライベートセールに参加した後、秘密鍵の漏洩によりフィッシング攻撃を受け、MetaMask ウォレットの資産がすべて盗まれました。攻撃は EIP-7702 メカニズムの悪用が疑われており、ユーザーがガスを注入したり WLFI を引き出そうとすると、自動的に資産が転送される可能性があります。救済が必要な場合は、Flashbots を使用して同じブロックでのアービトラージ操作を試みることをお勧めしますが、ハードルは高いです。ユーザーには秘密鍵の漏洩による二次的リスクに対して十分な警戒を促します。

ChainCatcher のメッセージによると、オンチェーンセキュリティアナリスト Scam Sniffer（@realScamSniffer）が監視したところ、8 月 26 日に、あるユーザーが悪意のある EIP-7702 バッチトランザクションに署名した後、235,977 ドル相当の暗号資産を失ったとのことです。

ChainCatcher のメッセージ、SlowMist の創設者である余弦が Scam Sniffer が発表したセキュリティ警告を転送しました。今日、再びユーザーが EIP-7702 フィッシングバッチ取引に署名したため、約 154 万ドルを失いました。これは ETH、BTC など、イーサリアム上でステーキングされている複数のトークンに関わっています。このフィッシング手法は EIP-7702 を利用し、ユーザーの EOA アドレスを MetaMask: EIP-7702 Delegator に委任して、契約呼び出しを通じてその後のトークン移転操作を完了します。このフィッシング手法は主流のフィッシンググループによってエンジニアリング実践されており、不注意で取引を誘導されると、アカウントの資産全体を失うことになります。余弦は、ユーザーに取引を確認する前にウェブサイトとリンクの真実性を確認し、詐欺を防ぐよう警告しています。

ChainCatcher のメッセージによると、Scam Sniffer の監視により、ユーザーが EIP-7702 フィッシングバルクトランザクションに署名したため、約 154 万ドルを失ったことが報告されています。被害者が署名した EIP-7702 フィッシングバルクトランザクションには、複数のトークン転送と NFT 承認操作が含まれています。

ChainCatcher メッセージ公式の情報によると、GoPlus Security がセキュリティ警告を発表しました。最近、イーサリアムメインネット、BNBチェーン、Baseチェーンで再びEIP-7702スマートアカウントを狙ったフィッシング攻撃が発生しました。オンラインになってからわずか3日で数千のアドレスが被害を受け、損失は1万ドルを超える暗号資産となっています。攻撃者は1つのアドレスを使用して認可フィッシングを行い、一度ユーザーが認可すると、そのアドレスはユーザーがその後転送するBNBや他のトークンを自動的に引き出すことができます。GoPlusセキュリティチームはユーザーに警告します：見知らぬアドレスに送金したり、認可したりしないでください。現在の7702詐欺は、過去に漏洩した秘密鍵アドレスを利用して大規模なフィッシング攻撃を行っていますので、十分に警戒してください。

ChainCatcher のメッセージによると、TheBlock の報告で、Wintermute は最近警告を発表しました。Ethereum の Pectra アップグレードは、ユーザーが自動化攻撃に遭う可能性があります。Ethereum Pectra アップグレードの EIP-7702 機能（アカウント抽象化の改善）が悪用されており、80% 以上の承認が自動化攻撃に使用されています。ブロックチェーンセキュリティ会社 Scam Sniffer は最近、あるユーザーがフィッシング攻撃により約 15 万ドルを失ったことを監視しました。攻撃者は「CrimeEnjoyor」と呼ばれるコピー＆ペースト契約を展開し、私鍵が漏洩したウォレットを自動的に空にすることができます。EIP-7702 は Ethereum の創設者 Vitalik Buterin によって提案され、ウォレットに一時的にスマートコントラクト機能を持たせることでユーザー体験を向上させます。これには、複数の取引を一括処理すること、Gas 料金をスポンサーすること、生体認証/ソーシャル認証を使用すること、単一取引の上限を設定することなどが含まれます。Wintermute の Dune ダッシュボードによると、ほとんどの EIP-7702 の承認は同じ機能を持つ悪意のある契約に流れています。セキュリティ専門家の Taylor Monahan は、EIP-7702 によりアドレスを空にする「コストが低く、手間が少ない」と指摘しています。これについて Wintermute は、「これは滑稽であり、残酷です。同じコピーされたバイトコードが EIP-7702 の承認の大部分を占めています。」とコメントしました。BlockBeats は以前、SlowMist の創設者である余弦が、Ethereum の新しいメカニズム EIP-7702 の最大のユーザーは盗難団体（フィッシング組織ではなく）であると述べたと報じました。EIP-7702 は、承認を通じて私鍵またはニーモニックフレーズが漏洩したウォレットから自動的に資金を移動させることを許可し、97% 以上の EIP-7702 の委託が盗難契約を指しています。

ChainCatcher のメッセージ、Slow Mist の余弦が X プラットフォームで発表したところによると、EIP-7702 という新しいメカニズムで「最も高い」のはなんと盗難コイン団体（フィッシング団体ではない）で、漏洩した秘密鍵/リカバリーフレーズのウォレットアドレスから関連資金を自動的に転送するのが便利だということです... 97% 以上の EIP-7702 デリゲーションがこのような盗難コイン契約に権限を与えています。

ChainCatcher のメッセージによると、beincrypto の報道で、ブロックチェーンセキュリティプラットフォーム Scam Sniffer が、著名なフィッシング組織 Inferno Drainer が最近イーサリアムの EIP-7702 機能を利用して新たな攻撃を仕掛け、ユーザーが一度に 15 万ドルの損失を被ったと明らかにしました。EIP-7702 はイーサリアムの Pectra アップグレードにおける提案で、外部アカウント（EOA）が取引中に一時的にスマートコントラクトウォレットとして振る舞うことを許可します。攻撃者はこれを利用して、承認された MetaMask ウォレットを通じてユーザーの資産を一括で移転させ、ウォレットの権限を直接制御するのではありません。慢雾科技の創設者である余弦氏は、この種の攻撃が従来の秘密鍵の盗難から、"execute" コマンドを利用してバックグラウンドで悪意のある承認を実行する形に進化したと述べています。セキュリティ専門家は、ユーザーに対して定期的にトークンの承認状態を確認し、Etherscan などのツールを使用して異常な委任行為を特定し、潜在的なリスクを防ぐことを推奨しています。

ChainCatcher のメッセージ、GoPlus Security は本日警告しました。Pectra のアップグレードに伴い、数千のユーザーが EIP-7702 スマートアカウントを有効にしたことで、危険なフィッシング詐欺が発生しています。契約コードの分析により、悪意のある Delegator アドレス (0x930fcc37d6042c79211ee18a02857cb1fd7f0d0b) が一度承認されると、ユーザーのアカウント内の ETH が自動的に詐欺師のウォレットにリダイレクトされることが判明しました。セキュリティ専門家はユーザーに警告しています：公式ウォレットアプリを通じてのみ 7702 機能を承認し、外部リンクやメール内の「アップグレード」オプションをクリックしないようにし、常に契約ソースコードを確認してください。