Un usuario de Ethereum pierde $22,000 en un ataque a la billetera EIP-7702

Una billetera de Ethereum asociada con sven.eth ha perdido supuestamente 9.1231 ETH, valorados en aproximadamente $22,770, y 1.69271471 tokens TAPEETH después de que un atacante utilizara una autorización maliciosa de EIP-7702 para tomar control de la cuenta.

• La firma de seguridad ExVul informó que una billetera de Ethereum perdió 9.1231 ETH a través de una delegación de cuenta maliciosa.
• El ataque reportado involucró 1.69271471 tokens TAPEETH junto con Ethereum valorado en aproximadamente $22,770 en el momento de la detección.
• Una transacción EIP-7702 patrocinada supuestamente permitió que el código controlado por el atacante se ejecutara a través de la billetera de la víctima.
• ExVul atribuyó el robo a una autorización de billetera maliciosa, no a una vulnerabilidad en PodMining o TAPEETH.
• La firma de seguridad advirtió que la delegación maliciosa permaneció activa en el bloque 26,188,153 de Ethereum después.

La firma de seguridad blockchain ExVul reportó el incidente el 14 de octubre, identificando una transacción patrocinada por un atacante que activó código malicioso previamente autorizado por el propietario de la billetera. La firma atribuyó el robo a una delegación insegura, explicando que el atacante drenó la billetera sin explotar el protocolo DeFi subyacente.

El incidente reportado involucró la billetera vinculada a sven.eth y una dirección controlada por el atacante que comienza con 0x9208. Según la investigación de ExVul, la autorización permitió que el código instalado a través del mecanismo EIP-7702 de Ethereum operara con los permisos de la billetera.

El ataque EIP-7702 de Ethereum drena ETH y TAPEETH

El robo reportado involucró 9.1231 ETH y 1.69271471 TAPEETH, con la parte de ETH valorada en aproximadamente $22,770 cuando ExVul publicó sus hallazgos. La firma de seguridad no proporcionó una valoración en dólares separada para los tokens TAPEETH.

ExVul identificó el hash de la transacción como 0x36e0d1491c14e3d8e50bc70d73675b89d2d4712814d16f808f957c84fde820ee, vinculando la actividad a una transacción de tipo-4 de Ethereum patrocinada. Tales transacciones admiten autorizaciones EIP-7702, que permiten que direcciones de billetera ordinarias ejecuten código de contratos inteligentes.

La investigación atribuyó el ataque a 0x9208097c007be15e28b20e94e66870a3f9f820bc. La billetera de la víctima fue identificada como 0xd8ba9e5886b7000bace2c9dbdd0be98ac77d4a28, mientras que la delegación maliciosa apuntó a 0x0366b55f948a688888ca6e029ad0831f6ec260d1.

🚨 ALERTA --- Drenaje de Billetera EIP-7702 en Ethereum

sven.eth fue drenada por 9.1231 ETH netos (~$22.77K) más 1.69271471 TAPEETH.

No se involucró préstamo flash ni manipulación de AMM: el atacante patrocinó una transacción de tipo-4 que llevaba la autorización válida de EIP-7702 de la víctima, luego barrió...
--- ExVul (@exvulsec) 14 de octubre de 2026

Según la alerta de seguridad, el atacante presentó una transacción que contenía una autorización EIP-7702 firmada por la víctima. Una vez que Ethereum procesó esa autorización, las llamadas subsiguientes a la billetera afectada ejecutaron las instrucciones del contrato delegado dentro de la cuenta de la víctima.

El código controlado por el atacante supuestamente contenía una dirección fija autorizada para operar la billetera. El controlador luego invocó la función PodMining.claim(), transfirió las recompensas TAPEETH resultantes y retiró el saldo de ETH de la billetera.

ExVul enfatizó que "No se involucró préstamo flash ni manipulación de AMM." Sus hallazgos identificaron la autorización de la cuenta como el punto de entrada, sin evidencia en el análisis proporcionado de una explotación que involucrara pools de liquidez o manipulación de precios.

Cómo la delegación de billetera maliciosa habilitó el robo

EIP-7702 es parte del desarrollo de la abstracción de cuentas de Ethereum, permitiendo que cuentas de propiedad externa obtengan temporalmente funcionalidad de contrato inteligente a través de código delegado.

Bajo la especificación oficial de Ethereum, un usuario firma una autorización que identifica el contrato inteligente que controlará el comportamiento de ejecución de la cuenta. Una vez presentada a través de una transacción compatible, Ethereum registra la delegación y ejecuta el código designado cuando la billetera recibe llamadas relevantes.

La función admite aplicaciones legítimas, incluidas transacciones patrocinadas, agrupamiento de transacciones y permisos de billetera más flexibles. Un usuario puede autorizar múltiples acciones a través de una sola transacción o permitir que un tercero cubra la tarifa de red.

Sin embargo, el mismo mecanismo conlleva riesgos de seguridad cuando una cuenta delega la ejecución a un código malicioso. La especificación EIP-7702 de Ethereum explica que los contratos de delegación mal diseñados o maliciosos pueden otorgar a una parte externa un control extenso sobre la cuenta.

En este incidente, el atacante supuestamente pagó la tarifa de transacción y presentó la autorización firmada. El propietario de la billetera no necesitaba financiar ni difundir la transacción que activó la delegación maliciosa.

La firma proporcionó autoridad a la billetera para ejecutar el código del atacante. Una vez activado, el código operó bajo el contexto de la cuenta de la víctima, permitiendo que la dirección controladora iniciara las transferencias de activos reportadas.

ExVul declaró que la explotación "no es un error de TAPEETH / PodMining." La conclusión distingue el mecanismo de autorización de una vulnerabilidad en el token o el contrato de recompensa.

La firma no estableció cómo el atacante obtuvo la autorización de la víctima. Sus hallazgos públicos no identifican un sitio web de phishing específico, aplicación maliciosa o interfaz de firma comprometida.

La autorización maliciosa podría amenazar futuros depósitos

Después del robo reportado, ExVul advirtió que la delegación maliciosa de la billetera permanecía activa en el bloque 26,188,153 de Ethereum.

La advertencia se refiere a una característica de EIP-7702: establecer una delegación no la elimina automáticamente cuando la transacción finaliza. El contrato autorizado puede seguir asociado con la billetera hasta que el propietario de la cuenta reemplace o elimine la delegación.

La guía de seguridad oficial de Ethereum explica que un propietario de billetera retiene el control a través de la clave privada original, incluida la capacidad de restablecer la delegación autorizando la dirección cero. Sin embargo, el código delegado malicioso puede seguir siendo peligroso hasta que el cambio se procese con éxito.

ExVul advirtió a los usuarios que no transfirieran nuevos activos a la dirección afectada mientras la delegación sospechosa permaneciera activa. Los fondos recién depositados podrían enfrentar la misma exposición si el código del atacante continuaba controlando los permisos de gasto.

La firma recomendó eliminar o reemplazar la autorización y mover los activos restantes a una billetera segura. Tales acciones de recuperación requieren cuidado porque la dirección afectada puede ejecutar instrucciones maliciosas mientras la delegación persista.

La advertencia se basó en el estado de la delegación observado en el bloque 26,188,153. La alerta original de ExVul no estableció si la víctima había eliminado posteriormente el código malicioso o recuperado algún activo.

No se identificó ningún acuerdo de reembolso, transacción de recuperación o acción de las fuerzas del orden en la investigación proporcionada.

EIP-7702 ha enfrentado preocupaciones de seguridad de billetera anteriores

El último ataque reportado sigue a advertencias previas de investigadores de seguridad blockchain sobre delegaciones de cuentas maliciosas.

En mayo de 2025, el creador de mercado de criptomonedas Wintermute identificó el uso generalizado de contratos EIP-7702 diseñados para drenar automáticamente fondos de billeteras de Ethereum comprometidas.

La investigación de Wintermute encontró que más del 97% de las delegaciones EIP-7702 observadas en esa etapa apuntaban a contratos que utilizaban código idéntico. Su análisis asoció muchas de esas delegaciones con barrenderos automáticos que podían transferir ETH entrante a direcciones controladas por atacantes.

Un incidente separado que involucró tokens de World Liberty Financial en septiembre de 2025 planteó preocupaciones similares. El investigador de blockchain Yu Xian informó que los atacantes estaban utilizando permisos de billetera comprometidos y delegación EIP-7702 para atacar a los titulares después de que las transferencias de tokens se hicieran disponibles.

Los ataques de phishing contra los titulares de tokens WLFI involucraron contratos de delegación maliciosos que permitieron a los atacantes ejecutar transacciones no autorizadas. Los investigadores vincularon la actividad a credenciales de billetera comprometidas y autorizaciones fraudulentas.

En julio de 2026, otro incidente de phishing en Ethereum que involucró casi 1 millón de dólares demostró cuán peligrosas pueden ser las aprobaciones de billetera para exponer las tenencias de criptomonedas. Ese caso involucró permisos de transacción maliciosos y no se estableció como el mismo método de explotación reportado contra sven.eth.

La especificación EIP-7702 de Ethereum identifica varias salvaguardias para los desarrolladores que construyen contratos de delegación, incluyendo protección contra repetición, parámetros de transacción autenticados y procedimientos de inicialización seguros.

La especificación advierte que los contratos de delegación mal implementados pueden dar a los actores maliciosos un control casi completo sobre la cuenta afectada. Recomienda verificar cuidadosamente los permisos otorgados al código delegado, particularmente cuando partes externas pueden enviar transacciones en nombre de los propietarios de billeteras.

La alerta de ExVul del 14 de octubre identificó el contrato malicioso, la dirección del controlador y la cuenta afectada, pero no divulgó si la víctima había reemplazado la autorización desde entonces. La investigación registró la delegación sospechosa como activa en el bloque 26,188,153.