Eine begutachtete Studie, die für die USENIX Security '26 vorgestellt wurde, hat ergeben, dass mit Angreifern verbundene Contracts in den ersten Monaten des Betriebs der Wallet-Delegationsfunktion mit 63 % der EIP-7702-Autorisierungstransaktionen von Ethereum verbunden waren. Die Forscher verfolgten bis Juli 2025 3,66 Millionen Autorisierungstransaktionen über sieben Chains hinweg, ermittelten 2,36 Millionen US-Dollar an bestätigten Verlusten und identifizierten weitere 10,14 Millionen US-Dollar an Vermögenswerten, die durch veraltete Contract-Sicherheitsmechanismen gefährdet waren.

Die betreffende Funktion, EIP-7702, ermöglicht es einer herkömmlichen Ethereum-Wallet, vorübergehend wie ein Smart Contract zu agieren. Sie ging am 7. Mai 2025 als Teil des Pectra-Upgrades live. Der Vorschlag, den Ethereum-Mitgründer Vitalik Buterin mitverfasst hat, wurde während der Pectra-Planung als Ersatz für das frühere EIP-3074-Design eingeführt und ist Teil von Ethereums umfassenderen Bestrebungen um Kontoabstraktion, gewöhnlichen Wallets Funktionen zu geben, die zuvor einen separaten Contract erforderten.

Das Forschungsteam untersuchte mehr als 22,8 Milliarden Transaktionen auf sieben Blockchains: Ethereum, Binance Smart Chain, Polygon, Optimism, Arbitrum, Base und Gnosis. In diesem Datensatz fanden sie bis zum 15. Juli 2025 3.664.166 EIP-7702-Autorisierungstransaktionen. Davon waren 2.322.548 Transaktionen, also 63 %, mit Contracts verbunden, die die Forscher als bösartig einstuften. Das Team nutzte Transaktionsfilter, Codeanalysen und manuelle Überprüfungen, um insgesamt 924 bösartige Contracts zu bestätigen.

Wie die Delegationsfunktion funktioniert

EIP-7702 ermöglicht es einer Wallet-Adresse, auf separaten Contract-Code zu verweisen, ohne die Adresse selbst zu ändern. Der ursprüngliche Besitzer behält seinen privaten Schlüssel, doch der verknüpfte Code kann mit der vollen Befugnis dieses Kontos handeln. Da die Adresse gleich bleibt, bleiben auch Guthaben, Verlauf und Identität erhalten; was sich ändert, ist, dass das Verhalten des Kontos durch den Code bestimmt wird, auf den es jeweils aktuell verweist. Eine Delegation kann auch durch die Signatur einer neuen Autorisierung geändert oder aufgehoben werden, sodass der auf der Chain sichtbare Code nur die zuletzt festgelegte Delegation widerspiegelt.

Diese Konstruktion ermöglicht es Wallets, Funktionen hinzuzufügen, etwa mehrere Aktionen in einer Transaktion zu bündeln oder die Gas-Gebühr von jemand anderem bezahlen zu lassen. Sie bedeutet aber auch, dass der verknüpfte Code Teil der Sicherheit der Wallet wird. Ist dieser Code fehlerhaft oder von einem Angreifer geschrieben, kann er Überweisungen genehmigen, Guthaben verschieben oder mit Anwendungen interagieren, als wäre er der Kontoinhaber.

Laut den Forschern bereiteten Angreifer diese Autorisierungen im Voraus vor und brachten Opfer dazu, sie zu signieren – in einigen Fällen über eine Wallet-Abfrage, die nicht klar zeigte, welcher Code genehmigt wurde.

Bestätigte Verluste und gefährdete Vermögenswerte

Die Studie verzeichnete 2.362.848,76 US-Dollar an bestätigten Verlusten über drei Angriffstypen hinweg.

Ein separater Teil der Forschungsarbeit untersuchte ältere Contracts, die annahmen, dass eine Wallet-Adresse niemals wie ein Contract agieren könnte. Diese Annahme hatte seit dem Start von Ethereum Bestand und diente als verbreitete Sicherheitsprüfung, doch sie verlor mit dem Livegang von EIP-7702 ihre Gültigkeit. Die Forscher fanden 967 aktive Ethereum-Contracts, die sie weiterhin als Sicherheitsprüfung nutzten, wodurch rund 10,14 Millionen US-Dollar an Vermögenswerten potenziell gefährdet waren.

Die Forscher dokumentierten zudem, dass Angreifer ein Konto nach einem Angriff wieder auf unauffällig aussehenden Code umstellten, was es für jeden, der den aktuellen Zustand einer Wallet prüft, erschwert zu erkennen, dass sie zuvor kompromittiert wurde. Außerdem fanden sie 500 Delegationsziele, die auf Adressen verwiesen, auf denen noch kein Code bereitgestellt war. Auf diese Adressen könnte später Code hinzugefügt werden, der das tatsächliche Verhalten der Wallet ändert, während das erfasste Ziel gleich bleibt.

Die Autoren der Studie weisen darauf hin, dass ihre Methode möglicherweise nicht jeden bösartigen Contract erfasst, insbesondere neuere oder solche, die andere Angriffsmethoden verwenden. Die 924 bestätigten Contracts stellen dar, was die Forscher verifizieren konnten, nicht das gesamte Ausmaß des Missbrauchs.

Wallet-Leitlinien und Vorschläge

Als Reaktion darauf hat Ethereum.org Leitlinien veröffentlicht, die Wallets empfehlen, Delegations-Contracts auf eine Whitelist zu setzen, Nutzern klar anzuzeigen, welchen Code sie genehmigen, und ausschließlich geprüfte Smart-Account-Implementierungen zu verwenden. Ein damit verbundener Vorschlag sieht vor, dass Wallets sich auf eine kurze Liste öffentlich begutachteter Kontosysteme beschränken, anstatt beliebigen Anwendungen die Anfrage von benutzerdefiniertem Delegations-Code zu erlauben. Da Delegationsanfragen die Nutzer innerhalb von Wallet-Oberflächen und nicht auf Protokollebene erreichen, liegt die praktische Verteidigung derzeit in der Übernahme dieser Schutzmaßnahmen auf Oberflächenebene.

Forscher und Ethereum-Entwickler fordern Wallets nun auf, jeden Code, an den ein Konto delegiert, zu prüfen und klar anzuzeigen.

Quelle: Blockonomi