Une étude évaluée par des pairs, présentée pour USENIX Security '26, a révélé que des contrats liés à des attaquants étaient associés à 63 % des transactions d'autorisation EIP-7702 d'Ethereum durant les premiers mois de fonctionnement de la fonction de délégation de portefeuille. Les chercheurs ont suivi 3,66 millions de transactions d'autorisation sur sept chaînes jusqu'en juillet 2025, mesuré 2,36 millions de dollars de pertes confirmées et identifié 10,14 millions de dollars supplémentaires d'actifs exposés en raison de défenses de contrats obsolètes.

La fonctionnalité en question, EIP-7702, permet à un portefeuille Ethereum classique d'agir temporairement comme un contrat intelligent. Elle est entrée en vigueur dans le cadre de la mise à niveau Pectra le 7 mai 2025. La proposition, coécrite par le cofondateur d'Ethereum Vitalik Buterin, a été introduite durant la planification de Pectra en remplacement de la conception antérieure EIP-3074 et s'inscrit dans l'effort plus large d'abstraction de comptes d'Ethereum visant à donner aux portefeuilles ordinaires des capacités qui exigeaient auparavant un contrat distinct.

L'équipe de recherche a étudié plus de 22,8 milliards de transactions sur sept blockchains : Ethereum, Binance Smart Chain, Polygon, Optimism, Arbitrum, Base et Gnosis. Dans cet ensemble de données, elle a recensé 3 664 166 transactions d'autorisation EIP-7702 jusqu'au 15 juillet 2025. Parmi celles-ci, 2 322 548 transactions, soit 63 %, étaient liées à des contrats que les chercheurs ont identifiés comme malveillants. L'équipe a utilisé des filtres de transactions, des analyses de code et des examens manuels pour confirmer au total 924 contrats malveillants.

Le fonctionnement de la fonction de délégation

EIP-7702 permet à une adresse de portefeuille de pointer vers un code de contrat distinct sans modifier l'adresse elle-même. Le propriétaire d'origine conserve sa clé privée, mais le code lié peut agir avec l'autorité complète de ce compte. Comme l'adresse reste la même, les fonds, l'historique et l'identité sont conservés ; ce qui change, c'est que le comportement du compte est défini par le code vers lequel il pointe actuellement. Une délégation peut également être modifiée ou annulée en signant une nouvelle autorisation, de sorte que le code visible on-chain ne reflète que la plus récente.

Cette configuration permet aux portefeuilles d'ajouter des fonctionnalités telles que le regroupement de plusieurs actions en une seule transaction ou le paiement des frais de gaz par un tiers. Elle signifie aussi que le code lié fait partie de la sécurité du portefeuille. Si ce code est défectueux ou rédigé par un attaquant, il peut approuver des transferts, déplacer des fonds ou interagir avec des applications comme s'il était le propriétaire du compte.

Selon les chercheurs, les attaquants préparaient ces autorisations à l'avance et incitaient les victimes à les signer, parfois via une invite de portefeuille qui n'indiquait pas clairement quel code était approuvé.

Pertes confirmées et actifs exposés

L'étude a mesuré 2 362 848,76 dollars de pertes confirmées sur trois types d'attaques.

Une autre partie de la recherche a examiné des contrats plus anciens qui supposaient qu'une adresse de portefeuille ne pouvait jamais se comporter comme un contrat. Cette hypothèse, valable depuis le lancement d'Ethereum et utilisée comme contrôle de sécurité courant, a cessé d'être vraie dès la mise en service d'EIP-7702. Les chercheurs ont trouvé 967 contrats Ethereum actifs reposant encore sur elle comme contrôle de sécurité, exposant environ 10,14 millions de dollars d'actifs à un risque potentiel.

Les chercheurs ont également documenté des attaquants rétablissant un compte sur un code d'apparence normale après une attaque, ce qui rend difficile, pour quiconque vérifie l'état actuel d'un portefeuille, de détecter une compromission antérieure. Ils ont par ailleurs trouvé 500 cibles de délégation pointant vers des adresses sur lesquelles aucun code n'a encore été déployé. Du code pourrait être ajouté ultérieurement à ces adresses, modifiant le comportement réel du portefeuille alors que sa cible enregistrée reste inchangée.

Les auteurs de l'étude soulignent que leur méthode peut ne pas détecter tous les contrats malveillants, en particulier les plus récents ou ceux employant d'autres méthodes d'attaque. Les 924 contrats confirmés représentent ce que les chercheurs ont pu vérifier, et non l'ampleur totale des abus.

Recommandations et propositions pour les portefeuilles

En réponse, Ethereum.org a publié des recommandations suggérant aux portefeuilles d'établir des listes blanches de contrats de délégation, d'indiquer clairement aux utilisateurs le code qu'ils approuvent et de s'appuyer uniquement sur des implémentations de comptes intelligents auditées. Une proposition connexe préconise que les portefeuilles s'en tiennent à une courte liste de systèmes de comptes examinés publiquement plutôt que de permettre à n'importe quelle application de demander du code de délégation personnalisé. Étant donné que les demandes de délégation parviennent aux utilisateurs via les interfaces des portefeuilles plutôt qu'au niveau du protocole, l'adoption de ces protections au niveau de l'interface constitue actuellement la défense pratique.

Les chercheurs et les développeurs d'Ethereum poussent désormais les portefeuilles à vérifier et à afficher clairement tout code vers lequel un compte délègue.

Source : Blockonomi