Uno studio sottoposto a revisione paritaria e presentato per USENIX Security '26 ha rilevato che contratti legati ad attaccanti erano associati al 63% delle transazioni di autorizzazione EIP-7702 di Ethereum nei primi mesi di attività della funzione di delega del wallet. I ricercatori hanno tracciato 3,66 milioni di transazioni di autorizzazione su sette chain fino a luglio 2025, misurato 2,36 milioni di dollari di perdite confermate e individuato altri 10,14 milioni di dollari in asset esposti a causa di difese contrattuali obsolete.

La funzione in questione, EIP-7702, consente a un normale wallet Ethereum di agire temporaneamente come uno smart contract. È entrata in funzione con l'upgrade Pectra il 7 maggio 2025. La proposta, co-firmata dal co-fondatore di Ethereum Vitalik Buterin, è stata introdotta durante la pianificazione di Pectra in sostituzione del precedente design EIP-3074 e fa parte del più ampio sforzo di account abstraction di Ethereum per dare ai wallet ordinari funzionalità che in precedenza richiedevano un contratto separato.

Il team di ricerca ha studiato più di 22,8 miliardi di transazioni su sette blockchain: Ethereum, Binance Smart Chain, Polygon, Optimism, Arbitrum, Base e Gnosis. In quel dataset hanno trovato 3.664.166 transazioni di autorizzazione EIP-7702 fino al 15 luglio 2025. Di queste, 2.322.548 transazioni, pari al 63%, erano collegate a contratti identificati dai ricercatori come malintenzionati. Il team ha utilizzato filtri sulle transazioni, analisi del codice e revisione manuale per confermare complessivamente 924 contratti malintenzionati.

Come funziona la funzione di delega

EIP-7702 consente a un indirizzo wallet di puntare a un codice contrattuale separato senza modificare l'indirizzo stesso. Il proprietario originario conserva la propria chiave privata, ma il codice collegato può agire con la piena autorità di quel conto. Poiché l'indirizzo rimane invariato, fondi, cronologia e identità vengono mantenuti; ciò che cambia è che il comportamento del conto è definito dal codice a cui punta attualmente. Una delega può inoltre essere modificata o rimossa firmando una nuova autorizzazione, quindi il codice visibile on-chain riflette solo la più recente.

Questa configurazione permette ai wallet di aggiungere funzionalità come il raggruppamento di più azioni in un'unica transazione o la possibilità che qualcun altro paghi la gas fee. Significa anche che il codice collegato entra a far parte della sicurezza del wallet. Se quel codice è difettoso o scritto da un attaccante, può approvare trasferimenti, muovere fondi o interagire con le applicazioni come se fosse il proprietario del conto.

I ricercatori affermano che gli attaccanti avevano preparato queste autorizzazioni in anticipo e avevano indotto le vittime a firmarle, in alcuni casi tramite un prompt del wallet che non mostrava chiaramente quale codice veniva approvato.

Perdite confermate ed asset esposti

Lo studio ha misurato perdite confermate per 2.362.848,76 dollari su tre tipologie di attacco.

Una parte separata della ricerca ha esaminato contratti più vecchi che assumevano che un indirizzo wallet non potesse mai comportarsi come un contratto. Quell'assunto era rimasto valido dal lancio di Ethereum ed era usato come comune controllo di sicurezza, ma è venuto meno una volta che EIP-7702 è entrato in funzione. I ricercatori hanno trovato 967 contratti attivi su Ethereum che vi si affidano ancora come controllo di sicurezza, esponendo circa 10,14 milioni di dollari in asset a potenziale rischio.

I ricercatori hanno inoltre documentato attaccanti che riportano un conto a un codice dall'aspetto normale dopo un attacco, il che rende difficile per chiunque controlli lo stato attuale di un wallet accorgersi che era stato compromesso in precedenza. Hanno inoltre trovato 500 destinazioni di delega che puntano ad indirizzi su cui non è ancora stato distribuito alcun codice. Su quegli indirizzi potrebbe essere aggiunto codice in seguito, cambiando ciò che il wallet fa effettivamente mentre la destinazione registrata resta la stessa.

Gli autori dello studio sottolineano che il loro metodo potrebbe non individuare ogni contratto malintenzionato, in particolare quelli più recenti o quelli che usano metodi di attacco diversi. I 924 contratti confermati rappresentano ciò che i ricercatori sono riusciti a verificare, non l'intera portata degli abusi.

Linee guida e proposte per i wallet

In risposta, Ethereum.org ha pubblicato linee guida che raccomandano ai wallet di inserire in whitelist i contratti di delega, mostrare chiaramente agli utenti quale codice stanno approvando e affidarsi solo a implementazioni di smart account sottoposte ad audit. Una proposta correlata chiede ai wallet di attenersi a un breve elenco di sistemi di conto esaminati pubblicamente invece di consentire a qualsiasi applicazione di richiedere codice di delega personalizzato. Poiché le richieste di delega raggiungono gli utenti all'interno delle interfacce dei wallet anziché a livello di protocollo, l'adozione di queste salvaguardie a livello di interfaccia rappresenta attualmente la difesa pratica.

Ricercatori e sviluppatori di Ethereum spingono ora i wallet a verificare e mostrare chiaramente qualsiasi codice a cui un conto delega.

Fonte: Blockonomi