Дрейнер EIP-7702, обокравший sven.eth: 120 кошельков, а не один, и 9 ETH вернулись через девять минут

EIP-7702, часть обновления Ethereum Pectra, позволяет обычному кошельку подписать разрешение, после которого он исполняет код контракта. У кого эта подпись, тот может отправить её в транзакции «типа 4» и действовать от имени кошелька. Исследователи безопасности с мая 2025 года предупреждают, что большинство таких делегирований в основной сети ведут на контракты-«подметальщики» — код, опустошающий кошельки с утёкшими ключами.

14 октября [crypto.news](https://crypto.news/ethereum-user-loses-22k-in-eip-7702-wallet-attack/) со ссылкой на компанию ExVul сообщил, что sven.eth (0xd8ba9E5886B7000BACe2C9dbdd0BE98Ac77D4A28) потерял 9,1231 ETH, около $22 770, и 1,69 токена TAPEETH. Атакующий — 0x9208097C007be15e28b20e94e66870A3f9F820bc, контракт — 0x0366B55F948a688888Ca6E029Ad0831F6EC260D1; делегированный код забрал награды кошелька из стейкинг-контракта и отправил их вместе с ETH атакующему. В сообщении сказано, что возврата не обнаружено, и не сказано, как была получена подпись.

Кошелёк атакующего получил 0,05 ETH на газ от 0x4B8009b9Aff952bAd6d2bb9E07BAeC432e8d5a9C в 23:22 UTC 13 октября. Через восемь минут он сам развернул контракт делегирования — значит, контракт принадлежит атакующему, а не является общедоступным инструментом. Затем он отправил 122 транзакции типа 4, последнюю — в 15:01 UTC 14 октября. В них подписанные делегирования от 120 разных кошельков, и все ведут на 0x0366B55F948a688888Ca6E029Ad0831F6EC260D1. Каждое подписано под текущий счётчик транзакций кошелька — то значение, которое должно быть у него в момент использования.

ETH пришёл со 114 из этих кошельков, всего 12,66 ETH, токены — с 32. Токены в основном мемкоины, почти ничего не стоящие; то, что продавалось, атакующий продал через 1inch и свой контракт. Кроме sven.eth, крупнейшие суммы — 1,2058 ETH и 1,0830 ETH с двух кошельков днём 14 октября. Остальное — мелочь: большинство кошельков потеряли по несколько сотых ETH.

Общего у кошельков мало: трейдеры мемкоинов через роутеры торговых ботов и Uniswap, кошельки, работающие через мост Relay, кошельки, развёртывающие контракты. Это похоже на ключи, утёкшие из множества разных мест, а не на взлом одного сервиса. Сейчас на каждом из 120 меньше 0,01 ETH.

sven.eth опустошили в 23:43:59 UTC 13 октября; баланс атакующего вырос с 0,37 до 9,49 ETH. За следующие восемь минут он опустошил ещё 17 кошельков. В 23:52:59 он отправил 9,5769 ETH на sven.eth — обычный перевод, без сообщения. Это был весь его баланс: осталось 0,00004 ETH. sven.eth получил на 0,45 ETH больше, чем потерял; разница — деньги, снятые атакующим с других кошельков той ночью.

Почему — блокчейн не говорит. Возврат денег дрейнером — редкость; это могла быть ошибка в скрипте атакующего или сознательный шаг. Блокчейн показывает другое: sven.eth продолжил торговать как обычно, снял делегирование в 04:14 UTC 14 октября и сейчас держит 3,88 ETH. Цифра из прессы — $22 770 потерь — не итоговое положение этого кошелька.

После возврата атакующий начал заново с 0,02 ETH и продолжил опустошать кошельки. В 00:44 UTC 14 октября он отправил 0,3268 ETH обратно кошельку-спонсору. Этот кошелёк активно торгует мемкоинами и выводит деньги через мост Relay.

В 17:02 UTC 14 октября атакующий отправил 3,3188 ETH на 0x3895F8f98e90d2D4240693e308d892770EE4378A — новый адрес, который через 36 секунд переслал их на 0x487cab40f6D11a278fa7C442C6741Eabe44eAb5d, депозитный адрес Binance, и больше не использовался. На кошельке атакующего осталось 0,001 ETH. Binance видит, какому аккаунту принадлежит этот депозит.

Ни один адрес атакующего не был отмечен в нашей базе. 15 октября мы добавили кошелёк атакующего, его контракт делегирования, одноразовый адрес-пересыльщик и кошелёк-спонсор в один инцидент; спонсора — с меньшей уверенностью: он оплатил первый газ и получил ETH обратно, но сам никого не опустошал. Мы не отмечали 120 опустошённых кошельков, депозитный адрес Binance, Relay и биржи.

Если ваш кошелёк среди 120, его ключ или сделанная им подпись у кого-то другого: переведите остаток на новый кошелёк, созданный на чистом устройстве. Чтобы проверить адрес самостоятельно, воспользуйтесь проверкой адреса.

Она не говорит, кто атакующий, как были получены ключи или подписи и почему 9,58 ETH вернулись. Она не утверждает, что sven.eth, другие опустошённые кошельки, Binance, Relay или какой-либо торговый инструмент сделали что-то неправильное. Первоначальное сообщение о потере — ExVul. Остальные 119 кошельков, возврат, маршрут вывода и состояние кошельков на 15 октября — наши данные.