บริษัทรักษาความปลอดภัยบล็อกเชน Scam Sniffer เปิดเผยว่า การโจมตีแบบฟิชชิ่งเพียงครั้งเดียวได้ดูดเงินโทเค็นมูลค่าเกือบ 1 ล้านดอลลาร์สหรัฐจากนักลงทุนคริปโตรายหนึ่ง ซึ่งลงนามในธุรกรรมที่เป็นอันตรายจำนวนมากโดยไม่รู้ตัว โดยปลอมตัวมาในรูปแบบการแลกเปลี่ยน Uniswap
ในวันที่ 22 สิงหาคม Yu Xiang ผู้ก่อตั้งบริษัทรักษาความปลอดภัยบล็อกเชน SlowMist ได้โพสต์บน X ว่า เหตุการณ์ดังกล่าวเกี่ยวข้องกับโทเค็นห้ารายการที่ถูกดูดออกไปผ่านธุรกรรมที่ใช้ประโยชน์จากกลไก EIP-7702 ใหม่ของ Ethereum เขาอธิบายว่า “จากมุมมองของผู้ใช้ที่ถูกหลอกลวง จะเป็นดังนี้: ผู้ใช้เปิดเว็บไซต์ฟิชชิ่ง, มีข้อความแจ้งลายเซ็นกระเป๋าเงินปรากฏขึ้น, ผู้ใช้คลิกยืนยัน, และด้วยการกระทำเพียงครั้งเดียว, สินทรัพย์ที่มีค่าทั้งหมดในที่อยู่กระเป๋าเงินจะหายวับไปในพริบตา”
EIP-7702 ถูกนำมาใช้ในการอัปเกรด Pectra เพื่อปรับปรุงประสบการณ์ผู้ใช้ Ethereum ให้คล่องตัว คุณสมบัตินี้ช่วยให้กระเป๋าเงินทำหน้าที่เหมือนสัญญาอัจฉริยะชั่วคราว ทำให้สามารถทำธุรกรรมหลายรายการพร้อมกัน, เปิดใช้งานการสนับสนุนค่าธรรมเนียมแก๊ส, หรือกำหนดวงเงินการใช้จ่ายได้ในขั้นตอนเดียว ในทางทฤษฎี การมอบหมายนี้สามารถเพิกถอนได้และเฉพาะเจาะจงเครือข่าย อย่างไรก็ตาม ผู้โจมตีได้พบวิธีที่จะใช้คุณสมบัตินี้เป็นอาวุธในทางปฏิบัติ
Wintermute ผู้ทำการตลาดคริปโตได้เตือนว่าการนำมาตรฐานนี้ไปใช้กำลังถูกนำไปใช้ในทางที่ผิดในวงกว้าง การวิเคราะห์ในเดือนมิถุนายนแสดงให้เห็นว่ามากกว่า 90% ของการมอบหมาย EIP-7702 เชื่อมโยงกับสัญญาที่เป็นอันตราย บริษัทชี้ให้เห็นว่า สัญญาเหล่านี้จำนวนมากเป็นสคริปต์คัดลอกและวางอย่างง่าย ซึ่งสแกนหากระเป๋าเงินที่อ่อนแอและดูดเงินในบัญชีโดยอัตโนมัติ
ด้วยเหตุนี้ Scam Sniffer และ Xiang จึงกระตุ้นให้ผู้ใช้คริปโตใช้ความระมัดระวังเป็นพิเศษก่อนที่จะลงนามในคำขอกระเป๋าเงิน พวกเขาแนะนำให้ตรวจสอบชื่อโดเมน, หลีกเลี่ยงการยืนยันอย่างเร่งรีบ และปฏิเสธลายเซ็นที่ดูไม่ชัดเจนหรือกว้างเกินไป พวกเขายังระบุอีกว่าสัญญาณเตือนบางอย่างที่อาจเกิดขึ้น ได้แก่ คำขออนุมัติโทเค็นแบบไม่จำกัด, การอัปเกรดสัญญาภายใต้ EIP-7702 หรือการจำลองธุรกรรมที่ไม่ตรงกับที่คาดไว้
บทความ Crypto investor loses $1M in Uniswap scam exploiting Ethereum’s EIP-7702 ปรากฏครั้งแรกบน CryptoSlate