ExVul تكشف تصريف محفظة إيثيريوم (ETH) بقيمة 9.1231 عملة عبر تفويض EIP-7702

تصريف 9.1231 ETH من sven.eth عبر EIP-7702

خسرت محفظة مرتبطة بالاسم sven.eth على شبكة إيثيريوم مبلغ 9.1231 عملة من عملة إيثيريوم (ETH)، بقيمة تقارب 22,770 دولار عند سعر الإيثيريوم وقت نشر النتائج، إضافة إلى 1.69271471 عملة من TAPEETH، وذلك بعد تفويض خبيث عبر معيار EIP-7702 وضع الحساب تحت سيطرة طرف خارجي. السرقة نفسها موثقة على السلسلة، غير أن الطريقة التي حصل بها المهاجم على تفويض الضحية الموقع لم تُحسم لدى أي من تابع الحادثة حتى الآن. رصدت شركة الأمن البلوكتشيني ExVul عملية التصريف في 14 أكتوبر، وجاء في تنبيهها المنشور على X وصف لمعاملة من النوع الرابع ممولة من المهاجم حملت تفويض الضحية الصالح عبر EIP-7702، دون أي قرض سريع أو تلاعب بصانع السوق الآلي في مسار العملية. ويمكن التحقق من المعاملة ذات البصمة 0x36e0d1491c14e3d8e50bc70d73675b89d2d4712814d16f808f957c84fde820ee عبر Etherscan. وبمجرد أن عالجت الشبكة ذلك التفويض، بدأت الاستدعاءات اللاحقة إلى المحفظة تنفذ تعليمات العقد المفوَّض داخل حساب الضحية نفسه. إن الآلية التي يقوم عليها هذا المشهد، أي EIP-7702، هي خاصية تجريد الحسابات في إيثيريوم: فهي تتيح لحساب خارجي عادي أن يفوض التنفيذ إلى كود عقد ذكي، بما يسمح بتغطية الرسوم من طرف ثالث، وتجميع المعاملات، وصلاحيات محفظة أكثر مرونة. دخل هذا المعيار الخدمة مع ترقية Pectra لإيثيريوم، وساند استخدامات مشروعة منذ ذلك الحين، من بينها قيام أطراف خارجية بتسديد رسوم الشبكة. غير أن التصميم نفسه يتحول إلى سطح هجوم عندما يكون الكود المفوَّض عدائيًا. وتحذر مواصفات إيثيريوم ذاتها من أن عقود التفويض السيئة التصميم أو الخبيثة يمكن أن تمنح طرفًا خارجيًا سيطرة واسعة على الحساب المتأثر. الحساب المكشوف هو عنوان محفظة للعملات المشفرة 0xd8ba9e5886b7000bace2c9dbdd0be98ac77d4a28، وتربطه التنبيهات بالاسم sven.eth، وهو معرف بنمط خدمة أسماء إيثيريوم؛ وللقراء الجدد على هذه الأسماء، يمكن الرجوع إلى دليلنا حول الحصول على نطاق .ETH. يغطي رقم الـ22,770 دولار جانب الإيثيريوم وحده، إذ لم يضع التنبيه قيمة دولارية على رمز TAPEETH المفقود. وقد رُصدت حالات إساءة استخدام مماثلة للتفويض عبر إيثيريوم منذ عام 2025، وهذه الحالة تندرج ضمن النمط نفسه.

أسندت تحقيقات ExVul الهجوم إلى العنوان 0x9208097c007be15e28b20e94e66870a3f9f820bc، فيما أشار التفويض الخبيث إلى العنوان 0x0366b55f948a688888ca6e029ad0831f6ec260d1. المهاجم هو من دفع رسوم المعاملة ومن أرسل التفويض الموقع بنفسه، بمعنى أن مالك المحفظة لم يمول المعاملة التي فعّلت الكود العدائي ولم يبثها إطلاقًا. وبعد التفعيل، جرى الكود في سياق حساب الضحية ذاته: استدعى الدالة PodMining.claim()، ونقل مكافآت TAPEETH الناتجة إلى جهة السيطرة، ثم سحب رصيد الإيثيريوم من المحفظة. صرحت الشركة بأن الثغرة لا تتعلق بخلل في TAPEETH أو في PodMining، وخلص تحليلها إلى أن تفويض الحساب هو نقطة الدخول، دون أي دليل على استغلال يخص مجمعات السيولة أو التلاعب بالأسعار. ولم تحدد ExVul كيفية حصول المهاجم على تفويض الضحية، ولم تذكر نتائجها العلنية موقعًا خبيثًا أو تطبيقًا ضارًا أو واجهة توقيع مخترقة. أما التحذير الذي تلا الحادثة فيخص دوام تفويضات EIP-7702: فالتفويض، بمجرد تعيينه، لا يُمحى ذاتيًا بانتهاء المعاملة، ويظل العقد المفوَّض مرتبطًا بالمحفظة حتى يستبدله المالك أو يزيله. يحتفظ المالك بسيطرته عبر المفتاح الخاص الأصلي، ويمكنه تصفير التفويض بالتفويض إلى العنوان الصفري، لكن الكود العدائي قد يظل خطرًا حتى تُعالج تلك التغييرة. سجلت ExVul التفويض الخبيث بأنه ما يزال نشطًا عند الكتلة 26,188,153 من شبكة إيثيريوم، وحذرت من إرسال أي أصول جديدة إلى العنوان ما دام قائمًا. وكانت توصيتها إزالة التفويض أو استبداله، ونقل الأصول الباقية من المحفظة الساخنة المكشوفة إلى محفظة باردة. لم يوضح التنبيه ما إذا كان الضحية أزال الكود لاحقًا أو استرد أي أصول، ولم يُرصد أي ترتيب تعويض أو معاملة استرداد أو إجراء من جهات إنفاذ القانون. وتتردد صدى هذه الحالة مع تحذيرات سابقة بشأن التفويض: ففي مايو 2025، وجد صانع السوق Wintermute أن أكثر من 97% من تفويضات EIP-7702 المرصودة كانت تشير إلى عقود كنس متطابقة قادرة على تحويل الإيثيريوم الواصل إلى عناوين يسيطر عليها المهاجمون. وتختلف الطريقة هنا عن سرقات مستوى الجسور مثل استغلال جسر Autheo الأخير.

طريقة الحصول على التوقيع تظل مجهولة

بمجموعه، يحسم السجل على السلسلة والتحليل اللاحق من ExVul الآلية نفسها: تفويض EIP-7702 موقع، فعّلته معاملة من النوع الرابع دفع رسومها المهاجم، ومكن كودًا داخل حساب الضحية من المطالبة بالمكافآت وكنس الرصيد. السبب الجذري يكمن في التفويض، وينبع العلاج منه مباشرة: إزالة التفويض أو استبداله، ثم نقل الأموال الباقية إلى محفظة أجهزة. غير أن الحلقة الأولى في السلسلة، تلك الخطوة التي أنتجت توقيع الضحية، ما زالت مفتوحة: لم يُسمَّ موقع تصيد ولا تطبيق ضار ولا موقِّع مخترق. يوثق التنبيه التفويض بأنه نشط عند الكتلة 26,188,153، أما ما إذا كان المالك قد أزاله منذ ذلك الحين فلا تقع خارج الوثائق المسجلة حسمًا.