Kerentanan EIP-7702 dieksploitasi, penyerang membawa pergi 95 ETH ke dalam mixer

【比推】Baru saja terungkap sebuah insiden keamanan kontrak. Seorang penyerang memanfaatkan celah pada kontrak delegasi EIP-7702 yang belum diinisialisasi, berhasil mendapatkan hak kepemilikan kontrak, dan kemudian langsung menarik semua dana dari alamat delegator. Berdasarkan data pemantauan di blockchain, penyerang ini telah mentransfer 95 ETH (sekitar 28.000 dolar AS) ke Tornado Cash untuk proses mixing.

Inti dari insiden ini adalah adanya cacat inisialisasi pada kontrak delegasi EIP-7702—karena kontrak ini tidak diinisialisasi dengan benar saat deployment, memungkinkan penyerang untuk merebut identitas pemilik dengan biaya sangat rendah. Setelah menguasai hak pemilik, pengambilan dana menjadi sangat mudah. Setelah dana dipindahkan ke Tornado Cash, jejak transaksi menjadi jauh lebih sulit dilacak.

Ini mengingatkan pengembang agar saat melakukan deployment kontrak dengan mode delegasi, pastikan proses inisialisasi lengkap dan tidak memberi celah bagi penyerang. Bagi pengguna biasa, sebelum berinteraksi dengan kontrak baru, sebaiknya periksa apakah kontrak tersebut telah melalui audit keamanan.