EIP-7702 lần đầu thất bại trong thực chiến quy mô lớn: QNT, ETH bị đánh cắp, cơ chế trừu tượng hóa tài khoản Pectra trở thành mảnh đất màu mỡ cho lừa đảo

📄Toàn văn bài viết· Được trích xuất tự động bởi trafilaturaGemini 翻譯1724 từ

Cơ chế trừu tượng hóa tài khoản (Account Abstraction) của EIP-7702 được giới thiệu trong bản nâng cấp Pectra của Ethereum lần đầu tiên bị khai thác trên quy mô lớn: kẻ tấn công giả mạo giao diện DeFi, lừa người dùng ký giao dịch ủy quyền, âm thầm rút sạch QNT, ETH và nhiều loại token khác. Tổ chức bảo mật SlowMist đã xác định Inferno Drainer là nhóm tấn công chính, với hơn 15.000 ví bị ảnh hưởng. (Tóm tắt trước đó: Nâng cấp Pectra của Ethereum khiến "hacker vui mừng", Wintermute cảnh báo: EIP-7702 giúp tự động hóa việc triển khai hàng loạt hợp đồng tấn công) (Thông tin bổ sung: Bảo vệ nâng cấp EIP-7702 của Ethereum: Một mô hình đại diện cho quá trình chuyển đổi an toàn từ EOA sang ví thông minh) Từ cảnh báo đến thực chiến, EIP-7702 đã đi một con đường ngắn hơn nhiều so với dự đoán của cộng đồng Ethereum. Bản nâng cấp Pectra của Ethereum chính thức lên sóng mainnet vào ngày 7 tháng 5 năm 2025, trong đó EIP-7702 được coi là cột mốc quan trọng của Account Abstraction — nó cho phép các tài khoản sở hữu bên ngoài (EOA) tạm thời ủy quyền thực thi cho các hợp đồng thông minh thông qua việc ký tin nhắn ủy quyền. Thiết kế ban đầu nhằm giúp người dùng phổ thông có thể tận hưởng các tính năng nâng cao như giao dịch hàng loạt, thanh toán Gas thay thế. Tuy nhiên, báo cáo của Golden Finance vào ngày 29 tháng 4 chỉ ra rằng, kẻ tấn công đã thực sự lợi dụng cơ chế này để đánh cắp nhiều loại token bao gồm QNT (Quant) và ETH, đánh dấu lần đầu tiên một lỗ hổng cấp giao thức bị khai thác thực chiến trên quy mô lớn. Quy trình tấn công không phức tạp nhưng cực kỳ khó để người dùng phổ thông phát hiện. Kẻ tấn công trước tiên dựng các giao diện lừa đảo giả mạo các nền tảng DeFi nổi tiếng như Uniswap, MetaMask, dụ dỗ người dùng ký các giao dịch trông có vẻ bình thường như "nâng cấp tài khoản" hoặc "ủy quyền hàng loạt". Vấn đề nằm ở thiết kế tuple ủy quyền của EIP-7702: một khi người dùng ký, quyền thực thi tài khoản sẽ được ủy quyền cho hợp đồng độc hại do kẻ tấn công kiểm soát. Sau đó, kẻ tấn công gọi hàm execute(), thực hiện hàng loạt lệnh chuyển token và thao tác setApprovalForAll cho NFT cùng một lúc. Toàn bộ quá trình được hoàn tất trên chuỗi và không thể đảo ngược. Nguy hiểm hơn, EIP-7702 cho phép chữ ký xuyên chuỗi với chain_id=0, nghĩa là cùng một ủy quyền lừa đảo có thể được phát lại (replay) trên tất cả các chuỗi tương thích với EVM — nạn nhân không chỉ mất tài sản trên một chuỗi. Ngay cả ví phần cứng cũng khó tránh khỏi: vấn đề nằm ở chỗ "người dùng đã ký cái gì", chứ không phải khóa cá nhân có an toàn hay không. Kể từ sau nâng cấp Pectra, con số thiệt hại từ các cuộc tấn công lừa đảo EIP-7702 liên tục tăng cao: - Thiệt hại lớn nhất trong một sự kiện lừa đảo đơn lẻ: $1.54M USD (một người dùng ký giao dịch hàng loạt, bao gồm nhiều thao tác chuyển token và ủy quyền NFT) - Tổng thiệt hại trong tháng 8 năm 2025: $12M, hơn 15.000 ví bị hại - Tháng 1 năm 2026, IPOR Fusion PlasmaVault bị khai thác: thiệt hại từ $267K–$336K - Hơn 97% các ủy quyền EIP-7702 trỏ đến các hợp đồng sweeper độc hại Nhà sáng lập tổ chức bảo mật blockchain SlowMist, Yu Xian, chỉ ra rằng các nhóm lừa đảo như Inferno Drainer và PinkDrainer đã tích hợp EIP-7702 vào chuỗi công cụ tấn công của chúng, giả mạo các thao tác hàng loạt của nền tảng chính thức, hiệu quả tấn công cao hơn nhiều so với các thủ đoạn lừa đảo truyền thống. Đáng chú ý, nhà tạo lập thị trường Wintermute đã đưa ra cảnh báo công khai ngay từ giai đoạn đầu của nâng cấp Pectra: cơ chế ủy quyền của EIP-7702 giúp việc triển khai hàng loạt hợp đồng độc hại trở nên tự động hóa,

Trạng thái dữ liệu✓ Đã trích xuất toàn vănĐọc bài gốc (動區 BlockTempo)

🔍Sự kiện tương tự trong lịch sử· Đối chiếu từ khóa + tài sản6 tin

2026-04-27

ConsenSys và Joseph Lubin chi mạnh 30.000 ETH vào "DeFi United", hỗ trợ giải quyết khủng hoảng nợ xấu của Aave

Độ tương đồng 320%標的 ETH關鍵字 eth同分類 zh

2026-04-27

Hot! Bitmine đã gom thêm 100.000 ETH vào tuần trước, tổng lượng nắm giữ vượt mốc 5 triệu ETH, kiểm soát 4,2% tổng nguồn cung lưu thông trên toàn mạng lưới

Độ tương đồng 320%標的 ETH關鍵字 eth同分類 zh

2026-04-27

Aave dẫn đầu đề xuất chung từ 5 giao thức: Yêu cầu Arbitrum DAO giải phóng 30K ETH, chuyển vào "DeFi United" để khôi phục tài sản thế chấp rsETH

Độ tương đồng 320%標的 ETH關鍵字 eth同分類 zh

2026-04-26