Vulnérabilité EIP-7702 révélée : $280K ETH vidé via Tornado Cash

Les chercheurs en sécurité ont signalé un incident critique où un acteur malveillant a réussi à extraire environ 95 ETH ( d’une valeur d’environ 280 000 $) via Tornado Cash, en exploitant une faille critique dans des contrats délégués EIP-7702 non initialisés. Selon l’alerte CertiK, cette vulnérabilité a permis au perpetrateur de prendre le contrôle du mécanisme de délégation, transférant ensuite tous les actifs détenus à l’adresse déléguée.

Comment l’attaque s’est déroulée

L’exploitation visait un contrat délégué EIP-7702 mal initialisé — un composant conçu pour faciliter l’abstraction de compte et les flux de transactions avancés. En manipulant cette lacune d’initialisation, l’attaquant a obtenu des droits administratifs sur le contrat, contournant ainsi les protocoles de sécurité standard. Une fois en contrôle, il a redirigé les fonds directement vers Tornado Cash, un mélangeur de confidentialité fréquemment utilisé pour obscurcir les traces de transaction.

Ce que cela signifie pour l’écosystème

Cet incident souligne un défi persistant dans le développement de contrats intelligents : les risques liés aux routines d’initialisation incomplètes dans les modèles de délégation. EIP-7702, tout en offrant aux développeurs une plus grande flexibilité dans l’exécution des transactions, introduit de nouvelles surfaces d’exploitation si elle n’est pas mise en œuvre avec des mesures de sécurité rigoureuses.

Les projets utilisant des contrats délégués doivent effectuer des audits de sécurité immédiats pour vérifier que les procédures d’initialisation appropriées sont respectées. Les membres de la communauté détenant des actifs dans des architectures de contrats similaires sont invités à examiner leur exposition et à envisager de transférer leurs fonds vers des contrats intelligents audités avec un historique de sécurité établi.

Contexte actuel du marché ETH

Au moment de la dernière mise à jour, Ethereum (ETH) se négocie autour de 3 150 $. Les violations de sécurité comme celle-ci entraînent généralement une brève volatilité du marché alors que les traders réévaluent les facteurs de risque, bien que l’écosystème dans son ensemble continue de progresser sur l’amélioration des protocoles et des outils pour développeurs afin de prévenir de telles vulnérabilités.