分析师就以太坊新升级功能发出安全警告
近期一起网络钓鱼攻击导致某投资者损失超百万美元后,安全专家对以太坊改进提案EIP-7702相关漏洞拉响警报。反欺诈机构Scam Sniffer监测发现,针对EIP-7702标准升级地址的钓鱼诈骗案件正呈上升趋势。
创新功能暗藏风险
作为5月推出的Pectra升级组成部分,EIP-7702功能旨在通过允许外部账户(EOA)临时具备智能合约特性来增强钱包功能。该特性支持在单笔交易中执行多重操作,确实为合法用户提升了效率,但同时也暴露出新的安全漏洞。
本月已现三起受害案例
最新受害者因签署包含多重代币转账和NFT授权操作的EIP-7702钓鱼批量交易,损失高达154万美元。据追踪显示,部分被盗资金已通过Relay Protocol跨链至主网。这起案件发生前两日,另有一位投资者在签署伪装成Uniswap交易的批量授权后,损失价值百万美元的代币与NFT资产。
更早的案例显示,某EIP-7702升级地址曾因相同攻击手法损失6.6万美元。这些欺诈方案通常伪造DeFi界面模仿Uniswap等知名平台,诱使用户批准看似常规实则包含隐蔽转账授权的交易。
安全警报持续升级
Scam Sniffer指出,由于EIP-7702属于新近更新,多数用户尚未充分认知其潜在风险。恶意交易往往伪装成正常操作流程,使得缺乏戒备的用户极易中招。事实上,自6月起就有安全专家披露相关利用案例。
Wintermute研究团队通过官方渠道透露,监测发现超过80%的EIP-7702授权均指向使用相同代码的多个合约。这些被称作"自动清扫器"的恶意合约,能够自动转移受害地址的入账ETH。值得注意的是,此类攻击仍在持续,甚至突破了以太坊基金会5月14日宣布的万亿级安全计划的防护。
安全防护建议
安全专家建议:签署批量交易前务必保持警惕,仔细核验操作界面真伪。尽管批量交易确实提升了正规应用的用户体验,但同时也增加了操作复杂性。防范此类风险的最佳方式是仅使用可信应用程序,并对每笔交易(无论是否批量)的授权进行多重验证。