2025-12-25 04:27:02

Segurança em risco novamente. Alguém explorou uma vulnerabilidade através de um contrato de delegação EIP-7702 não inicializado, obtendo diretamente privilégios de proprietário do contrato e levando todo o fundo. Esse dinheiro? 95 ETH, que posteriormente foi transferido para o Tornado Cash.

O ponto-chave deste incidente está aqui: o atacante aproveitou uma vulnerabilidade de inicialização presente na característica relativamente nova do EIP-7702. Simplificando, o contrato não foi corretamente inicializado, resultando em uma validação de privilégios ineficaz. Uma vez obtido o papel de proprietário, retirar fundos tornou-se uma tarefa trivial.

É importante notar que os fundos foram posteriormente enviados para um mixer. Isso indica que o atacante tentou interromper a cadeia de fundos, dificultando o rastreamento. Para os desenvolvedores de contratos, este é um lembrete — a lógica de inicialização, por menor que seja, não pode ser negligenciada, especialmente na parte de gerenciamento de privilégios.

ETH0.27%

Ver original

Esta página pode conter conteúdos de terceiros, que são fornecidos apenas para fins informativos (sem representações/garantias) e não devem ser considerados como uma aprovação dos seus pontos de vista pela Gate, nem como aconselhamento financeiro ou profissional. Consulte a Declaração de exoneração de responsabilidade para obter mais informações.

11 gostos

Recompensa
11
4
Republicar
Partilhar

Comentar

0/400

SignatureDenied

· 12h atrás

Mais uma vez, a inicialização não foi feita corretamente, quem não tem problemas nesta era? O EIP-7702 voltou a dar problema, os desenvolvedores precisam ficar mais atentos. 95 ETH enviados para o Tornado, não há como recuperá-los. Novas funcionalidades têm muitas armadilhas, é preciso auditar, auditar e auditar novamente. A gestão de permissões não pode ser negligenciada, o custo de um erro é muito alto.

Ver originalResponder0

RektButStillHere

· 12h atrás

Já voltou... lançar sem uma inicialização bem feita, esses caras realmente estão treinando codificação com o dinheiro dos usuários --- 95 ETH no Tornado e pronto? Para rastrear isso, ainda dependemos dos detetives on-chain --- EIP-7702 é realmente uma caixa de Pandora, novas funcionalidades sem entender bem, e ainda assim ousam fazer deploy? Isso --- A gestão de permissões também pode dar problema, só quero saber quem fez a auditoria desse contrato --- Mais um exemplo clássico de "lógica de inicialização muito pequena para se preocupar", o custo de aprender assim é realmente --- Serviço completo de mistura de moedas, esse cara fez um trabalho bem profissional na fase inicial... --- Os desenvolvedores precisam ficar atentos, os problemas do EIP-7702 parecem ser maiores do que se imagina

Ver originalResponder0

PretendingToReadDocs

· 12h atrás

Mais uma vulnerabilidade de inicialização, esses desenvolvedores realmente precisam ficar mais atentos --- 95 ETH foram transferidos e entraram direto no Tornado, escaparam rapidinho --- EIP-7702 foi lançado e já foi descoberto um exploit? Isso é realmente emocionante --- A gestão de permissões é realmente um campo de batalha, não se pode negligenciar --- O contrato ainda nem aqueceu e já foi explorado, é realmente constrangedor --- Sempre é a mesma história, inicializar → obter permissões → fugir com os fundos --- Se esses 95 ETH tivessem acontecido antes, teria causado uma enorme repercussão --- Eu já disse que as armadilhas das novas funcionalidades são as mais profundas, agora se arrepende, né? --- Sério mesmo, esses bugs precisam ser detectados com muita atenção --- Tornado Cash voltou a aparecer, como será que podemos rastrear agora

Ver originalResponder0

MoneyBurnerSociety

· 12h atrás

Mais uma vulnerabilidade de inicialização, esse cara herdou a pele do proprietário do contrato direto --- A nova funcionalidade do EIP-7702 foi rapidamente explorada assim que foi lançada, os desenvolvedores de contratos realmente deveriam ficar atentos a isso --- 95 ETH enviados para Tornado, e pronto, difícil de provar na blockchain agora --- A validação de permissões é praticamente inútil? Não é exatamente minha estratégia de perdas estáveis operando ao contrário? --- Se nem consegue fazer a lógica de inicialização direito, ainda assim se atreve a escrever contratos DeFi, recomendo que todos façam uma autoavaliação --- Mais uma história de nova funcionalidade e nova vulnerabilidade, o EIP-7702 é realmente impressionante --- Assim que entra no mixer, não consegue mais voltar, o atacante gastou bem na taxa de transação --- Para ser honesto, qualquer um pode cometer erros na inicialização, já perdi duas vezes por causa disso --- Os direitos do proprietário podem ser completamente revogados, esse contrato foi realmente criado com muita imaginação

Ver originalResponder0