EIP-7702ウォレット委任が63%の悪意のある取引に関連、230万ドルの損失

EthereumのEIP-7702ウォレット委任機能は、USENIX Security Symposiumで発表されたセキュリティ研究により、分析された認証トランザクションの大部分が攻撃者制御の契約に関連していることが示されたため、再び注目を集めています。

調査では、分析されたサンプルにおけるEIP-7702認証トランザクションの63％が悪意のあるコントラクトに関連しており、自動化されたウォレットの資金引き出し活動が230万ドル以上にのぼる確認済みの盗難に寄与していたことが判明しました。

それは驚きですが、捉え方次第です。

これはEIP-7702にプロトコル上の本質的なバグがあるという意味ではありません。懸念されるのは、ユーザーが悪意のある承認に署名させられる場合、ウォレットの委任が攻撃面を広げてしまうことです。

言い換えれば、危険はプロトコルの柔軟性、ウォレットのUX、ユーザーの行動、およびフィッシングインフラの交差点に存在します。

要約

EIP-7702はEthereumのより広範なアカウント抽象化の方向性の一部です。

外部所有口座がコード実行を委任することで、一時的にスマートコントラクト口座のように振る舞えるようにします。これにより、ウォレット体験の向上、一括トランザクション、ガスのスポンサード、自動化、より柔軟な口座制御が可能になります。

これらの機能は役立つ可能性があります。

しかし、柔軟性は新たなユーザーリスクも生み出します。悪意のあるサイトがユーザーを騙して誤った委任認証に署名させると、攻撃者は通常のフィッシング署名では許されないほど大きな権限を獲得する可能性があります。

それがウォレットの設計が非常に重要である理由です。

ユーザーが何を許可しているかを明確に理解できない場合、強力な機能は危険になる可能性があります。

攻撃者は迅速に適応します。

暗号資産ウォレットの機能が向上すると、フィッシングキャンペーンもその機能を悪用するように進化します。以前のサイクルでは、攻撃者はシードフレーズ、悪意のある承認、偽のエアドロップ、ウォレットから資金を引き出す署名に重点を置いていました。

委任により、さらに一つのツールが追加されます。

ユーザーは通常のトランザクションに署名したり、通常のアプリケーションとやり取りしていると思い込んでいるかもしれませんが、実際には攻撃者に危険な制御権を与えるコードを承認している可能性があります。その状態になると、自動化されたシステムが迅速に資産を引き出します。

この研究の230万ドルの損失額は、これが単なる理論ではないことを示している。

Ethereumのセキュリティは、プロトコルレベルでしばしば議論されます。

しかし、ほとんどのユーザーにとって、ウォレットのインターフェースが実際のセキュリティの境界です。プロトコルが技術的に健全であっても、プロンプトが分かりにくかったり、権限が明確でなかったり、悪意のある取引が解釈しにくかったりすると、ユーザーは資金を失う可能性があります。

EIP-7702がそれをより重要にします。

ウォレットには、より明確な警告、より良いシミュレーションツール、強化された委任表示、契約の評判チェック、より安全なデフォルトフローが必要です。ユーザーは、署名が契約に口座に対する重要な制御権を与えることを理解する必要があります。

権限を理解できない場合、リスクを判断することはできません。

EIP-7702が「悪い」と言うのはあまりに単純すぎる。

アカウント抽象化は、Ethereumの使用をより簡単にすることの重要な部分です。より優れたウォレットは、摩擦を減らし、新規ユーザーの導入を改善し、一般ユーザーが現在暗号資産を難しく感じさせるいくつかの問題を回避するのに役立ちます。

問題は実装とユーザー保護です。

新しい機能には、それに見合ったセキュリティツールが必要です。そうでなければ、攻撃者が一般ユーザーよりも先に恩恵を受けることになります。

それは暗号資産で以前にも起こりました。

ユーザー体験がより複雑になるたびに、悪意のある行為者が混乱を狙います。EIP-7702も例外ではありません。

次のステップはパニックではありません。強化です。

ウォレットチーム、セキュリティ研究者、DApp開発者、およびEthereumインフラプロバイダーは、委任権限の表示、シミュレーション、制限方法を改善する必要があります。目標は、フィッシングを容易にすることなく、口座抽象化の利点を維持することです。

ユーザーにとって、メッセージはシンプルです：委任署名にはさらに注意が必要です。

ウォレットのプロンプトが不明確な場合、サイトが馴染みがない場合、または署名が広範な口座権限を付与しているように見える場合は、停止するのが最も安全です。

Ethereumのアカウント抽象化ロードマップは依然として重要です。しかし、この研究は、より優れたウォレットの機能には、より優れたウォレットのセキュリティが伴う必要があることを示しています。

この記事はニュースデスクが執筆し、サミュエル・レイが編集しました。

このレポートは、主要なソース文書で公開された情報に基づいています。