sven.eth ile bağlantılı bir Ethereum cüzdanı, EIP-7702 yetkilendirmesinin kullanıldığı bir saldırının hedefi oldu. Cüzdandan 9,1231 ETH ve 1,69271471 TAPEETH çıkarılırken ETH’nin olay sırasında yaklaşık 22 bin 770 dolar değerinde olduğu bildirildi. TAPEETH için ise ayrı bir dolar değeri açıklanmadı.
Blokzincir güvenlik şirketi ExVul, 14 Ekim’de olaya ilişkin teknik incelemesini yayımladı.
Saldırgan Cüzdanın Yetkilerini Nasıl Ele Geçirdi?
ExVul, saldırıyla bağlantılı işlemin hash’ini 0x36e0d1491c14e3d8e50bc70d73675b89d2d4712814d16f808f957c84fde820ee olarak açıkladı. İşlem, EIP-7702 yetkilendirmelerini destekleyen type-4 türündeki bir Ethereum işlemi olarak kaydedildi.
Mağdura ait cüzdan 0xd8ba9e5886b7000bace2c9dbdd0be98ac77d4a28, saldırganın kontrolündeki adres ise 0x9208097c007be15e28b20e94e66870a3f9f820bc olarak belirlendi. Kötü amaçlı yetkilendirmede kullanılan sözleşme adresinin de 0x0366b55f948a688888ca6e029ad0831f6ec260d1 olduğu bildirildi.
ExVul’un incelemesine göre saldırgan, mağdurun daha önce imzaladığı EIP-7702 yetkilendirmesini içeren işlemi Ethereum ağına gönderdi. Yetkilendirmenin işlenmesinin ardından cüzdan, belirlenen sözleşme kodunu kendi hesabının yetkileriyle çalıştırmaya başladı.
ALERT — EIP-7702 Wallet Drain on Ethereum
sven.eth was drained for 9.1231 ETH net (~$22.77K) plus 1.69271471 TAPEETH.
No flash loan or AMM manipulation was involved: the attacker sponsored a type-4 transaction carrying the victim’s valid EIP-7702 authorization, then swept…
— ExVul (@exvulsec) October 14, 2026
Kötü amaçlı kodun içinde cüzdan üzerinde işlem gerçekleştirmesine izin verilen sabit bir kontrolcü adres bulunduğu belirtildi. Saldırgan daha sonra PodMining.claim() fonksiyonunu kullanarak TAPEETH ödüllerini kendi kontrolündeki adrese aktardı ve cüzdandaki ETH bakiyesini çekti.
ExVul, saldırıda herhangi bir flash loan (flaş kredi) veya otomatik piyasa yapıcı (AMM) manipülasyonu kullanılmadığını belirtti. Şirket ayrıca olayın TAPEETH veya PodMining protokolündeki bir güvenlik açığından kaynaklanmadığını vurguladı.
Saldırganın mağdurdan söz konusu yetkilendirmeyi nasıl aldığı ise belirlenemedi. İncelemede belirli bir oltalama sitesi, kötü amaçlı uygulama veya ele geçirilmiş imzalama arayüzü tespit edilmedi.
EIP-7702 Nedir ve Neden Risk Oluşturuyor?
EIP-7702, normal Ethereum cüzdanlarının belirli akıllı sözleşme özelliklerini kullanabilmesine olanak sağlayan bir mekanizma. Kullanıcı, hesabının hangi kodu çalıştırabileceğini belirleyen bir yetkilendirme imzalıyor ve bu yetkilendirme uyumlu bir işlem aracılığıyla Ethereum ağına kaydediliyor.
Sistem işlem gruplama, daha esnek cüzdan izinleri ve ağ ücretinin üçüncü bir tarafça karşılanabildiği sponsorlu işlemler gibi özelliklerin kullanılmasını mümkün kılıyor. Örneğin kullanıcı tek bir işlem içinde birden fazla eyleme izin verebiliyor.
Ancak yetkinin kötü amaçlı bir sözleşmeye verilmesi halinde aynı mekanizma ciddi bir güvenlik riski oluşturabiliyor. Zararlı kod, mağdurun hesabının yetkileriyle çalışarak varlıkların başka adreslere aktarılmasına imkan sağlayabiliyor.
sven.eth olayında saldırganın işlem ücretini kendisinin ödediği ve daha önce imzalanmış yetkilendirmeyi ağa gönderdiği bildirildi. Dolayısıyla cüzdan sahibinin kötü amaçlı kodu etkinleştiren işlemi kendisinin yayımlaması veya işlem ücretini ödemesi gerekmedi.
Yeni Varlıklar da Risk Altında
ExVul, saldırının ardından kötü amaçlı yetkilendirmenin Ethereum’un 26 milyon 188 bin 153 numaralı bloğunda hâlâ aktif olduğunu bildirdi. EIP-7702 kapsamında verilen bir yetki, kullanıldığı işlemin tamamlanmasıyla otomatik olarak ortadan kalkmıyor. Yetkilendirilen kod, cüzdan sahibi bunu değiştirene veya kaldırana kadar hesapla bağlantılı kalabiliyor.
Ethereum’un teknik belgelerine göre cüzdan sahibi özel anahtarı aracılığıyla hesabın kontrolünü koruyor ve sıfır adresini yetkilendirerek mevcut yetkilendirmeyi kaldırabiliyor. Ancak bu değişiklik ağ üzerinde başarıyla gerçekleşene kadar kötü amaçlı kod risk oluşturmaya devam edebiliyor.
Bu nedenle ExVul, yetkilendirme aktif olduğu sürece etkilenen adrese yeni varlık gönderilmemesi konusunda uyardı. Zira saldırganın kodu cüzdan üzerindeki harcama yetkisini koruyorsa daha sonra gönderilecek varlıklar da transfer edilebilir.
Şirket, kötü amaçlı yetkilendirmenin kaldırılmasını veya değiştirilmesini ve kalan varlıkların güvenli bir cüzdana aktarılmasını önerdi. Ancak ilk uyarıda mağdurun daha sonra yetkilendirmeyi kaldırıp kaldırmadığı veya herhangi bir varlığı kurtarıp kurtarmadığı açıklanmadı. Olayla bağlantılı bir tazminat, kurtarma işlemi veya kolluk kuvvetlerinin müdahalesine ilişkin bilgi de paylaşılmadı.
EIP-7702 Daha Önce de Saldırılarda Kullanıldı
EIP-7702 bağlantılı güvenlik riskleri daha önce de gündeme gelmişti. Kripto piyasa yapıcı şirketi Wintermute, Mayıs 2025’te ele geçirilmiş Ethereum cüzdanlarına gelen fonları otomatik olarak başka adreslere aktarmak üzere tasarlanmış EIP-7702 sözleşmeleri tespit etti.
Wintermute’un araştırmasına göre o dönemde incelenen EIP-7702 yetkilendirmelerinin yüzde 97’sinden fazlası aynı kodu kullanan sözleşmelere işaret ediyordu. Bu sözleşmelerin bir bölümü, cüzdanlara gelen ETH’yi otomatik olarak saldırganların kontrolündeki adreslere aktarabilen sistemlerle ilişkilendirildi.
Ethereum Kullanıcısı EIP-7702 Cüzdan Saldırısında 22 Bin Dolar Kaybetti yazısı ilk önce CryptoPotato üzerinde ortaya çıktı.
