道は高ければ魔もまた高し。
暗号資産のフィッシングは依然として横行しており、特に「EIP-7702 の承認攻撃」が出現してからは、ハッカーの手口はさらにエスカレートしています…
これらの悲惨な事例を見てください：
9月2日、インフルエンサー @Tintinx2021 が、詐欺師に「協力の話」を持ちかけられて偽の会議リンクをダウンロードするよう誘導されたと投稿しました；
同じく9月2日、ある暗号大口保有者が @KuanSun1990 と、オフラインで会ったことのあるBD（ビジネス担当）とTGで協業の話をしている際、相手から直接送られてきた偽のZoomリンクを開いて悪意のあるファイルをダウンロードしてしまい、資産が移転されて $13,000,000 を失いました；
9月8日、インフルエンサー @dov_wo はTGの連絡先アカウントが乗っ取られ、Calendlyを介して偽のZoom会議リンクに誘導されました。
幸いにも対応が早かったため、上記の事件はいずれも最終的に大きな資産被害には至りませんでしたが、ハッカーが毎回手ぶらで帰るとは限りません：
9月12日、Thorchain の共同創業者 @jpthor が、同様の偽のZoom会議リンクにより $1,300,000 を盗まれました。
「知人アカウントの乗っ取り + フィッシング会議リンク」という組み合わせは何年も使われ続けていますが依然有効であり、そうであればより高度で新奇な手段がどれほど猛威を振るうかは想像に難くありません：
8月5日、あるアドレスが EIP-7702 にアップグレードした後、偽の Uniswap を利用して $66,000 を盗まれました；
8月22日、別の大口が同様の理由で $1,000,000 を盗まれました；
8月24日（そう、数日しか経っていません）、別の大口が EIP-7702 型のフィッシング取引に署名したことで $1,540,000 を盗まれました。
以上は1か月内の不完全な集計に過ぎません。
暗号セキュリティ企業 Scam Sniffer（@realScamSniffer）のレポートによれば：8月だけで合計 15,230 名の被害者が発生し、総額はなんと $12,000,000 に達し、7月と比べて60%以上増加しました。その中で EIP-7702 標準に関連する被害がますます頻繁になっている、すなわち前述した攻撃タイプです。多くの人はこの概念を十分に理解していませんが、示されたデータはこの新手の攻撃に特に警戒すべきであることを警告しています。
EIP-7702とは
EIP-7702 は新しいトランザクションタイプを導入し、あるアカウントアドレスの一部のコードを代理ポインタとして書き換えることを許可します。その後、そのアドレスに対する実行はターゲットコントラクトのコードに移されて実行されます。この設定は、新しい許可でその代理ポインタを置き換えるか、クリアするまで有効なままです。
設計の目的は、ユーザーの取引体験を三つの面から改善することにありました：
取引処理の簡略化：本来二〜三回に分けて行うチェーン上の操作を、1回にまとめて実行することで、全て成功するか全て失敗するかのいずれかにします。
ガス代の代支払い：他人があなたのガス代を負担し、あなたは署名だけ行えば、ウォレットにETHがなくても取引を完了できます。
権限の限定化：代理コントラクトにサブキーを与えることで「特定トークン、特定額、特定アプリ」の権限のみを付与できます。例えば、あるERC-20トークンは使用できても、ETHは使えない、など。
なぜ EIP-7702 は危険なのか
EIP-7702 の本来の意図はユーザー体験の向上にありますが、よく考えると、自分の「取引実行権」を「悪意のあるコントラクトアドレス」に渡してしまえば、そのコントラクトは無制限にさまざまな操作を行う権利を持つことになり、その瞬間にあなたの資産はあなたのものではなくなります。今年5月時点でのWintermuteの調査は、EIP-7702 関連の承認のうち97%以上が悪意のあるコントラクトに関連していることを示しています。
あなたが被害に遭うパターンは非常に直接的です：
ユーザーがフィッシングサイトに誘導され、内容をよく確認せずに署名したトランザクションが実は EIP-7702 型で、アドレスの権限をハッカーが指定したターゲットコントラクトに委任してしまう；
あるいは秘密鍵が漏洩する場合。攻撃者は秘密鍵を盗用し、悪意ある EIP-7702 の承認タプルを使って被害者の EOA を「掃除ロボット」コントラクトに委任し、被害者のウォレットが新しい資産を受け取った瞬間にそれを即座に移し去ります。
ユーザーはどう対策すべきか？
基本中の基本として、署名内容をよく読むこと。理解できない取引には署名しないこと。さらに、ウェブサイトのURLやSSL証明書を注意深く確認し、ソーシャルメディアのDMや不明なメールのリンクはクリックしないようにします。
定期的に承認をチェックする。例えばRabbyウォレットの許可管理では、アカウントが EIP-7702 の承認を行っているかどうかを明確に確認できます。
EIP-7702 型のアップグレードは行わない。ウォレットやアプリはユーザー体験向上のためにアップグレードオプションを提供しますが、必須でなければこの機能は有効にしない方が安全です。
EIP-7702 の取引に承認を与える際は、委任するコントラクトアドレスを必ず精査し、完全に監査され、実績があり、広く信頼されたプロトコルから来ていることを確認してください。
終わり
ハッカーが新手を使おうが古典的手口を使おうが、最終的にあなたの資産が安全かどうかを決めるのは、秘密鍵が高リスクな環境にさらされているかどうかです。秘密鍵が安全であれば（例えばハードウェアウォレットを使用している場合）：
誤ってハッカーのフィッシング会議リンクをクリックしても、ハッカーはあなたのコンピュータ上で秘密鍵を見つけられないため、資産が直ちに移されることはありません。
秘密鍵をあなただけが知っている状態（ハードウェアウォレットがあなたの手元にある）であれば、ハッカーはあなたのアドレスに対して EIP-7702 の承認を付与することもできません。
最後にひと言：OneKey のハードウェアウォレットは既に EIP-7702 型取引の解析に対応しており、疑わしいウェブサイトをクリックした場合でも、潜んでいる悪意ある承認がハードウェアウォレット上で一目瞭然になり、ユーザーは容易に識別して阻止できます。
攻撃は変わっても、境界は変わらない——秘密鍵はハードウェアに、決定権はあなた自身の手に。