Un millón en una transacción: Cómo la actualización de Ethereum se convirtió en un arma para los estafadores

Traders Union
Todas las noticias
Selecciones del editor
EIP-7702: La innovación de Ethereum que se convirtió en una trampa millonaria

Todas las noticias

Noticias destacadas

Selecciones del editor

Acciones

Criptomonedas

Economía

Divisas

Materias Primas

Negocios y Riqueza

Voces del mercado

Olesia Kramarenko

30.08.2025

Un millón en una transacción: Cómo la actualización de Ethereum se convirtió en un arma para los estafadores — Cuando una cartera se convierte en un contrato inteligente: una nueva era de riesgos en la blockchain de Ethereum

El 22 de agosto se registró un robo de casi un millón de dólares en tokens y NFT. El usuario firmó una transacción que parecía un intercambio ordinario en Uniswap. No había signos evidentes de peligro: la interfaz mostraba una operación estándar y esperada. Pero en lugar de un intercambio, se produjo una acción oculta. El monedero recibió derechos temporales de "actualización" con arreglo a la norma EIP-7702, y eso bastó para que todos los activos se transfirieran de una sola vez a las cuentas de los estafadores.

Este artículo ha sido traducido del original. Lea la versión original de nuestro corresponsal aquí.

Este caso se convirtió en la primera señal sonora de que los nuevos estándares de Ethereum, desarrollados para la comodidad y la eficiencia, pueden convertirse en herramientas para el phishing.

Qué es EIP-7702

EIP-7702 es una propuesta de mejora de Ethereum que cambió la naturaleza misma de la interacción con la red. Tradicionalmente, Ethereum tenía dos tipos de cuentas. La primera era la cuenta de propiedad externa (EOA), un monedero normal que simplemente firma transacciones con una clave privada. La segunda era la cuenta de contrato, que contiene código y puede ejecutar escenarios complejos.

La introducción del EIP-7702 permitió fusionar estos dos modelos. Un monedero normal adquirió la capacidad de comportarse temporalmente como un contrato inteligente, lo que significa que, dentro de una única transacción, puede ejecutar varias acciones a la vez. Para el usuario, esto parece una versión simplificada de la llamada abstracción de cuenta: no hay necesidad de firmar cada acción por separado y pagar por docenas de transacciones. Una sola confirmación puede completar todo un escenario.

Ver publicación en X Cargando...

El tuit fue eliminado por el autor.

Pero guardamos todo 🙂.

Cómo funciona técnicamente

En el modelo clásico de EOA, las acciones se limitaban a simples transferencias o a llamar a funciones de un contrato inteligente. En el caso del EIP-7702, el monedero carga un código temporal que se ejecuta únicamente durante una transacción. Este código puede contener una secuencia de instrucciones diferentes: por ejemplo, primero ejecutar un intercambio en una bolsa descentralizada, después enviar parte de los tokens a otra dirección, y simultáneamente interactuar con un protocolo de liquidez.

Una vez completada la transacción, el código temporal desaparece y la cuenta vuelve a su estado normal. Este enfoque resuelve realmente muchos problemas, facilitando y abaratando las operaciones DeFi. Pero esta misma flexibilidad se ha convertido en la base de nuevos ataques.

Por qué los monederos no advierten del peligro

La razón principal es que las transacciones bajo el EIP-7702 técnicamente parecen una actualización de código normal. La interfaz del monedero sólo recibe información general: el usuario está firmando una transacción que contiene initCode, y este código se ejecutará dentro del bloque. Por sí solos, estos datos no conllevan una señal de peligro evidente. El monedero no puede reconocer que el código esconde una orden de "transferir todos los tokens".

Otra complicación es que el estándar aún es nuevo, y la mayoría de clientes y monederos aún no entienden la lógica de EIP-7702. En el caso de las transacciones clásicas, un monedero puede mostrar claramente "está enviando 2 ETH a la dirección X". Con 7702, sin embargo, sólo ve un conjunto general de instrucciones que se ejecutarán en tiempo real en la máquina virtual. Explicar esto al usuario requeriría una integración compleja y, de hecho, un analizador de código incorporado, algo que todavía no existe en los monederos convencionales.

Ver publicación en X Cargando...

El tuit fue eliminado por el autor.

Pero guardamos todo 🙂.

Como resultado, el usuario sólo ve un "intercambio habitual" o una "aprobación", mientras que la lógica real de la transacción permanece oculta. Esta brecha entre la complejidad técnica y la representación visual crea un campo ideal para el abuso.

El camino hacia el EIP-7702

El EIP-7702 no apareció de la nada. Ethereum lleva mucho tiempo avanzando hacia la abstracción de cuentas, donde la línea entre un monedero y un contrato inteligente desaparece. Pasos anteriores, en particular el EIP-4337, trasladaron el procesamiento de transacciones a "agrupadores" especiales.

La nueva propuesta se convirtió en una variante más simple pero más radical, donde la lógica se ejecuta directamente en la cuenta del usuario sin capas adicionales. Esto hizo que las transacciones fueran más eficientes, pero también abrió nuevas oportunidades para los ataques.

Equilibrio entre innovación y riesgo

El robo del millón de dólares ilustra la paradoja del desarrollo de Ethereum. Cada nueva mejora abre la puerta a la comodidad y la flexibilidad, pero al mismo tiempo crea un nuevo nivel de peligro. Los desarrolladores imaginaron transacciones multioperación y escenarios DeFi más baratos, pero en la práctica el primer caso de uso generalizado resultó ser un sofisticado phishing.

El EIP-7702 ha abierto una nueva era para Ethereum, en la que un monedero normal puede convertirse en un contrato inteligente durante unos segundos. Es un paso hacia un modelo de cuenta universal, pero también un recordatorio de que la innovación siempre conlleva riesgos. Donde los desarrolladores ven eficiencia, los estafadores ven una forma de drenar millones con una sola firma.

Este material puede contener opiniones de terceros, ninguno de los datos e información en esta página web constituye asesoramiento de inversión según nuestro Aviso Legal. Aunque nos adherimos a una estricta Integridad Editorial, esta publicación puede contener referencias a productos de nuestros socios.

¿Te gustó el artículo?