Un million de dollars en une seule transaction : Comment la mise à jour d'Ethereum est devenue une arme pour les escrocs

Traders Union
Toutes les actualités
Sélection de la rédaction
EIP-7702 : L'innovation Ethereum qui s'est transformée en un piège à un million de dollars

Toutes les actualités

À la une

Sélection de la rédaction

Actions

Cryptomonnaies

Économie

Devises

Matières premières

Business & Wealth

Voix du marché

Olesia Kramarenko

30.08.2025

Un million de dollars en une seule transaction : Comment la mise à jour d'Ethereum est devenue une arme pour les escrocs — Quand un portefeuille devient un contrat intelligent : une nouvelle ère de risques dans la blockchain Ethereum

Le 22 août, un vol de près d'un million de dollars en tokens et NFT a été enregistré. L'utilisateur a signé une transaction qui ressemblait à un échange ordinaire sur Uniswap. Il n'y avait pas de signes évidents de danger : l'interface affichait une opération standard et attendue. Mais au lieu d'un échange, une action cachée a eu lieu. Le portefeuille a reçu des droits temporaires "améliorés" en vertu de la norme EIP-7702, ce qui a suffi pour que tous les actifs soient transférés en une seule fois sur les comptes des escrocs.

Cet article a été traduit de l'original. Lisez la version originale de notre correspondant ici.

Ce cas est devenu le premier signal fort montrant que les nouvelles normes Ethereum, développées pour la commodité et l'efficacité, peuvent être transformées en outils d'hameçonnage.

Qu'est-ce que l'EIP-7702 ?

EIP-7702 est une proposition d'amélioration d'Ethereum qui a changé la nature même de l'interaction avec le réseau. Traditionnellement, Ethereum disposait de deux types de comptes. Le premier était le compte de propriété externe (EOA), un portefeuille ordinaire qui signe simplement les transactions avec une clé privée. Le second était le compte de contrat, qui contient du code et peut exécuter des scénarios complexes.

L'introduction de l'EIP-7702 a permis de fusionner ces deux modèles. Un portefeuille ordinaire a acquis la capacité de se comporter temporairement comme un contrat intelligent, ce qui signifie qu'au cours d'une seule transaction, il peut exécuter plusieurs actions à la fois. Pour l'utilisateur, cela ressemble à une version simplifiée de ce que l'on appelle l'abstraction de compte: plus besoin de signer chaque action séparément et de payer pour des dizaines de transactions. Une seule confirmation peut compléter un scénario entier.

Voir la publication sur X Chargement…

Le tweet a été supprimé par son auteur.

Mais nous avons tout sauvegardé 🙂.

Fonctionnement technique

Dans le modèle EOA classique, les actions se limitaient à de simples transferts ou à l'appel de fonctions dans un contrat intelligent. Dans le cas de l'EIP-7702, le portefeuille charge un code temporaire qui ne s'exécute que pendant la durée d'une transaction. Ce code peut contenir une séquence d'instructions différentes : par exemple, exécuter d'abord un swap sur un échange décentralisé, puis envoyer une partie des jetons à une autre adresse, et simultanément interagir avec un protocole de liquidité.

Une fois la transaction terminée, le code temporaire disparaît et le compte retrouve son état normal. Cette approche résout véritablement de nombreux problèmes, rendant les opérations de DeFi plus faciles et moins coûteuses. Mais cette même flexibilité est devenue la base de nouvelles attaques.

Pourquoi les portefeuilles n'avertissent-ils pas du danger ?

La principale raison est que les transactions effectuées dans le cadre de l'EIP-7702 ressemblent techniquement à une mise à jour régulière du code. L'interface du portefeuille ne reçoit que des informations générales : l'utilisateur signe une transaction contenant initCode, et ce code sera exécuté dans le bloc. En soi, ces données ne constituent pas un signal de danger évident. Le portefeuille ne peut pas reconnaître que le code cache une commande de "transfert de tous les jetons".

Une autre complication est que la norme est encore nouvelle et que la plupart des clients et des portefeuilles ne comprennent pas encore la logique de l'EIP-7702. Dans le cas des transactions classiques, un portefeuille peut clairement indiquer "vous envoyez 2 ETH à l'adresse X". Avec 7702, cependant, il ne voit qu'un ensemble général d'instructions qui seront exécutées en temps réel sur la machine virtuelle. Expliquer cela à l'utilisateur nécessiterait une intégration complexe et, en fait, un analyseur de code intégré - quelque chose qui n'existe pas encore dans les portefeuilles traditionnels.

Voir la publication sur X Chargement…

Le tweet a été supprimé par son auteur.

Mais nous avons tout sauvegardé 🙂.

Par conséquent, l'utilisateur ne voit qu'un "échange habituel" ou une "approbation", alors que la logique réelle de la transaction reste cachée. Ce décalage entre la complexité technique et la représentation visuelle crée un terrain idéal pour les abus.

Le chemin vers l'EIP-7702

L'EIP-7702 n'est pas sorti de nulle part. Ethereum évolue depuis longtemps vers l'abstraction de compte, où la frontière entre un portefeuille et un contrat intelligent disparaît. Les étapes précédentes, en particulier l'EIP-4337, ont déplacé le traitement des transactions dans des "bundlers" spéciaux.

La nouvelle proposition est devenue une variante plus simple mais plus radicale, où la logique est exécutée directement dans le compte de l'utilisateur sans couches supplémentaires. Cela a rendu les transactions plus efficaces, mais a également ouvert de nouvelles possibilités d'attaques.

Équilibrer l'innovation et le risque

Le vol d'un million de dollars illustre le paradoxe du développement d'Ethereum. Chaque nouvelle amélioration ouvre la voie à la commodité et à la flexibilité, mais crée en même temps un nouveau niveau de danger. Les développeurs ont imaginé des transactions multi-opérations et des scénarios DeFi moins coûteux, mais dans la pratique, le premier cas d'utilisation généralisée s'est avéré être un hameçonnage sophistiqué.

L'EIP-7702 a ouvert une nouvelle ère pour Ethereum, où un portefeuille ordinaire peut devenir un contrat intelligent pendant quelques secondes. Il s'agit d'une étape vers un modèle de compte universel, mais aussi d'un rappel que l'innovation s'accompagne toujours d'un risque. Là où les développeurs voient de l'efficacité, les escrocs voient un moyen de drainer des millions avec une seule signature.

Ce matériel peut contenir des opinions de tiers, aucune des données et informations sur cette page web ne constitue un conseil en investissement selon notre Avertissement. Bien que nous respections une stricte Intégrité Éditoriale, ce post peut contenir des références à des produits de nos partenaires.

Cet article vous a plu ?