Un milione in una transazione: Come l'aggiornamento di Ethereum è diventato un'arma per i truffatori

Traders Union
Tutte le notizie
Scelte della redazione
EIP-7702: l'innovazione di Ethereum che si è trasformata in una trappola da un milione di dollari

Tutte le notizie

Primo piano

Scelte della redazione

Azioni

Criptovalute

Economia

Valute

Materie prime

Imprese e patrimoni

Voci di mercato

Olesia Kramarenko

30.08.2025

Un milione in una transazione: Come l'aggiornamento di Ethereum è diventato un'arma per i truffatori — Quando un portafoglio diventa un contratto intelligente: una nuova era di rischi nella blockchain di Ethereum

Il 22 agosto è stato registrato un furto di quasi 1 milione di dollari in token e NFT. L'utente ha firmato una transazione che sembrava un normale swap su Uniswap. Non c'erano segni evidenti di pericolo: l'interfaccia mostrava un'operazione standard e prevista. Ma invece di uno scambio, è avvenuta un'azione nascosta. Il portafoglio ha ricevuto diritti temporanei di "aggiornamento" in base allo standard EIP-7702 e questo è stato sufficiente per trasferire tutte le attività in un'unica mossa ai conti dei truffatori.

Questo articolo è stato tradotto dall'originale. Leggi la versione originale del nostro corrispondente qui.

Questo caso è diventato il primo segnale forte che i nuovi standard di Ethereum, sviluppati per la convenienza e l'efficienza, possono essere trasformati in strumenti di phishing.

Cos'è EIP-7702

EIP-7702 è una proposta di miglioramento di Ethereum che ha cambiato la natura stessa dell'interazione con la rete. Tradizionalmente, Ethereum aveva due tipi di account. Il primo era l'account di proprietà esterna (EOA), un normale portafoglio che firmava semplicemente le transazioni con una chiave privata. Il secondo era l'account contratto, che contiene codice e può eseguire scenari complessi.

L'introduzione dell'EIP-7702 ha permesso di fondere questi due modelli. Un portafoglio normale ha acquisito la capacità di comportarsi temporaneamente come uno smart contract, il che significa che all'interno di una singola transazione può eseguire diverse azioni contemporaneamente. Per l'utente, questo sembra una versione semplificata della cosiddetta astrazione del conto: non è necessario firmare ogni azione separatamente e pagare per decine di transazioni. Una sola conferma può completare un intero scenario.

Visualizza il post su X Caricamento...

Il tweet è stato eliminato dall’autore.

Ma abbiamo salvato tutto 🙂.

Come funziona tecnicamente

Nel modello EOA classico, le azioni si limitavano a semplici trasferimenti o a richiamare funzioni in uno smart contract. Nel caso di EIP-7702, il portafoglio carica un codice temporaneo che viene eseguito solo per la durata di una transazione. Questo codice può contenere una sequenza di istruzioni diverse: ad esempio, prima eseguire uno swap su una borsa decentralizzata, poi inviare parte dei token a un altro indirizzo e contemporaneamente interagire con un protocollo di liquidità.

Una volta completata la transazione, il codice temporaneo scompare e il conto torna al suo stato normale. Questo approccio risolve effettivamente molti problemi, rendendo le operazioni della DeFi più semplici ed economiche. Ma proprio questa flessibilità è diventata la base per nuovi attacchi.

Perché i portafogli non avvertono del pericolo

Il motivo principale è che le transazioni nell'ambito dell'EIP-7702 tecnicamente sembrano un normale aggiornamento del codice. L'interfaccia del portafoglio riceve solo informazioni generali: l'utente sta firmando una transazione contenente l'initCode e questo codice verrà eseguito all'interno del blocco. Di per sé, questi dati non comportano un segnale di pericolo evidente. Il portafoglio non può riconoscere che il codice nasconde un comando per "trasferire tutti i token".

Un'altra complicazione è che lo standard è ancora nuovo e la maggior parte dei client e dei portafogli non comprende ancora la logica dell'EIP-7702. Nel caso delle transazioni classiche, un portafoglio può mostrare chiaramente "stai inviando 2 ETH all'indirizzo X". Con il 7702, invece, vede solo un insieme generale di istruzioni che verranno eseguite in tempo reale sulla macchina virtuale. Spiegarlo all'utente richiederebbe un'integrazione complessa e, di fatto, un analizzatore di codice integrato, cosa che non esiste ancora nei portafogli tradizionali.

Visualizza il post su X Caricamento...

Il tweet è stato eliminato dall’autore.

Ma abbiamo salvato tutto 🙂.

Di conseguenza, l'utente vede solo un "solito swap" o un "approvo", mentre la vera logica della transazione rimane nascosta. Questo divario tra complessità tecnica e rappresentazione visiva crea un campo ideale per gli abusi.

La strada verso l'EIP-7702

EIP-7702 non è apparso dal nulla. Ethereum si sta muovendo da tempo verso l'astrazione degli account, dove la linea di demarcazione tra un portafoglio e uno smart contract scompare. I passi precedenti, in particolare l'EIP-4337, hanno spostato l'elaborazione delle transazioni in speciali "bundler".

La nuova proposta è diventata una variante più semplice ma più radicale, in cui la logica viene eseguita direttamente nell'account dell'utente senza strati aggiuntivi. Ciò ha reso le transazioni più efficienti, ma ha anche aperto nuove opportunità di attacco.

Bilanciare innovazione e rischio

Il furto di un milione di dollari illustra il paradosso dello sviluppo di Ethereum. Ogni nuovo miglioramento apre le porte alla convenienza e alla flessibilità, ma allo stesso tempo crea un nuovo livello di pericolo. Gli sviluppatori avevano previsto transazioni multi-operazione e scenari DeFi più economici, ma in pratica il primo caso d'uso diffuso si è rivelato un sofisticato phishing.

EIP-7702 ha aperto una nuova era per Ethereum, in cui un normale portafoglio può diventare uno smart contract per pochi secondi. È un passo avanti verso un modello di conto universale, ma ricorda anche che l'innovazione comporta sempre dei rischi. Laddove gli sviluppatori vedono l'efficienza, i truffatori vedono un modo per prosciugare milioni con una sola firma.

Questo materiale può contenere opinioni di terze parti, nessuno dei dati e delle informazioni su questa pagina web costituisce consulenza sugli investimenti secondo il nostro Disclaimer. Sebbene aderiamo a una rigorosa Integrità Editoriale, questo post può contenere riferimenti a prodotti dei nostri partner.

Ti è piaciuto l'articolo?