Um novo estudo revisado por pares está lançando luz sobre os riscos de delegação de carteiras Ethereum apenas alguns meses depois de uma das atualizações mais aguardadas da rede entrar em vigor. Pesquisadores que apresentaram resultados na USENIX Security ’26 descobriram que contratos controlados por atacantes estavam ligados à maioria das primeiras transações usando a EIP-7702, o recurso que permite que uma carteira padrão se comporte temporariamente como um contrato inteligente. Os números são suficientemente impressionantes para levantar questões reais sobre quão seguramente o recurso foi implementado em todo o ecossistema.
Summary
Principais pontos
- Contratos ligados a atacantes apareceram em 63% das transações de autorização EIP-7702 estudadas pelos pesquisadores da USENIX Security ’26.
- A equipe analisou mais de 22,8 bilhões de transações em sete blockchains até 15 de julho de 2025 e isolou 3.664.166 autorizações EIP-7702.
- A revisão manual e a análise de código confirmaram 924 contratos maliciosos, ligados a cerca de US$ 2,36 milhões em perdas confirmadas.
- Contratos mais antigos que assumiam que carteiras nunca poderiam agir como contratos agora expõem aproximadamente US$ 10,14 milhões em ativos.
- O Ethereum.org emitiu orientações instando as carteiras a colocarem em lista branca contratos de delegação e mostrarem claramente aos usuários qual código eles estão aprovando.
Ampla participação de atacantes nas transações de autorização EIP-7702 da Ethereum
Um estudo revisado por pares da USENIX Security ’26 encontrou contratos ligados a atacantes embutidos em 63% das transações de autorização EIP-7702 da Ethereum, um número que sugere que a adoção inicial do recurso no mundo real foi dominada por agentes mal-intencionados em vez de usuários comuns experimentando a nova funcionalidade de carteira.
Principais descobertas do estudo revisado por pares
Das transações de autorização examinadas pelos pesquisadores, 2.322.548 delas, ou 63%, estavam ligadas a contratos que a equipe identificou como maliciosos. Isso não é um erro de arredondamento nem uma estatística marginal. Significa que, para cada dez pessoas que assinaram uma autorização EIP-7702 nesse período, aproximadamente seis estavam interagindo com código ligado a atacantes. Os pesquisadores usaram uma combinação de filtros de transação, análise de código e verificação manual para confirmar 924 contratos maliciosos distintos, um número que eles descrevem como um piso e não um teto, já que o método pode não capturar contratos mais novos ou padrões de ataque desconhecidos.
Escopo da análise de transações em blockchain
Para chegar a essas conclusões, os pesquisadores processaram um conjunto de dados genuinamente massivo: mais de 22,8 bilhões de transações abrangendo sete blockchains, incluindo Ethereum, Binance Smart Chain, Polygon, Optimism, Arbitrum, Base e Gnosis, todas até 15 de julho de 2025. Dentro desse conjunto mais amplo, eles isolaram especificamente 3.664.166 transações de autorização EIP-7702. A escala do estudo é o que dá peso ao número de 63% — não se trata de uma pequena amostra retirada de algumas carteiras suspeitas, mas de uma varredura sistemática nas cadeias onde o recurso está realmente sendo usado.
Como a delegação de carteiras da EIP-7702 permite explorações por atacantes
A EIP-7702 permite que um endereço de carteira aponte para um código de contrato separado sem nunca alterar o próprio endereço, e esse design é exatamente o que os atacantes aprenderam a explorar. A atualização entrou em vigor como parte do hard fork Pectra da Ethereum em 7 de maio de 2025, e foi projetada para tornar as carteiras mais flexíveis — não mais perigosas.
Mecânica do recurso de delegação de carteira
Com a EIP-7702, o proprietário original de uma carteira mantém sua chave privada, mas o código de contrato ligado a esse endereço pode agir com a autoridade total da conta. É isso que torna possível agrupar várias ações em uma única transação ou permitir que um terceiro cubra as taxas de gás em nome de outra pessoa. A contrapartida é que o código vinculado passa a fazer parte efetiva do perímetro de segurança da carteira. Se esse código for mal escrito ou deliberadamente malicioso, ele pode mover fundos, aprovar transferências ou interagir com outros aplicativos exatamente como se fosse o titular da conta dando instruções diretas.
Estratégias de atacantes e riscos para usuários
De acordo com o estudo, os atacantes têm preparado essas autorizações com antecedência e depois convencido as vítimas a assiná-las, às vezes por meio de prompts da carteira que não deixam claro qual código está realmente sendo aprovado. Ainda mais preocupante, os pesquisadores documentaram casos em que os atacantes reatribuem uma conta a um código com aparência normal após um ataque, o que apaga os sinais óbvios de comprometimento. Qualquer pessoa que verificasse essa carteira mais tarde não veria nada de incomum, embora a conta já tivesse sido explorada. A equipe também sinalizou 500 alvos de delegação apontando para endereços onde nenhum código foi implantado ainda — o que significa que código malicioso poderia teoricamente ser adicionado depois, alterando o que a carteira faz enquanto o alvo de delegação registrado permanece exatamente o mesmo.
Impacto financeiro e exposição decorrentes de vulnerabilidades na delegação de carteiras
Os danos confirmados desses ataques somam US$ 2.362.848,76, de acordo com a própria contagem do estudo, distribuídos em três tipos distintos de ataque. Esse número inclui apenas o que os pesquisadores puderam verificar de forma independente, portanto o total real ligado às vulnerabilidades da EIP-7702 pode ser maior.
Perdas confirmadas e tipos de ataque
Cerca de US$ 2,36 milhões em perdas foram diretamente atribuídos aos contratos maliciosos identificados por meio de revisão manual. Esse número representa dano verificado, não uma estimativa da exposição total em todo o ecossistema, e os pesquisadores fazem questão de observar que seus 924 contratos confirmados provavelmente subestimam a verdadeira escala do abuso.
Riscos de contratos antigos e alvos de delegação não utilizados
Uma vertente separada da pesquisa analisou contratos construídos antes da existência da EIP-7702, muitos dos quais assumiam que um endereço de carteira nunca poderia se comportar como um contrato inteligente. Essa suposição foi silenciosamente quebrada no momento em que a atualização Pectra foi ativada. Os pesquisadores encontraram 967 contratos Ethereum ativos ainda confiando nessa verificação desatualizada como salvaguarda de segurança, expondo coletivamente cerca de US$ 10,14 milhões em ativos a risco potencial. Este é, possivelmente, o número mais inquietante do estudo, porque não se trata de atacantes drenando fundos ativamente — trata-se de código legado na rede com uma suposição de segurança que não é mais válida.
Mitigações recomendadas e respostas de desenvolvedores
O Ethereum.org respondeu com orientações voltadas diretamente para fechar a lacuna entre o que a EIP-7702 torna possível e o que as carteiras atualmente revelam a seus usuários. A recomendação central é simples: as carteiras devem colocar em lista branca contratos de delegação, mostrar aos usuários exatamente qual código eles estão aprovando e confiar apenas em implementações auditadas de contas inteligentes, em vez de aceitar solicitações arbitrárias de delegação de qualquer aplicativo.
Orientações de segurança do Ethereum.org
As orientações tratam a transparência no nível da carteira como a primeira linha de defesa. Se um usuário não consegue ver para qual código uma autorização realmente delega, ele não tem como julgar realisticamente se assinar aquilo é seguro — e é exatamente esse ponto cego que os atacantes vêm explorando.
Salvaguardas propostas para delegação de carteiras
Além das correções em carteiras individuais, há uma proposta mais ampla circulando entre desenvolvedores: limitar as carteiras a uma lista curta de sistemas de contas publicamente revisados e avaliados, em vez de permitir que qualquer aplicativo solicite código de delegação personalizado. Essa abordagem reduziria consideravelmente a superfície de ataque, embora também significasse abrir mão de parte da flexibilidade que tornou a EIP-7702 atraente em primeiro lugar. Por enquanto, a tensão entre conveniência e segurança de autorização de carteiras permanece sem solução, e provavelmente influenciará a rapidez — e a cautela — com que o restante do ecossistema adotará o recurso.
Perguntas frequentes
O que é o recurso de delegação de carteiras da EIP-7702?
A EIP-7702 permite que uma carteira delegue autoridade vinculando-se a um código de contrato separado sem alterar o endereço da carteira, uma capacidade introduzida durante a atualização Pectra da Ethereum em 7 de maio de 2025.
Quão prevalentes são contratos maliciosos em transações de autorização EIP-7702?
Um estudo revisado por pares descobriu que 63% das transações de autorização EIP-7702 estavam ligadas a contratos controlados por atacantes, com base em uma análise de 3.664.166 autorizações identificadas dentro de um conjunto de dados mais amplo de mais de 22,8 bilhões de transações.
Quais riscos financeiros estão associados ao recurso de delegação de carteiras?
As perdas confirmadas relacionadas a ataques totalizam cerca de US$ 2,36 milhões, enquanto contratos antigos que dependem de suposições de segurança desatualizadas expõem aproximadamente US$ 10,14 milhões em ativos a risco potencial.
Quais etapas de mitigação o Ethereum.org recomenda?
O Ethereum.org recomenda que as carteiras coloquem em lista branca contratos de delegação, exibam claramente o código que os usuários estão aprovando e confiem apenas em implementações auditadas de contas inteligentes, em vez de código de delegação arbitrário.
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”O que é o recurso de delegação de carteiras da EIP-7702?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”A EIP-7702 permite que uma carteira delegue autoridade vinculando-se a um código de contrato separado sem alterar o endereço da carteira, uma capacidade introduzida durante a atualização Pectra da Ethereum em 7 de maio de 2025.”}},{“@type”:”Question”,”name”:”Quão prevalentes são contratos maliciosos em transações de autorização EIP-7702?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Um estudo revisado por pares descobriu que 63% das transações de autorização EIP-7702 estavam ligadas a contratos controlados por atacantes, com base em uma análise de 3.664.166 autorizações identificadas dentro de um conjunto de dados mais amplo de mais de 22,8 bilhões de transações.”}},{“@type”:”Question”,”name”:”Quais riscos financeiros estão associados ao recurso de delegação de carteiras?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”As perdas confirmadas relacionadas a ataques totalizam cerca de US$ 2,36 milhões, enquanto contratos antigos que dependem de suposições de segurança desatualizadas expõem aproximadamente US$ 10,14 milhões em ativos a risco potencial.”}},{“@type”:”Question”,”name”:”Quais etapas de mitigação o Ethereum.org recomenda?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”O Ethereum.org recomenda que as carteiras coloquem em lista branca contratos de delegação, exibam claramente o código que os usuários estão aprovando e confiem apenas em implementações auditadas de contas inteligentes, em vez de código de delegação arbitrário.”}}]}
Artigo produzido com a assistência de inteligência artificial e revisado pela equipe editorial.
