Attaque EIP-7702 : Un Wallet Ethereum Perd 22 000 Dollars

Imaginez ouvrir votre portefeuille Ethereum un matin ordinaire et découvrir que plus de 22 000 dollars ont purement et simplement disparu. Pas de phishing classique, pas de seed phrase compromise, pas même de flash loan sophistiqué. Juste une autorisation signée qui a suffi à tout faire basculer. C’est exactement ce qui est arrivé à un utilisateur connu sous le nom de sven.eth le 14 octobre 2026.

Une nouvelle menace émergente sur Ethereum

La firme de sécurité ExVul a sonné l’alerte en signalant le vol de 9,1231 ETH, soit environ 22 770 dollars au moment des faits, accompagné de 1,69271471 tokens TAPEETH. L’attaque repose entièrement sur le mécanisme d’EIP-7702, une nouveauté introduite dans le cadre de l’abstraction de compte d’Ethereum. Ce standard permet à un portefeuille classique de déléguer temporairement l’exécution de code intelligent, une avancée pratique… et potentiellement dangereuse.

Contrairement aux exploits DeFi traditionnels, ici aucun protocole n’a été piraté. L’attaquant n’a pas manipulé de pool de liquidité ni exploité une faille dans PodMining. Il a simplement utilisé une autorisation déjà signée par la victime pour prendre le contrôle de son wallet et tout vider.

Comment l’attaque s’est déroulée étape par étape

Tout commence avec une transaction de type 4, sponsorisée par l’attaquant. Cette transaction contient une autorisation EIP-7702 valide signée par le propriétaire du wallet. Une fois traitée par le réseau, le portefeuille de sven.eth se retrouve associé à un contrat malveillant contrôlé par l’adresse 0x9208…

Le contrat délégué contenait une adresse fixe autorisée à agir au nom de la victime. L’attaquant a ensuite appelé la fonction PodMining.claim(), récupéré les récompenses TAPEETH, puis vidé le solde ETH restant. Le tout sans que la victime n’ait besoin de payer les frais de gas ni même de lancer la transaction elle-même.

ExVul a insisté sur un point crucial : « Aucun flash loan ni manipulation d’AMM n’a été impliqué. » L’entrée était purement l’autorisation de délégation. Une fois activée, le code malveillant s’exécutait dans le contexte du compte de la victime, avec tous ses droits.

Qu’est-ce que l’EIP-7702 réellement ?

L’EIP-7702 fait partie des évolutions majeures de l’account abstraction sur Ethereum. Il permet à une adresse externe ordinaire (EOA) de se comporter temporairement comme un smart contract. L’utilisateur signe une autorisation qui désigne un contrat de délégation. Une fois cette autorisation enregistrée, toute interaction avec le wallet peut déclencher le code délégué.

Les cas d’usage légitimes sont nombreux : transactions sponsorisées (quelqu’un d’autre paie le gas), batching d’opérations, permissions flexibles pour des applications décentralisées. Sur le papier, c’est un grand pas vers une expérience utilisateur plus fluide. Dans la pratique, cela ouvre une nouvelle surface d’attaque redoutable.

Une délégation mal conçue ou malveillante peut donner à un tiers un contrôle quasi total sur le compte concerné.

Spécification officielle Ethereum sur l’EIP-7702

Le problème principal réside dans la persistance de la délégation. Une fois activée, elle ne disparaît pas automatiquement à la fin de la transaction. Elle reste active jusqu’à ce que le propriétaire décide explicitement de la remplacer ou de la réinitialiser en autorisant l’adresse zéro.

Pourquoi cette attaque est particulièrement inquiétante

Au moment où ExVul a publié son alerte, la délégation malveillante était toujours active au bloc 26 188 153. Cela signifie que tout nouvel actif déposé sur ce wallet aurait pu être immédiatement aspiré. La firme a donc fortement recommandé de ne plus envoyer de fonds vers l’adresse compromise et de procéder au plus vite à un reset de la délégation.

Ce type d’attaque se distingue des méthodes classiques. Il n’y a pas besoin de voler la seed phrase. Il suffit d’obtenir une signature d’autorisation, souvent via un site de phishing, une application compromise ou une interface de signature trompeuse. Une fois la signature en main, l’attaquant peut l’utiliser quand il le souhaite, même des jours ou des semaines plus tard.

ExVul n’a pas pu déterminer précisément comment l’attaquant a obtenu la signature de sven.eth. Aucun site phishing précis n’a été identifié dans le rapport public. Cette zone d’ombre rend la menace encore plus diffuse et difficile à anticiper.

Un historique déjà chargé de problèmes similaires

Ce n’est pas la première fois que l’EIP-7702 pose problème. Dès mai 2025, le market maker Wintermute avait tiré la sonnette d’alarme. Leur analyse montrait que plus de 97 % des délégations EIP-7702 observées pointaient vers des contrats utilisant un code quasi identique, conçu pour drainer automatiquement les fonds entrants.

En septembre 2025, les détenteurs de tokens World Liberty Financial avaient eux aussi été ciblés. Des enquêteurs avaient documenté l’utilisation de délégations malveillantes pour exécuter des transactions non autorisées après le transfert de tokens. En juillet 2026, une autre affaire de phishing Ethereum avait fait perdre près d’un million de dollars à des victimes, même si le mode opératoire n’était pas strictement identique.

Ces précédents montrent une tendance claire : les attaquants s’adaptent très vite aux nouvelles fonctionnalités d’Ethereum. L’account abstraction, censée améliorer l’expérience utilisateur, devient en même temps un vecteur d’attaque privilégié.

Les bonnes pratiques pour se protéger dès maintenant

Face à cette nouvelle réalité, plusieurs réflexes s’imposent. D’abord, vérifier systématiquement ce que l’on signe. Les wallets modernes affichent désormais plus clairement les autorisations EIP-7702, mais il faut prendre le temps de lire. Une signature qui semble anodine peut en réalité donner un pouvoir énorme.

Ensuite, surveiller régulièrement l’état de délégation de ses adresses. Des outils d’exploration de blockchain permettent de vérifier si un contrat est actuellement délégué. En cas de doute, la procédure de reset vers l’adresse zéro reste le moyen le plus sûr de reprendre le contrôle.

• Ne jamais signer une autorisation EIP-7702 sans en comprendre pleinement les conséquences
• Utiliser des wallets matériels ou des solutions multi-signatures pour les montants importants
• Séparer les fonds de trading des fonds de long terme
• Vérifier l’état de délégation après chaque interaction suspecte
• Éviter de laisser des soldes importants sur des adresses ayant déjà délégué du code

La spécification Ethereum elle-même recommande plusieurs garde-fous pour les développeurs de contrats de délégation : protection contre les replays, authentification stricte des paramètres de transaction, et procédures d’initialisation sécurisées. Mais ces protections ne valent que si l’utilisateur reste vigilant au moment de signer.

Ce que révèle cette affaire sur l’évolution d’Ethereum

L’incident de sven.eth illustre parfaitement le double tranchant des innovations techniques. L’EIP-7702 apporte une flexibilité réelle : possibilité de transactions sans gas pour l’utilisateur final, batching d’opérations complexes, intégration plus fluide avec les applications. Mais cette flexibilité s’accompagne d’une complexité accrue et d’une surface d’attaque élargie.

Dans un écosystème où les utilisateurs sont déjà confrontés à de nombreuses formes de phishing, l’ajout d’un nouveau type d’autorisation potentiellement irréversible (jusqu’à reset) crée une vulnérabilité structurelle. Les attaquants n’ont plus besoin de compromettre la clé privée ; une simple signature bien ciblée suffit.

ExVul a clairement écarté toute responsabilité du protocole PodMining ou du token TAPEETH. L’attaque est purement liée à la délégation. Cette distinction est importante : elle montre que même les projets bien audités peuvent devenir des collatéraux dans des attaques qui ciblent les utilisateurs eux-mêmes.

Les suites possibles pour la victime et la communauté

Au moment de la publication de l’alerte, aucune information n’indiquait que sven.eth avait réussi à retirer la délégation malveillante ni à récupérer des fonds. Aucun arrangement de remboursement, aucune action judiciaire publique n’avait été mentionnée. La situation restait donc ouverte.

Pour la communauté, cet incident doit servir de rappel. Les fonctionnalités d’account abstraction, aussi prometteuses soient-elles, nécessitent une éducation utilisateur à la hauteur. Les interfaces de signature doivent devenir plus transparentes. Les explorateurs de blocs doivent afficher clairement les délégations actives. Et les utilisateurs doivent adopter une posture de méfiance raisonnée face à toute demande de signature.

L’histoire de sven.eth n’est probablement pas isolée. D’autres wallets pourraient déjà être dans la même situation, avec une délégation dormante prête à se réveiller au moindre dépôt. La vigilance collective devient donc essentielle.

Vers une meilleure maturité de l’account abstraction

Ethereum progresse rapidement sur le plan technique. L’account abstraction est une pièce maîtresse de cette évolution. Mais chaque nouvelle brique doit s’accompagner de mécanismes de sécurité renforcés et d’une pédagogie claire. Les développeurs de wallets ont un rôle central à jouer en rendant les risques visibles et compréhensibles.

Les équipes de sécurité comme ExVul, Wintermute ou d’autres continuent de documenter ces nouvelles formes d’attaques. Leur travail est précieux. Il permet à la communauté d’anticiper plutôt que de subir. L’attaque du 14 octobre 2026 s’inscrit dans une série d’alertes qui, si elles sont prises au sérieux, peuvent encore éviter des pertes bien plus importantes.

En attendant, le message reste simple : avant de signer quoi que ce soit lié à une délégation EIP-7702, posez-vous la question de savoir si vous comprenez vraiment ce que vous autorisez. Dans le monde de la crypto, une signature trop rapide peut coûter très cher.

Le cas de sven.eth le prouve une fois de plus. 22 000 dollars partis en fumée, non pas à cause d’une faille de protocole, mais à cause d’une autorisation donnée un peu trop facilement. Une leçon douloureuse, mais utile pour toute la communauté Ethereum.

La sécurité des wallets n’a jamais été aussi importante. Avec l’arrivée de fonctionnalités comme l’EIP-7702, elle devient encore plus critique. Rester informé, vérifier systématiquement, et ne jamais faire confiance aveuglément à une demande de signature restent les meilleurs remparts contre ce type d’attaque.

Alors que l’écosystème continue d’évoluer, ces incidents servent de balises. Ils rappellent que l’innovation technique doit toujours aller de pair avec une responsabilité accrue de la part des utilisateurs et des développeurs. L’histoire de ce wallet vidé en quelques secondes devrait rester gravée dans les esprits de ceux qui manipulent quotidiennement des actifs numériques.

Finalement, l’attaque EIP-7702 de sven.eth n’est pas seulement une actualité de plus. C’est un signal d’alarme sur la manière dont les nouvelles fonctionnalités d’Ethereum peuvent être détournées. Comprendre le mécanisme, connaître les précédents, et adopter les bons réflexes devient aujourd’hui indispensable pour quiconque souhaite naviguer sereinement dans cet environnement en constante mutation.