Une nouvelle étude évaluée par des pairs met en lumière les risques de délégation des portefeuilles Ethereum, quelques mois seulement après la mise en service de l’une des mises à niveau les plus attendues du réseau. Les chercheurs présentant leurs résultats à USENIX Security ’26 ont constaté que des contrats contrôlés par des attaquants étaient liés à la majorité des premières transactions utilisant l’EIP-7702, la fonctionnalité qui permet à un portefeuille standard de se comporter temporairement comme un contrat intelligent. Les chiffres sont suffisamment frappants pour soulever de vraies questions sur la manière dont la fonctionnalité a été déployée en toute sécurité dans l’écosystème.
Summary
Points clés à retenir
- Des contrats liés à des attaquants sont apparus dans 63 % des transactions d’autorisation EIP-7702 étudiées par les chercheurs d’USENIX Security ’26.
- L’équipe a examiné plus de 22,8 milliards de transactions sur sept blockchains jusqu’au 15 juillet 2025 et isolé 3 664 166 autorisations EIP-7702.
- Un examen manuel et une analyse de code ont confirmé 924 contrats malveillants, liés à environ 2,36 millions de dollars de pertes confirmées.
- Des contrats plus anciens qui supposaient que les portefeuilles ne pourraient jamais agir comme des contrats exposent désormais environ 10,14 millions de dollars d’actifs.
- Ethereum.org a publié des recommandations exhortant les portefeuilles à mettre sur liste blanche les contrats de délégation et à montrer clairement aux utilisateurs le code qu’ils approuvent.
Implication généralisée d’attaquants dans les transactions d’autorisation EIP-7702 d’Ethereum
Une étude évaluée par des pairs présentée à USENIX Security ’26 a trouvé des contrats liés à des attaquants intégrés dans 63 % des transactions d’autorisation EIP-7702 d’Ethereum, un chiffre qui suggère que les premières utilisations réelles de la fonctionnalité ont été dominées par des acteurs malveillants plutôt que par des utilisateurs ordinaires expérimentant une nouvelle fonctionnalité de portefeuille.
Principales conclusions de l’étude évaluée par des pairs
Parmi les transactions d’autorisation examinées par les chercheurs, 2 322 548 d’entre elles, soit 63 %, étaient liées à des contrats que l’équipe a identifiés comme malveillants. Ce n’est ni une erreur d’arrondi ni une statistique marginale. Cela signifie que pour dix personnes ayant signé une autorisation EIP-7702 pendant cette période, environ six interagissaient avec du code lié à des attaquants. Les chercheurs ont utilisé une combinaison de filtres de transactions, d’analyse de code et de vérification manuelle pour confirmer 924 contrats malveillants distincts, un nombre qu’ils décrivent comme un plancher plutôt qu’un plafond, car leur méthode peut ne pas détecter les contrats plus récents ou des schémas d’attaque inconnus.
Portée de l’analyse des transactions blockchain
Pour parvenir à ces conclusions, les chercheurs ont traité un ensemble de données véritablement massif : plus de 22,8 milliards de transactions couvrant sept blockchains, dont Ethereum, Binance Smart Chain, Polygon, Optimism, Arbitrum, Base et Gnosis, jusqu’au 15 juillet 2025. Au sein de cet ensemble plus large, ils ont isolé spécifiquement 3 664 166 transactions d’autorisation EIP-7702. L’ampleur de l’étude est ce qui donne tout son poids au chiffre de 63 % — il ne s’agit pas d’un petit échantillon tiré d’une poignée de portefeuilles suspects, mais d’un balayage systématique des chaînes où la fonctionnalité est réellement utilisée.
Comment la délégation de portefeuille EIP-7702 permet des exploits par des attaquants
L’EIP-7702 permet à une adresse de portefeuille de pointer vers un code de contrat distinct sans jamais changer l’adresse elle-même, et cette conception est précisément ce que les attaquants ont appris à exploiter. La mise à niveau a été activée dans le cadre du hard fork Pectra d’Ethereum le 7 mai 2025, et elle était censée rendre les portefeuilles plus flexibles — pas plus dangereux.
Mécanismes de la fonctionnalité de délégation de portefeuille
Avec l’EIP-7702, le propriétaire initial d’un portefeuille conserve sa clé privée, mais le code de contrat lié à cette adresse peut agir avec la pleine autorité du compte. C’est ce qui rend possible le regroupement de plusieurs actions en une seule transaction, ou le fait de permettre à un tiers de payer les frais de gaz pour le compte de quelqu’un d’autre. La contrepartie est que le code lié devient effectivement une partie du périmètre de sécurité du portefeuille. Si ce code est mal écrit ou délibérément malveillant, il peut déplacer des fonds, approuver des transferts ou interagir avec d’autres applications exactement comme si le titulaire du compte donnait des instructions directes.
Stratégies des attaquants et risques pour les utilisateurs
Selon l’étude, les attaquants préparent ces autorisations à l’avance puis convainquent les victimes de les signer, parfois via des fenêtres de portefeuille qui ne dévoilent pas clairement quel code est réellement approuvé. Plus inquiétant encore, les chercheurs ont documenté des cas où les attaquants lient à nouveau un compte à un code d’apparence normale après une attaque, ce qui efface les signes évidents de compromission. Quiconque vérifierait ce portefeuille plus tard ne verrait rien d’inhabituel, même si le compte avait déjà été exploité. L’équipe a également signalé 500 cibles de délégation pointant vers des adresses où aucun code n’a encore été déployé — ce qui signifie qu’un code malveillant pourrait théoriquement être ajouté plus tard, modifiant le comportement du portefeuille tandis que la cible de délégation enregistrée reste exactement la même.
Impact financier et exposition liés aux vulnérabilités de la délégation de portefeuille
Les dommages confirmés causés par ces attaques s’élèvent à 2 362 848,76 $, selon le décompte de l’étude, répartis sur trois types d’attaque distincts. Ce chiffre ne prend en compte que ce que les chercheurs ont pu vérifier de manière indépendante, de sorte que le total réel lié aux vulnérabilités de l’EIP-7702 pourrait être plus élevé.
Pertes confirmées et types d’attaque
Environ 2,36 millions de dollars de pertes ont été directement attribués aux contrats malveillants identifiés par examen manuel. Ce nombre représente un préjudice vérifié, et non une estimation de l’exposition totale dans l’écosystème, et les chercheurs soulignent que leurs 924 contrats confirmés sous-estiment probablement l’ampleur réelle des abus.
Risques liés aux anciens contrats et aux cibles de délégation inutilisées
Un autre volet de la recherche s’est penché sur les contrats construits avant l’existence de l’EIP-7702, dont beaucoup supposaient qu’une adresse de portefeuille ne pourrait jamais se comporter comme un contrat intelligent. Cette hypothèse a silencieusement cessé d’être vraie au moment de l’activation de la mise à niveau Pectra. Les chercheurs ont trouvé 967 contrats Ethereum actifs s’appuyant encore sur ce contrôle obsolète comme garde-fou de sécurité, exposant collectivement environ 10,14 millions de dollars d’actifs à un risque potentiel. C’est sans doute le chiffre le plus inquiétant de l’étude, car il ne s’agit pas d’attaquants vidant activement des fonds — il s’agit de code hérité présent sur le réseau avec une hypothèse de sécurité qui n’est plus valable.
Atténuations recommandées et réactions des développeurs
Ethereum.org a réagi avec des recommandations visant directement à combler l’écart entre ce que l’EIP-7702 rend possible et ce que les portefeuilles divulguent actuellement à leurs utilisateurs. La recommandation centrale est simple : les portefeuilles devraient mettre sur liste blanche les contrats de délégation, montrer aux utilisateurs exactement quel code ils approuvent et s’appuyer uniquement sur des implémentations de comptes intelligents auditées plutôt que d’accepter des demandes de délégation arbitraires de n’importe quelle application.
Recommandations de sécurité d’Ethereum.org
Les recommandations considèrent la transparence au niveau du portefeuille comme la première ligne de défense. Si un utilisateur ne peut pas voir à quel code une autorisation délègue réellement, il n’a aucun moyen réaliste de juger si la signature est sûre — c’est précisément l’angle mort que les attaquants exploitent.
Garde-fous proposés pour la délégation de portefeuille
Au-delà des correctifs propres à chaque portefeuille, une proposition plus large circule parmi les développeurs : limiter les portefeuilles à une courte liste de systèmes de comptes publiquement examinés et validés plutôt que de laisser n’importe quelle application demander un code de délégation personnalisé. Cette approche réduirait considérablement la surface d’attaque, mais elle impliquerait aussi de renoncer à une partie de la flexibilité qui rendait l’EIP-7702 attrayant au départ. Pour l’instant, la tension entre commodité et sécurité de l’autorisation de portefeuille reste non résolue, et elle influencera probablement la rapidité — et la prudence — avec lesquelles le reste de l’écosystème adoptera la fonctionnalité.
FAQ
Qu’est-ce que la fonctionnalité de délégation de portefeuille EIP-7702 ?
L’EIP-7702 permet à un portefeuille de déléguer son autorité en se liant à un code de contrat distinct sans changer l’adresse du portefeuille, une capacité introduite lors de la mise à niveau Pectra d’Ethereum le 7 mai 2025.
À quel point les contrats malveillants sont-ils répandus dans les transactions d’autorisation EIP-7702 ?
Une étude évaluée par des pairs a constaté que 63 % des transactions d’autorisation EIP-7702 étaient liées à des contrats contrôlés par des attaquants, sur la base d’une analyse de 3 664 166 autorisations identifiées au sein d’un ensemble de données plus large de plus de 22,8 milliards de transactions.
Quels risques financiers sont associés à la fonctionnalité de délégation de portefeuille ?
Les pertes confirmées liées aux attaques totalisent environ 2,36 millions de dollars, tandis que les anciens contrats reposant sur des hypothèses de sécurité obsolètes exposent environ 10,14 millions de dollars d’actifs à un risque potentiel.
Quelles mesures d’atténuation Ethereum.org recommande-t-il ?
Ethereum.org conseille que les portefeuilles mettent sur liste blanche les contrats de délégation, affichent clairement le code que les utilisateurs approuvent et s’appuient uniquement sur des implémentations de comptes intelligents auditées plutôt que sur un code de délégation arbitraire.
{« @context »: »https://schema.org », »@type »: »FAQPage », »mainEntity »:[{« @type »: »Question », »name »: »Qu’est-ce que la fonctionnalité de délégation de portefeuille EIP-7702 ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »L’EIP-7702 permet à un portefeuille de déléguer son autorité en se liant à un code de contrat distinct sans changer l’adresse du portefeuille, une capacité introduite lors de la mise à niveau Pectra d’Ethereum le 7 mai 2025. »}},{« @type »: »Question », »name »: »À quel point les contrats malveillants sont-ils répandus dans les transactions d’autorisation EIP-7702 ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Une étude évaluée par des pairs a constaté que 63 % des transactions d’autorisation EIP-7702 étaient liées à des contrats contrôlés par des attaquants, sur la base d’une analyse de 3 664 166 autorisations identifiées au sein d’un ensemble de données plus large de plus de 22,8 milliards de transactions. »}},{« @type »: »Question », »name »: »Quels risques financiers sont associés à la fonctionnalité de délégation de portefeuille ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Les pertes confirmées liées aux attaques totalisent environ 2,36 millions de dollars, tandis que les anciens contrats reposant sur des hypothèses de sécurité obsolètes exposent environ 10,14 millions de dollars d’actifs à un risque potentiel. »}},{« @type »: »Question », »name »: »Quelles mesures d’atténuation Ethereum.org recommande-t-il ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Ethereum.org conseille que les portefeuilles mettent sur liste blanche les contrats de délégation, affichent clairement le code que les utilisateurs approuvent et s’appuient uniquement sur des implémentations de comptes intelligents auditées plutôt que sur un code de délégation arbitraire. »}}]}
Article produit avec l’assistance de l’intelligence artificielle et relu par l’équipe éditoriale.
