Slow Mist détecte une exploitation EIP-7702 : le pool de réserve QNT perd 1 988,5 QNT (~54,93 M$ en ETH)

Message d’actualité Gate News, 29 avril — Slow Mist a détecté une transaction malveillante exploitant une vulnérabilité dans un compte EIP-7702, entraînant la perte de 1 988,5 QNT (environ 54,93 ETH) provenant d’un pool de réserve en QNT.

La vulnérabilité provenait d’une faille structurelle dans le contrôle d’accès du pool de réserve. Une adresse EOA d’administrateur a délégué son code à un contrat BatchExecutor via le mécanisme EIP-7702. Le contrat BatchExecutor a ensuite désigné un contrat BatchCall non autorisé comme appelant autorisé. Cependant, la fonction BatchCall.batch() ne disposait de aucune vérification des autorisations, créant une vulnérabilité d’appel arbitraire.

Les attaquants ont exploité cette faille pour exécuter des appels non autorisés contre le pool de réserve et voler des jetons QNT. L’incident met en évidence les risques liés à une délégation incorrecte et à une validation insuffisante des autorisations dans la conception des contrats intelligents, en particulier lors de l’utilisation de la fonctionnalité de délégation de code d’EIP-7702.