Community Trust ScoreVérifié
La dernière mise à jour d’Ethereum, Pectra, devait améliorer considérablement la convivialité et la sécurité des portefeuilles. Au lieu de cela, elle a suscité une vague d’inquiétude dans la communauté crypto, après avoir été liée à une série d’attaques automatisées qui ont vidé près de 150 000 $ de portefeuilles compromis.
Au cœur de la controverse se trouve une fonctionnalité appelée EIP-7702, introduite dans le cadre de la mise à jour Pectra. Ce nouveau protocole permet aux portefeuilles Ethereum de se comporter temporairement comme des contrats intelligents, offrant ainsi des fonctionnalités avancées telles que les transactions groupées, le parrainage des frais de gaz et les limites de dépenses. D’abord saluée pour son approche centrée sur l’utilisateur, EIP-7702 s’est révélée être une arme à double tranchant.
Quelques semaines seulement après son déploiement, des acteurs malveillants ont commencé à utiliser EIP-7702 dans une série d’« attaques balayeuses » (sweeper attacks). Ces attaques n’exploitent pas une faille de la mise à jour en elle-même, mais tirent parti de clés privées volées ou divulguées. Une fois un portefeuille compromis, les attaquants utilisent les fonctionnalités d’automatisation de EIP-7702 pour vider instantanément les fonds, à grande échelle.
Les chercheurs en cybersécurité de Wintermute ont été parmi les premiers à identifier cette tendance inquiétante. Leur analyse a révélé que plus de 80 % des délégations utilisant EIP-7702 sont liées à un seul contrat intelligent malveillant, nommé « CrimeEnjoyor ». Le code de ce contrat est minimaliste, facile à reproduire et extrêmement efficace — en faisant un outil de prédilection pour les pirates cherchant à exploiter des portefeuilles compromis.
Le mode opératoire de ces attaques est d’une simplicité alarmante : une fois qu’un attaquant prend le contrôle d’un portefeuille — généralement via du phishing ou des malwares — il exécute une transaction groupée à l’aide de EIP-7702 qui transfère tous les actifs vers une adresse contrôlée par l’attaquant. Les victimes n’ont souvent aucune chance de réagir. Dans un cas rapporté, près de 150 000 $ ont été volés en quelques secondes, les fonds ayant été redirigés vers un service bien connu des escrocs : Inferno Drainer.
Cette vague d’attaques a poussé de nombreux observateurs à s’interroger sur l’impact réel des dernières innovations d’Ethereum. Bien que EIP-7702 ait été conçu pour améliorer l’expérience utilisateur et renforcer la sécurité, il a également facilité l’exploitation des portefeuilles compromis. La fonctionnalité ne crée pas de faille en soi, mais amplifie les conséquences en rendant le vol plus rapide, plus efficace et plus difficile à détecter.
Selon la société de cybersécurité blockchain Scam Sniffer, le problème ne réside pas dans le code d’Ethereum, mais plutôt dans une mauvaise gestion des clés et des mécanismes de protection des utilisateurs insuffisants. Tant que les utilisateurs resteront vulnérables aux attaques par phishing ou ingénierie sociale, même les outils les plus puissants — y compris les mises à jour bien intentionnées — pourront être utilisés contre eux.
Les experts en sécurité estiment que la vraie solution passe par une meilleure conception des portefeuilles et des interfaces plus intuitives. Des entreprises comme SlowMist appellent à l’introduction de prompts de signature plus clairs, d’interactions contractuelles plus transparentes, et de systèmes de notification intelligents pour alerter les utilisateurs avant qu’une transaction suspecte ne soit approuvée. L’éducation joue également un rôle crucial : beaucoup d’utilisateurs ne réalisent toujours pas à quelle vitesse ils peuvent perdre le contrôle de leurs actifs en divulguant leurs clés privées ou en signant un contrat malveillant.
La mise à jour Pectra — et en particulier EIP-7702 — met en lumière le délicat équilibre que les développeurs d’Ethereum doivent maintenir entre innovation et sécurité. Si l’objectif est de créer des portefeuilles plus intelligents et flexibles, ces changements doivent impérativement s’accompagner de mesures de protection renforcées. Sans cela, même les fonctionnalités les plus prometteuses peuvent devenir des outils d’exploitation.
Alors qu’Ethereum continue d’évoluer, une chose est certaine : des fonctionnalités plus intelligentes nécessitent des garde-fous plus intelligents. En attendant, les utilisateurs sont appelés à faire preuve d’une extrême prudence, notamment lors d’interactions avec des contrats inconnus ou de signatures de transactions complexes. Dans le monde ultra-rapide de la finance décentralisée, la commodité ne doit jamais se faire au détriment de la sécurité.
