Pectra otwiera drogę dla ataków

Najnowsza aktualizacja sieci Ethereum o nazwie Pectra miała zwiększyć skalowalność i wprowadzić zaawansowane funkcje inteligentnych kont. Jednak specjaliści ds. bezpieczeństwa odkryli, że tworzy ona poważny wektor ataku, umożliwiający cyberprzestępcom przejmowanie kontroli nad portfelami użytkowników za pomocą prostego podpisu cyfrowego.

Jak aktualizacja Pectra zmieniła zasady gry

Wdrożona 7 maja 2025 roku aktualizacja Pectra wprowadza przełomowe ulepszenie EIP-7702, które dodaje nowy typ transakcji - SetCode. Ta zmiana pozwala użytkownikom delegować kontrolę nad swoimi portfelami do innych kontraktów poprzez podpisanie wiadomości poza łańcuchem, eliminując konieczność wykonywania tradycyjnych transakcji w sieci blockchain.

Choć miało to uprościć interakcje z ekosystemem Ethereum, stworzyło niebezpieczną lukę. Cyberprzestępcy mogą teraz wykorzystać podpisy poza łańcuchem do całkowitego przejęcia kontroli nad funduszami użytkownika. Wystarczy, że pozyskają taki podpis - często poprzez strony phishingowe - aby zastąpić kod portfela złośliwym kontraktem.

Mechanizm ataku - prosta ścieżka do utraty środków

Po uzyskaniu podpisu atakujący może zaimplementować złośliwy kod w portfelu ofiary, przekierowując wszystkie operacje przez swój szkodliwy kontrakt. Co alarmujące, ofiara nie musi podpisywać żadnych dodatkowych transakcji - ten pojedynczy podpis wiadomości wystarczy, aby atakujący mógł wyprowadzić wszystkie środki bez generowania typowych alertów bezpieczeństwa.

Rudytsia, ekspert bezpieczeństwa z firmy Hacken, tłumaczy: "Wprowadzenie tej funkcji sprawia, że każdy portfel staje się de facto inteligentnym kontraktem, który może wykonywać dowolne operacje w imieniu użytkownika. Przed Pectrą takie zmiany wymagały podpisu transakcji w łańcuchu, co stanowiło naturalną barierę ochronną. Obecnie wystarczy jeden podpis poza łańcuchem, by przekazać pełną kontrolę atakującemu."

Czy portfele sprzętowe zapewniają ochronę?

Wbrew powszechnemu przekonaniu, nawet portfele sprzętowe nie gwarantują już pełnego bezpieczeństwa. Choć nadal wymagają fizycznej interakcji, są równie podatne na ataki wykorzystujące podpisane wiadomości. Jeśli użytkownik zatwierdzi złośliwą wiadomość na swoim urządzeniu sprzętowym, jego środki mogą zostać utracone równie szybko, jak w przypadku portfeli programowych.

Podsumowując. W tym nowym środowisku bezpieczeństwa niezwykle istotna jest świadomość zagrożeń i zachowanie najwyższej ostrożności przy podpisywaniu jakichkolwiek wiadomości cyfrowych w ekosystemie Ethereum.