币圈界报道：

恶意授权机制引发以太坊钱包资金被清空

与sven.eth关联的以太坊账户遭遇针对性攻击，导致价值约22,770美元的9.1231 ETH及1.69271471枚TAPEETH代币被转移。此次事件的核心在于攻击者利用了用户此前签署的EIP-7702授权，绕过常规防护直接控制账户。

攻击者借由合法授权完成资金掠夺

根据区块链安全机构ExVul披露，攻击者通过一笔由其资助的交易触发了受害方预先授权的恶意代码。该操作未依赖底层协议漏洞，而是基于用户对第三方合约的不加甄别的信任，实现对钱包权限的非法接管。

委托机制未失效，风险持续存在

调查确认，在以太坊区块高度26,188,153时，该恶意委托关系仍未被解除。由于EIP-7702规范允许长期有效的权限绑定，一旦授权被激活，除非所有者主动撤销，否则将持续生效，构成潜在威胁。

攻击路径：从授权到资产转移的完整链路

攻击流程始于受害者签署一份允许外部代码执行的授权文件。随后，攻击者提交包含该签名的Type-4交易，使指定合约在钱包上下文中运行。该合约内置控制器地址，可调用PodMining.claim()函数提取奖励，并将剩余ETH转入攻击者控制地址。

非协议漏洞，而是授权滥用

ExVul明确表示，本次事件并非源于TAPEETH或PodMining协议本身缺陷，而是用户对未知合约进行授权所引发的安全事故。研究未发现闪电贷、价格操纵或流动性池异常等典型DeFi攻击特征。

恶意委托可能波及未来资金注入

尽管当前资产已被转移，但若新资金流入该地址，仍将面临相同风险。由于委托未被清除，任何后续交易均可能被恶意代码拦截并挪用。建议立即更换钱包或移除授权，避免进一步损失。

EIP-7702历史安全争议再被唤醒

此次事件再次引发对账户抽象技术安全性的关注。早在2025年5月，Wintermute即发现大量EIP-7702委托指向同一恶意合约，用于自动清扫钱包余额。此后多起类似事件表明，该机制易被用于自动化攻击。

开发者需强化授权验证机制

以太坊官方规范虽包含重放保护与身份验证设计，但仍强调开发人员必须谨慎审查委托合约权限范围。尤其当外部方可代为提交交易时，更应评估其行为边界。本次事件提醒用户：签署授权前必须确认目标合约的可信度与功能用途。