Nieuwe Ethereum upgrade massaal misbruikt voor diefstal

Een nieuwe feature op Ethereum, EIP 7702, belooft snellere transacties met meer controle, maar blijkt in de praktijk vooral aantrekkelijk voor kwaadwillenden. Onderzoekers van Wintermute en SlowMist slaan alarm: meer dan 97% van alle machtigingen via dit systeem worden gebruikt door dieven om automatisch ETH weg te sluizen uit gehackte wallets.

Ethereum is verkrijgbaar bij Bitvavo en Bybit.

Nieuwe technologie, bekend misbruik

EIP 7702 introduceert een manier om wallets tijdelijk te laten functioneren als smart contracts. Daarmee kunnen gebruikers vooraf machtigingen geven voor transacties. In theorie handig, maar in de praktijk blijkt het vooral cybercriminelen in de kaart te spelen.

Volgens de analyse van SlowMist zijn het niet phishingbendes, maar georganiseerde coin diefstalgroepen die het systeem massaal inzetten. Zodra een private key of seed phrase is gelekt, kunnen dieven via geautomatiseerde contracten, ook wel sweepers/drainers genoemd, alle fondsen direct verplaatsen. Deze aanpak vereist geen handmatige goedkeuring meer van de gebruiker.

CrimeEnjoyor duikt overal op

Uit onderzoek van Wintermute blijkt dat bijna alle delegaties binnen EIP 7702 verwijzen naar contracten met exact dezelfde kwaadaardige code. Die code is inmiddels openbaar gemaakt en geverifieerd onder de naam CrimeEnjoyor. Doordat het nu zichtbaar is wat het contract doet, kunnen waarschuwingslabels worden toegevoegd en kunnen andere gebruikers het herkennen.

Het dashboard van Wintermute op Dune biedt inzicht in dit patroon en laat zien hoe ver de verspreiding al is gegaan.

Platforms als Trust Wallet, Thirdweb en zelfs Uniswap v1 maken inmiddels gebruik van EIP 7702, maar staan ook op het dashboard vermeld vanwege contracten die gelinkt zijn aan verdachte machtigingen.

While EIP-7702 brings new convenience, it also introduces new risks Our Research team found that over 97% of all EIP-7702 delegations were authorized to multiple contracts using the same exact code. These are sweepers, used to automatically drain incoming ETH from compromised…

— Wintermute (@wintermute_t) · May 30, 2025

Transparantie is cruciaal

De kern van het probleem is dat zonder geverifieerde code en duidelijke labeling, nieuwe Ethereum tools al snel misbruikt kunnen worden zonder dat gebruikers het doorhebben. Vooral minder ervaren gebruikers lopen risico. De recente ontwikkelingen in de Ethereum koers tonen aan dat veiligheid steeds belangrijker wordt.

Wintermute pleit daarom voor meer transparantie, standaardverificatie van contracten en duidelijke signalering van potentieel misbruik. Zolang dat ontbreekt, blijft het voor kwaadwillenden kinderlijk eenvoudig om infrastructuur voor hun eigen gewin te gebruiken.