EIP-7702 ड्रेनर: वह सिग्नेचर जो इंतज़ार करता है

14 अक्टूबर को ENS नाम sven.eth वाले एक वॉलेट से 9.12 ETH, यानी करीब 22,770 डॉलर, और थोड़े-से TAPEETH टोकन निकल गए। मालिक ने कोई ट्रांज़ैक्शन नहीं भेजा था। सुरक्षा फर्म ExVul ने उसी दिन X पर चोरी की सूचना दी और इसे एक ही चीज़ से जोड़ा, जो मालिक ने कभी पहले की थी: एक EIP-7702 ऑथराइज़ेशन पर दस्तखत। हमलावर को वह सिग्नेचर कैसे मिला, यह सार्वजनिक नहीं है। जो सार्वजनिक है, वह यह कि उसने इसके साथ क्या किया। उसने इसे संभालकर रखा, इंतज़ार किया, फिर खुद इसे सबमिट किया और गैस भी खुद भरी।

यही पूरी चाल है। और इसी वजह से ड्रेनरों का यह परिवार उन टोकन-अप्रूवल घोटालों से अलग है जिनके बारे में आप पहले पढ़ चुके हैं।

EIP-7702 असल में करता क्या है

7 मई 2025 को Ethereum के Pectra अपग्रेड के बाद से एक साधारण वॉलेट किसी स्मार्ट कॉन्ट्रैक्ट का कोड उधार ले सकता है। आप एक छोटा-सा ऑथराइज़ेशन साइन करते हैं जिसमें एक कॉन्ट्रैक्ट का पता होता है, वह एक टाइप-4 "set code" ट्रांज़ैक्शन के ज़रिए चेन पर जाता है, और उसके बाद जब भी आपके अकाउंट को कॉल किया जाता है, वह उस कॉन्ट्रैक्ट का कोड चलाता है। आपका पता नहीं बदलता। आपकी प्राइवेट की पहले की तरह काम करती है। यह फ़ीचर अच्छे कारणों से मौजूद है: गैस स्पॉन्सरशिप, कई कामों को एक क्लिक में बाँधना, अकाउंट रिकवरी। MetaMask, Rabby और बाकी वॉलेट इसे "स्मार्ट अकाउंट" टॉगल के रूप में देते हैं।

सुरक्षा के लिहाज़ से तीन बातें मायने रखती हैं।

ऑथराइज़ेशन बहुत छोटा है। चेन ID, कॉन्ट्रैक्ट का पता, nonce, आपका सिग्नेचर। इसमें कहीं नहीं लिखा कि कॉन्ट्रैक्ट करेगा क्या।

इसे कोई भी सबमिट कर सकता है। साइन किया हुआ ऑथराइज़ेशन हमलावर की भेजी ट्रांज़ैक्शन के अंदर सवार होकर जा सकता है, और फ़ीस हमलावर भरता है। आपके वॉलेट में कभी कोई पेंडिंग ट्रांज़ैक्शन नहीं दिखती। जब तक आप देखते हैं, बैलेंस जा चुका होता है।

यह चिपका रहता है। एक बार सेट हो जाने पर डेलीगेशन आपके अकाउंट पर तब तक बना रहता है जब तक आप उसे बदलें या हटाएँ नहीं। उसके बाद उस पते पर आने वाला हर टोकन पहले हमलावर के कोड से होकर गुज़रता है।

वह स्वीपर जो इंतज़ार करता है

Wintermute की रिसर्च टीम ने मई 2025 में 7702 डेलीगेशनों के शुरुआती हफ़्तों को देखा और पाया कि उनमें से 97% से ज़्यादा एक ही छोटे कॉन्ट्रैक्ट की कॉपियों की ओर इशारा करते थे। उन्होंने इसे CrimeEnjoyor नाम दिया। इसका काम नीरस है: एक पते पर बैठे रहो और जो भी ETH आए उसे हमलावर को आगे भेज दो। ये शुरुआती स्वीपर ज़्यादातर उन वॉलेटों पर लगे थे जिनकी चाबियाँ पहले ही लीक हो चुकी थीं, और Wintermute ने बताया कि हमलावरों ने करीब 79,000 पतों को ऑथराइज़ करने में लगभग 2.88 ETH खर्च किए और बदले में लगभग कुछ नहीं मिला।

असली पैसा फ़िशिंग वाले संस्करण में है। अगस्त 2025 में एक व्यक्ति ने ऐसी चीज़ पर दस्तखत किए जो Uniswap स्वैप जैसी दिखती थी, और एक ही बैच में wstETH, cbBTC और NFT में 15.4 लाख डॉलर गँवा दिए, Scam Sniffer के मुताबिक। उसी महीने के एक दूसरे मामले में 10 लाख डॉलर गए। Scam Sniffer की 2025 की रिपोर्ट ने साल भर में 106,106 पीड़ितों के बीच 8.385 करोड़ डॉलर के फ़िशिंग नुकसान गिने, और 7702 बैच सिग्नेचर को एक ऐसे हमले के तरीके के रूप में दर्ज किया जो Pectra के साथ आया।

अगस्त 2026 में USENIX Security में पेश एक अकादमिक अध्ययन ने इसका पैमाना रिकॉर्ड पर रख दिया। HKUST, नानकाई, सन यात-सेन और लिंगनान विश्वविद्यालयों के शोधकर्ताओं ने सात चेनों पर 924 दुर्भावनापूर्ण डेलीगेशन कॉन्ट्रैक्ट सूचीबद्ध किए। उनके डेटासेट में सभी 7702 ऑथराइज़ेशन ट्रांज़ैक्शनों में से 63% से ज़्यादा साधारण वॉलेटों पर हमलों से जुड़ी थीं, और सबसे ज़्यादा ऑथराइज़ किए गए कॉन्ट्रैक्टों में से लगभग आधे हमलावरों के नियंत्रण में थे। उन्होंने 23 लाख डॉलर से ज़्यादा के पुष्ट नुकसान और 1 करोड़ से ज़्यादा जोखिम में पड़े अकाउंट गिने।

इस बीच BundleBear का डैशबोर्ड अक्टूबर के आखिर में करीब 6.7 करोड़ स्मार्ट अकाउंट दिखाता है, यानी ऐसे पते जिन पर डेलीगेशन लगा है। इनमें से ज़्यादातर वैध हैं। बाहर से आप नहीं बता सकते कि कौन-सा कौन है।

"बाद में" ही क्यों सबसे खतरनाक हिस्सा है

sven.eth का मामला इस पैटर्न को रिटेल पैमाने पर दिखाता है। डेलीगेट किए गए कोड में एक तय कंट्रोलर पता था। उस कंट्रोलर ने PodMining के क्लेम फ़ंक्शन को कॉल किया, TAPEETH इनाम उठाए और ETH निकाल लिया। ExVul ने पुष्टि की कि प्रोटोकॉल में कोई बग नहीं था और कोई फ़्लैश लोन भी नहीं। बस एक सिग्नेचर था, जिसे हमलावर ने अपनी चुनी घड़ी में इस्तेमाल किया। ब्लॉक 26,188,153 तक वह डेलीगेशन अब भी चालू था।

दो चीज़ें इस देरी को मुमकिन बनाती हैं। ऑथराइज़ेशन में आपके वॉलेट का nonce होता है, इसलिए जब तक आप खुद कोई ट्रांज़ैक्शन नहीं भेजते, वह वैध बना रहता है। जिस वॉलेट को आप हफ़्तों तक नहीं छूते, वही वॉलेट है जो शोषण के लिए खुला रहता है। और स्वीपर, एक बार लग जाने के बाद, जल्दी में नहीं होता। आगे जो भी आता है, वह ले लेता है।

इस दूसरे गुण का एक क्रूर साइड-इफ़ेक्ट है। जिन पीड़ितों को पता चलता है कि उनका वॉलेट डेलीगेट हो चुका है, वे अक्सर ठीक करने की फ़ीस चुकाने के लिए उसमें थोड़ा ETH भेजते हैं। स्वीपर उसे सुधार सबमिट होने से पहले ही उठा लेता है।

अपना वॉलेट कैसे जाँचें

Etherscan पर अपना पता खोलें। सादे वॉलेट में कोई कोड नहीं होता। डेलीगेट किए गए वॉलेट में 23 बाइट का एक कोड फ़ील्ड दिखता है जो 0xef0100 से शुरू होता है, और उसके बाद वह कॉन्ट्रैक्ट जिसकी ओर वह इशारा करता है। अगर आपने कभी कोई स्मार्ट-अकाउंट फ़ीचर चालू नहीं किया, तो यही आपका जवाब है।

Revoke.cash में एक Delegations टैब है जो यही बात सीधी भाषा में दिखाता है। वह आपके लिए डेलीगेशन हटा नहीं सकता, और कोई दूसरी वेबसाइट भी नहीं हटा सकती। ज़्यादातर वॉलेट बाहरी ऐप्स को इस सेटिंग तक पहुँचने ही नहीं देते, और यही सही डिज़ाइन है।

हटाने का काम वॉलेट के अंदर होता है। MetaMask में यह अकाउंट डिटेल्स स्क्रीन पर स्मार्ट-अकाउंट टॉगल के रूप में मिलता है, जिसे हर नेटवर्क के लिए अलग-अलग बंद किया जाता है, हालाँकि संस्करणों के बीच इसका नाम बदलता रहता है। Rabby इसे अप्रूवल्स के साथ दिखाता है। प्रोटोकॉल के स्तर पर सुधार एक नया ऑथराइज़ेशन है जो ज़ीरो एड्रेस की ओर इशारा करता है। वह कोड पॉइंटर मिटा देता है, हालाँकि हमलावर के कॉन्ट्रैक्ट ने स्टोरेज में जो कुछ लिखा था, वह पीछे रह जाता है।

जब हटाना काफ़ी न हो

अगर डेलीगेशन आपने खुद सेट किया था और कॉन्ट्रैक्ट को पहचानते हैं, तो उसे रहने दें। अगर नहीं, तो वॉलेट को गलत-कॉन्फ़िगर नहीं, बल्कि समझौता किया हुआ मानें। अनजान डेलीगेशन का मतलब है कि आपने कुछ ऐसा साइन किया जो नहीं करना चाहिए था, और वही फ़िशिंग किट कल फिर आपसे माँग सकती है। जो बचा है उसे एक नए सीड फ़्रेज़ पर ले जाएँ और पुराने पते को रिटायर कर दें। पुराने पते में पहले गैस न भेजें।

जब पता आपका नहीं है, तब यही तर्क उल्टी दिशा में लागू होता है। जिस वॉलेट को स्वीप किया गया हो, उसकी चेन पर एक पहचानी जा सकने वाली शक्ल होती है: पैसा आता है और लगभग तुरंत निकल जाता है, हमेशा एक ही ठिकाने पर। अगर कोई अनजान व्यक्ति आपको भुगतान करने वाला है, या आप उसे, तो पैसा हिलने से पहले पते की जाँच करवा लें। ड्रेनरों के कलेक्शन पते उन पहली चीज़ों में हैं जिन्हें पीड़ितों की शिकायत मिलते ही एनालिटिक्स फर्में लेबल कर देती हैं, और ऐसा काउंटरपार्टी जिसका पैसा इनमें से किसी से होकर गुज़रता है, वह समस्या है जिसे आप ट्रांसफ़र के बाद नहीं, पहले पकड़ना चाहेंगे।

सिग्नेचर प्रॉम्प्ट आपको क्या नहीं बताता

हार्डवेयर वॉलेट चाबी की रक्षा करते हैं। वे यह नहीं आँकते कि अपने अकाउंट का कोड किसी अजनबी के हवाले करना अच्छा विचार है या नहीं, और जो प्रॉम्प्ट आपसे यह करवाता है, उसे ऐसे बनाया गया है कि वह किसी आम क्लेम या स्वैप जैसा दिखे। जिस भी अनुरोध में डेलीगेशन, ऑथराइज़ेशन, स्मार्ट अकाउंट या बैच एक्ज़ीक्यूशन का ज़िक्र हो, उसे दो बार पढ़ें। किसी अनजान साइट पर मुफ़्त, गैस-फ़्री या स्पॉन्सर्ड ऐक्शन को टैब बंद करने की वजह मानें।

जो पैसा आपके लिए मायने रखता है, उसे ऐसे वॉलेट में रखें जिसने कभी 7702 ऑथराइज़ेशन साइन न किया हो और जो कभी dApps पर न जाता हो। बाकी के लिए एक अलग हॉट वॉलेट रखें। यह पुराना नियम है, और यह उसे मानने की सबसे नई वजह है।

sven.eth के मालिक ने एक ऐसे सिग्नेचर की वजह से करीब 22,000 डॉलर गँवाए जिसे देना किसी को याद नहीं। जो जाँच इसे पकड़ लेती, उसमें तीस सेकंड लगते हैं और उसकी कोई कीमत नहीं।