Un atacante ha explotado una vulnerabilidad en la propuesta de mejora EIP-7702 de Ethereum y ha robado 1.988,5 tokens QNT, valorados en unos 55 ethers (ETH), en cuestión de segundos. El robo se produjo al drenar la reserva del token Quant mediante un contrato abierto sin restricciones de permisos, según ha reportado la firma de seguridad SlowMist.
La EIP-7702 es una de las últimas propuestas de mejora activadas en Ethereum pensada para que las cuentas externas (las wallets de usuario tradicionales, o EOA) puedan ejecutar código sin necesidad de migrar a contratos inteligentes. La idea es acercar Ethereum a la abstracción de cuentas, que permite, por ejemplo, pagar comisiones en otros tokens o programar reglas de gasto. Pero en su implementación se deslizó un fallo grave.
El contrato BatchExecutor, diseñado para procesar lotes de transacciones, gestionaba la reserva de tokens QNT. Este contrato delegaba su administración en una EOA, y el atacante —aprovechando que la función BatchCall carecía de comprobaciones de permisos— pudo transferir de golpe el saldo completo de la reserva a su cartera sin que nadie pudiera detenerlo.
Es un error de diseño tan elemental como devastador: un contrato que custodia fondos de terceros debe restringir quién llama a sus funciones más sensibles. Aquí simplemente no había restricción alguna. El exploit no dependió de una laguna compleja en la EVM ni de un juego de préstamos interconectado; bastó con invocar una función pública.
La comunidad de Ethereum ha reaccionado con cautela. El incidente no afecta a la red principal ni a la mayoría de los protocolos DeFi, pero reabre el debate sobre la seguridad de las propuestas de mejora. Los desarrolladores ahora sienten la presión de endurecer las auditorías de cada EIP, en especial de aquellas que alteran el funcionamiento de las cuentas de usuario.
¿Qué es EIP-7702 y cómo se produjo el robo?
La EIP-7702 se activó como parte del paquete de actualizaciones que busca convertir Ethereum en una plataforma más flexible para los usuarios finales. En esencia, permite que una cuenta normal (controlada por una clave privada) se comporte temporalmente como un contrato inteligente. Este avance facilita casos de uso como el patrocinio de gas o la recuperación social de cuentas, pero también introduce nuevos riesgos.
En el caso de Quant, el contrato BatchExecutor almacenaba los tokens y solo debía responder a las órdenes del administrador legítimo. Sin embargo, al no verificar la identidad de quien invocaba BatchCall, cualquier persona podía ordenar la transferencia de la totalidad de los fondos. Así se llevaron los 1.988,5 QNT, una cantidad que, al precio actual, ronda los 55 ETH.
Un contrato que custodia fondos de terceros debe restringir quién llama a sus funciones. Aquí simplemente no había restricción.
Reacciones y presión sobre Ethereum
El mercado ha reaccionado con un leve enfriamiento en la confianza hacia los proyectos que experimentan con EIP-7702. De momento, los protocolos más establecidos no se han visto afectados, pero ninguna gran firma quiere ser la siguiente en aparecer en los titulares por un fallo similar. La atención se centra en la rapidez con que los equipos core de Ethereum publiquen parches o guías de buenas prácticas para evitar repeticiones.
La firma de seguridad SlowMist, que fue la primera en reportar el incidente, ha instado a los desarrolladores a revisar minuciosamente los contratos que interactúen con EIP-7702. La mayoría de las auditorías actuales se enfocan en contratos existentes, no en las nuevas funcionalidades, lo que puede dejar puntos ciegos peligrosos.
Innovación y seguridad en la cuerda floja
Este exploit no es el primero que surge de una mejora del protocolo. El ecosistema Ethereum ya vivió episodios similares en 2016 con The DAO, cuando un fallo en el código del contrato costó millones de ethers y provocó un hard fork polémico. Desde entonces, la red ha madurado, pero la presión por lanzar funcionalidades atractivas —como la abstracción de cuentas— a veces relega las auditorías a un segundo plano.
La EIP-7702 es un paso necesario para que Ethereum compita con otras cadenas que ya ofrecen una experiencia de usuario más sencilla. Pero el incidente con Quant demuestra que el camino hacia la usabilidad total está sembrado de minas. Cada nueva capa de complejidad abre vectores de ataque que los delincuentes exploran más rápido que los auditores.
No es una cuestión de pánico; los fondos robados representan una porción minúscula del ecosistema. Lo preocupante es el patrón: un contrato con privilegios de administración que se implementa sin las comprobaciones más básicas. Si este fallo se repitiera en un protocolo de mayor escala, las consecuencias podrían ser sistémicas.
De momento, la comunidad técnica de Ethereum tiene la palabra. Las próximas semanas veremos si los equipos core aceleran la publicación de un documento de seguridad específico para EIP-7702 y si los proyectos que ya la han adoptado revisan cada línea de sus contratos. Al final, la confianza en Ethereum no la construyen solo los grandes números de staking o las cifras de TVL; también la fraguan estos silenciosos test de resistencia que, por ahora, dejan más preguntas abiertas que certezas.
