Ver en el navegador
Patrocinador: Mantle - El Mantle Global Hackathon, que tendrá lugar del 22 al 31 de diciembre, invita a desarrolladores y fundadores a diseñar, construir y desplegar productos RWA y DeFi escalables en Mantle.
Los monederos comprometidos son terribles. Incluso si sus fondos líquidos son robados de esta manera, también puede quedar atrapado con airdrops no reclamados, NFT allowlist spots, etc., en una cartera desde la que no puede realizar transacciones de forma segura.
¿Por qué? Una vez que un atacante tiene tu clave privada, puede desplegar un bot de barrido que vigile esa dirección a través de las redes. En el momento en que envíes algo de dinero, el bot se abalanzará y lo vaciará. Así que, aunque técnicamente sigas siendo el "dueño" de la cartera, puede parecer casi imposible recuperar cualquier activo restante.
¿Pero qué hay de una solución?
EIP-7702 como primitiva de rescate
Aquí entra en juego el EIP-7702.
EIP-7702 introdujo un tipo de transacción que permite a los monederos normales de la Máquina Virtual 
Ethereum (EVM) comportarse temporalmente como monederos avanzados de contratos inteligentes.
En particular, este diseño ofrece una vía de rescate para recuperar parcialmente los activos de los monederos comprometidos. Con EIP-7702, usted puede:
- Utilizar un monedero patrocinador independiente para pagar el gas
- Delegar el monedero comprometido a un contrato por lotes
- Hacer que ese contrato por lotes ejecute una reclamación + transferencia en nombre de la dirección comprometida
- Luego revocar la delegación
De esta forma, dado que el monedero comprometido no está enviando directamente la transacción (sólo la autoriza una vez a través de EIP-7702), puedes escabullirte de los robots barredores y evacuar tokens que de otra forma serían irrecuperables.
El ejemplo de Antidrain
Este tipo de flujo de recuperación es exactamente la idea central de Antidrain, una herramienta de rescate EIP-7702 creada por Zun y lanzada a principios de este año. Se posiciona como una aplicación de recuperación de último recurso, del lado del cliente, para cosas como lanzamientos aéreos y NFT.
Por ejemplo, un usuario, Moei, dijo en X esta semana que utilizó Antidrain para salvar su Fwog NFT allowlist spot, acuñándolo con éxito y transfiriéndolo a una cartera segura después de un compromiso de clave privada. Se trata de una recuperación no trivial, teniendo en cuenta que los Fwogs cotizan actualmente en torno a los 700 dólares en OpenSea.
En otras palabras, esta herramienta construye delegaciones EIP-7702 y transacciones por lotes localmente en tu navegador (es decir, sin servidor backend, sin transmisión de claves), permitiéndote ejecutar operaciones de rescate a través de las cadenas EVM soportadas.
Dicho todo esto, se trata de una de esas herramientas "rompe cristales en caso de emergencia". Antidrain solicita la clave privada del monedero comprometido durante la configuración. En circunstancias normales, eso es un "no" instantáneo. Aquí, la idea es:
- La clave ya está comprometida, así que el atacante la tiene de todos modos.
- Sólo la estás usando una última vez para recuperar cualquier cosa que todavía se pueda recuperar.
- El diseño de la herramienta es totalmente local, o al menos eso parece. Como aplicación estática del lado del cliente, crea y firma las transacciones en el navegador y, después de investigar el código del sitio, no he encontrado pruebas de que envíe datos confidenciales a ningún backend.
Este último punto no constituye una auditoría de seguridad formal, por supuesto, pero la aplicación parece funcionar según su diseño declarado.
Afortunadamente, todavía no he necesitado este tipo de recurso, así que no he utilizado Antidrain personalmente. Y para que quede claro, pegar una clave privada en un sitio web es prácticamente siempre una idea terrible. Esta vía está pensada sólo para carteras ya comprometidas como último recurso para eludir a los rastreadores.
Hipotéticamente, si Antidrain fuera malicioso, los peores escenarios serían perder lo que quedara en tu monedero comprometido o que tus tokens de gas patrocinados o rescatados fueran redirigidos a una dirección que no controlas. Ninguno de tus monederos no comprometidos estaría en riesgo, ya que no descargas nada aquí y no importas ni firmas nada con tus monederos seguros.
La conclusión es que si tu monedero está comprometido y te enfrentas a un bot barredor, una herramienta como Antidrain puede valer la pena. Si tu monedero no está comprometido, nunca deberías considerar pegar tu clave privada en ninguna aplicación web.
Úsalo bajo tu propio riesgo, entonces, y sólo para carteras que ya estén quemadas. Pero si alguna vez tienes la desgracia de necesitar una herramienta como ésta, el proceso de configuración en el sitio parece sencillo. Usted podría
- Crear y financiar su monedero patrocinador
- Introducir las configuraciones de monedero deseadas
- Establecer los detalles de su rescate y la dirección del receptor
- Pulsar "Ejecutar todos los monederos" para iniciar la transacción por lotes.
- Retirar el gas restante de su monedero patrocinador
Y ya está. Este sistema funciona mejor para flujos de rescate de una sola vez, como "reclamar este lanzamiento aéreo y enviarlo directamente a mi monedero seguro". Se cobra una comisión de servicio del 20% sobre cualquier ERC-20 rescatado para el desarrollo en curso, así que tenlo en cuenta también.
Por supuesto, una herramienta de este tipo no expulsará por arte de magia a un atacante de tu monedero, pero es interesante ver el potencial de EIP-7702 para dar una oportunidad a las víctimas de drenadores. En un día oscuro, podría ser la diferencia entre salvar algo o perderlo todo, así que ten en cuenta esta capacidad en el futuro.
