Seis Erros Críticos em Smart Accounts ERC-4337

O ERC-4337 não é só uma camada de conveniência para carteiras web3, é um novo plano de execução on-chain, com regras próprias, dependências críticas e um ecossistema de infraestrutura (bundlers, paymasters, entry points) que amplifica tanto a usabilidade quanto o risco. Desde seu lançamento em março de 2023, já processou mais de 50 milhões de UserOperations, mas esse crescimento acelerado esconde uma realidade técnica: cada nova funcionalidade, como pagamento em ERC-20, inicialização sob demanda ou delegação via EIP-7702, introduz vetores de ataque que não existiam em EOAs tradicionais. Os seis erros listados na notícia atual não são falhas pontuais em código, mas sintomas de um desafio estrutural: levar lógica de segurança para fora do escopo da assinatura criptográfica e para dentro do estado do contrato, onde ela fica sujeita a condições de corrida, manipulação de gás e interferência de terceiros (como bundlers maliciosos ou paymasters comprometidos).

Isso explica por que vulnerabilidades como a validação com estado ou o controle de acesso impróprio têm consequências tão severas: elas transformam o próprio EntryPoint, o contrato central que deveria ser o guardião da execução, em uma porta de entrada para drenagem. A exigência de separação de domínio EIP-712, por exemplo, não é um detalhe de boas práticas, é a única defesa contra ataques de replay entre redes ou entre contas distintas, especialmente em ambientes multi-chain como Polygon, Arbitrum e Optimism, onde 96% das operações dependem de paymasters externos.

Esses erros importam porque já estão sendo explorados em produção. Em janeiro de 2026, uma falha de contabilidade de gás no EntryPoint v0.8.0 permitiu drenagem sistemática de depósitos de paymasters, um caso concreto de como uma falha aparentemente técnica (limite de gás não aplicado em postOp) se traduz em perda financeira direta. Além disso, carteiras como UniPass já sofreram tomada de controle total por substituição indevida do EntryPoint. Com mais de 1,9 milhão de contas AA ativas em janeiro de 2024 e projeções de adoção massiva via Coinbase Smart Wallet (lançada em junho de 2024) e MetaMask (suporte em 2025), essas vulnerabilidades deixaram de ser teóricas: são riscos operacionais para usuários, desenvolvedores e provedores de infraestrutura.