Nowe badanie akademickie zidentyfikowało 65,340 przypadków nadużycia adresów wysokiego ryzyka na Ethereum i BNB Chain, związanych z około 574,8 miliona dolarów utraconej kryptowaluty.
Badania pokazują, jak zwykłe błędy związane z adresami testnet, ponownie używanymi adresami kontraktów i ujawnionymi kluczami prywatnymi mogą prowadzić do trwałych strat, podczas gdy nowsze narzędzia, takie jak EIP-7702, dają atakującym kolejny sposób na ich wykorzystanie.
Błędy adresowe odpowiadają za miliony strat
Badanie, prowadzone przez naukowców z Uniwersytetu Sun Yat-sena, Uniwersytetu Zhejiang, Uniwersytetu Pekińskiego i innych instytucji, opisuje dwa rodzaje nadużycia adresów: Nadużycie Konta Kontraktowego (CA) i Nadużycie Konta Zewnętrznego (EOA).
Nadużycie CA ma miejsce, gdy użytkownicy traktują adres, który nie jest adresem kontraktu, jakby istniał tam inteligentny kontrakt. Naukowcy znaleźli 49,344 takich przypadków, związanych z stratami wynoszącymi 22,738.41 ETH i 8,681.41 BNB.
Jeden z przykładów dotyczył adresu routera Uniswap V2, szeroko używanego na testnecie Sepolia Ethereum. Adres miał ponad 102,000 wyświetleń w postach na Stack Exchange i był często używany do testowania, ale na głównym łańcuchu Ethereum nie miał w tym czasie kodu kontraktu, a mimo to użytkownicy nadal wysyłali do niego wywołania funkcji i ETH. Transakcje zakończyły się sukcesem jako proste przelewy, pozostawiając środki uwięzione.
Nadużycie EOA odpowiadało za kolejne 15,996 przypadków, które dotyczyły adresów, których klucze prywatne zostały ujawnione, często poprzez publiczne repozytoria kodu lub strony z pytaniami i odpowiedziami dla programistów. Badanie wykazało straty wynoszące 104,224.53 ETH i 9,045.29 BNB.
Badacze zbadali ponad 10 milionów kandydatów na adresy i 16 milionów ujawnionych kluczy prywatnych, a następnie przeanalizowali około 2,5 miliona transakcji na Ethereum i BSC. Ręczne kontrole dały systemowi wykrywania ogólną precyzję na poziomie 99,11%.
Badanie wykazało również, że napastnicy aktywnie wykorzystują te błędy. W 469 przypadkach nadużycia CA napastnicy użyli ponownego wykorzystania adresów między łańcuchami, aby umieścić złośliwe kontrakty pod adresami, gdzie użytkownicy już uwięzili środki, co skutkowało stratami w wysokości 3 446,37 ETH i 431,79 BNB.
Kolejne 17 270 przypadków dotyczyło EIP-7702, który pozwala zewnętrznie posiadanym kontom delegować wykonanie do inteligentnego kontraktu. Badacze odkryli, że napastnicy używają tego mechanizmu do kontrolowania ujawnionych kont i automatycznego przekierowywania przychodzących funduszy.
Dlaczego Znane Adresy Mogą Stać Się Pułapką
Wyniki dodają inny rodzaj ryzyka do problemów z bezpieczeństwem, które już w tym roku dotykają kryptowaluty. Raport Blockaid opublikowany 1 sierpnia wykazał, że skradziono 1,1 miliarda dolarów w 212 incydentach w pierwszej połowie 2026 roku, przy trzech oddzielnych atakach, które spowodowały straty przekraczające 35 milionów dolarów, które miały miejsce w jeden dzień pod koniec lipca.
Badanie nadużyć adresów wskazuje na mniej oczywisty problem: transakcja może zakończyć się sukcesem, a mimo to przynieść stratę. Użytkownicy mogą zakładać, że udana transakcja oznacza, że mieli do czynienia z zamierzonym kontraktem, nawet gdy adres nie ma kodu w danej sieci.
Według badaczy, ludzie powinni sprawdzić sieć przed użyciem adresu i polegać na oficjalnej dokumentacji projektu, trzymając konta testowe z dala od funduszy produkcyjnych.
Zaapelowali również, aby portfele ostrzegały użytkowników, gdy adres nie ma kodu kontraktu na bieżącym łańcuchu lub ma znany ujawniony klucz prywatny.
Źródło: CryptoPotato
