Des chercheurs viennent de découvrir 4 200 contrats intelligents malveillants qui ont réussi à tromper 5 700 victimes en leur faisant signer leurs crypto-monnaies

Simuler des transferts à l'aide d'outils de sécurité dans les portefeuilles de crypto-monnaies peut montrer un petit gain même lorsque la transaction finale envoie le dépôt de l'utilisateur à un attaquant, selon un préprint arXiv du 30 juillet qui relie la technique à 5 742 adresses de victimes et environ 3,48 millions de dollars de pertes historiques.

Les auteurs ont utilisé SimGuard, un détecteur de bytecode de contrat, pour identifier 4 224 contrats de phishing de simulation de transaction sur Ethereum, BNB Smart Chain, Avalanche et Polygon.

L'étude les a associés à 6 223 transactions de victimes mais a qualifié l'estimation des pertes de limite supérieure car certaines activités de test des attaquants peuvent avoir été mal classées. Elle a attribué 91,5 % des pertes à Ethereum et environ 83 % du total inter-chaînes à son plus grand cluster inféré.

Les résultats n'ont pas été examinés par des pairs. Le document donne également des chiffres incohérents pour son compte de contrats Avalanche et des points de terminaison conflictuels pour la période d'observation, laissant sa répartition par chaîne et sa fenêtre temporelle exacte non résolues.

Comment un aperçu semblant sûr peut diverger

La simulation de transaction prend un instantané pré-signature de ce qu'une transaction est censée faire. Les contrats décrits dans le document contiennent des branches qui peuvent produire un résultat pendant cette vérification et un autre lorsque la transaction s'exécute sur la chaîne.

Dans un exemple de contrôle de stockage, la simulation renvoie le dépôt de l'utilisateur plus une petite récompense. Un attaquant peut alors changer l'état du contrat, par exemple en mettant sur liste noire l'adresse de l'utilisateur, avant que la transaction ne soit effectuée. La branche exécutée envoie le dépôt à une adresse contrôlée par l'attaquant à la place.

Les contrats basés sur des timestamps peuvent exploiter le temps de bloc ultérieur, tandis que les contrats de contrôle de gaz peuvent se comporter différemment lorsque le simulateur et la transaction finale utilisent des limites de gaz différentes. Ainsi, chaque variante ne nécessite pas qu'un attaquant modifie les données stockées sur la chaîne après l'aperçu.

Dans un test contrôlé, les auteurs ont envoyé le solde d'un compte à un contrat qui renvoyait aussi peu que 1 wei, la plus petite unité d'ETH. Ils ont rapporté que plusieurs aperçus testés affichaient une estimation positive et que la plupart ne montraient pas clairement le montant total sortant.

Le document n'identifie pas les versions de portefeuille, les paramètres ou les backends de simulation utilisés par les victimes historiques. La documentation actuelle de MetaMask appelle les changements de solde estimés des prédictions et avertit que le résultat final n'est pas garanti.

Une transaction Etherscan du 8 janvier 2025 citée par l'étude enregistre un appel Claim() déplaçant environ 143,45 ETH à travers un contrat qu'Etherscan étiquette comme phishing. L'enregistrement sur la chaîne soutient le transfert décrit dans le document, bien qu'il ne puisse pas montrer ce qui est apparu dans l'aperçu du portefeuille de l'utilisateur.

Les auteurs recommandent de relancer des simulations lorsque l'état du contrat pertinent ou les champs de gaz changent, en utilisant la limite de gaz et le prix du gaz dans la demande réelle, et en testant les entrées de numéro de bloc et de timestamp actuels et futurs. Leurs résultats d'interface utilisateur soutiennent également l'affichage du montant brut quittant un portefeuille aux côtés d'un changement de solde net précis, afin qu'un remboursement négligeable ne puisse pas être confondu avec un profit.

Le préprint décrit une activité historique, pas une vague d'attaques en direct de juillet ou août. Son évaluation des détecteurs a couvert 44 contrats, dont 30 générés avec Gemini, et le dépôt de code et de données lié a renvoyé un HTTP 401 lors de la vérification.

Les résultats agrégés restent donc les conclusions des auteurs plutôt qu'une mesure reproduite de manière indépendante.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.