Дослідження виявило 65 340 ризикованих криптоадрес, пов'язаних з втратами у 574 мільйони доларів

Дослідження, представлене на конференції USENIX Security '26, виявило 65 340 ризикованих криптоадрес, які були залучені в зловживання на Ethereum та BNB Smart Chain, з втраченими 126 982,94 ETH та 17 726,7 BNB.

Дослідники оцінили втрати, пов'язані з цими ризикованими криптоадресами, у понад 574,8 мільйона доларів. Але два нові описані активні вектори атак безпосередньо становлять близько 15,7 мільйона доларів, або 2,7% від цієї суми. У повному документі також використовувалися ціни на травень 2025 року у розмірі 4408 доларів за ETH та 847 доларів за BNB, а не доларова вартість кожного токена на момент виникнення втрат.

Як ризиковані криптоадреси стають пастками

Дослідження розділяє проблему на зловживання контрактними рахунками та зловживання рахунками, що належать зовнішнім особам.

Зловживання контрактними рахунками відбувається, коли хтось надсилає виклик функції, іноді з ETH або BNB, на адресу, яка не має контрактного коду в обраній мережі. Транзакція все ще може успішно виконатися як простий переказ без виконання запланованої функції. Кошти залишаються на цій адресі, якщо пізніше не буде розгорнуто код, який може їх перемістити.

Це дозволяє реалізувати перший активний вектор. Зловмисник може розгорнути контракт на адресі тестової мережі, дочекатися, поки користувачі помилково надішлють кошти на відповідну адресу без коду в основній мережі, а потім використати детерміновану адресацію контрактів, щоб розгорнути шкідливий код для виведення коштів на тому ж місці. У документі було виявлено 469 шкідливих контрактів, пов'язаних з втратами у 3446,37 ETH та 431,79 BNB.

Зловживання рахунками, що належать зовнішнім особам, починається з публічного або інакше відкритого приватного ключа. Будь-хто, хто має ключ, може контролювати рахунок, а автоматизовані сканери можуть змагатися, щоб видалити вхідні кошти.

Другий вектор використовує EIP-7702, щоб зробити цей відтік більш прямим. Зловмисник може використовувати відкритий ключ, щоб делегувати рахунок шкідливому коду, який переказує депозит зловмиснику в тій же транзакції. Детальний аналіз виявив понад 17 200 делегованих адрес та втрати у 25,86 ETH плюс 33,45 BNB.

Разом два активні вектори становлять 3472,23 ETH та 465,24 BNB. Решта агрегату документа охоплює ширший набір виявлених зловживань контрактними рахунками та зловживань відкритими ключами, а не лише ці два напади.

Щоб створити набір даних, команда проаналізувала 63 004 репозиторії GitHub, створені з січня 2015 року по травень 2025 року, і використала архів Stack Exchange за квітень 2025 року. Вона витягла понад 16,3 мільйона унікальних приватних ключів з GitHub, отримала їх адреси та об'єднала прямі збіги ключів з правилами транзакційних шаблонів та легким символічним виконанням на Ethereum та BNB Smart Chain.

Автори повідомили про 99,11% точності для своїх загальних результатів виявлення зловживань адресами. Вони випадковим чином відібрали виявлені випадки зловживань контрактними рахунками та на основі шаблонів EOA, двоє дослідників незалежно оцінили, чи відповідає кожне виявлення визначенням дослідження, а адреси, отримані з публічних приватних ключів, окремо вважали підтвердженими. Показник точності вимірює точність виявлення, а не те, чи була повна оцінка в доларах безпосередньо викликана двома активними векторами.

Дослідники заявили, що почали розкривати результати розробникам гаманців та біржам і намагалися зв'язатися з постраждалими проектами. Однак документ не надає повної інформації про рівень усунення або поточну кількість фінансованих адрес для всіх 65 340 випадків.

Користувачі можуть зменшити негайний ризик, перевіряючи як адресу, так і ланцюг за офіційними джерелами. Розробники повинні тримати тестові рахунки та закодовані ключі поза виробництвом, тоді як постачальники гаманців можуть попереджати перед транзакціями, які досягають адрес без коду або відкритих ключів.

Цей контент надано лише для загальних інформаційних цілей і не є фінансовою, інвестиційною, юридичною чи податковою консультацією. Події, нагороди, онлайн-акцій або пов’язану інформацію, згадана тут, не слід розглядати як рекомендацію, прохання чи запрошення до купівлі, продажу, торгівлі чи інших операцій з криптоактивами. Криптоактиви є дуже волатильними та можуть призвести до збитків. Доступність послуг, продуктів WEEX та пов’язаних із ними подій може відрізнятися залежно від регіону. Ви несете відповідальність за забезпечення відповідності вашої участі чинному місцевому законодавству та нормативним актам.