Нове академічне дослідження виявило 65 340 випадків високоризикового неправильного використання адрес в Ethereum і BNB Chain, пов'язаних приблизно з $574,8 млн втраченої крипти.
Дослідження показує, як звичайні помилки, пов'язані з тестнет-адресами, повторно використовуваними адресами контрактів і розкритими приватними ключами, можуть стати незворотними втратами, тоді як новіші інструменти, такі як EIP-7702, дають зловмисникам ще один спосіб їх експлуатувати.
На помилки в адресах припадають мільйони втрат
Дослідження, проведене вченими з Університету імені Сунь Ятсена, Чжецзянського університету, Пекінського університету та інших установ, описує дві форми неправильного використання адрес: неправильне використання контрактного акаунта (CA) і неправильне використання зовнішнього акаунта (EOA).
Неправильне використання CA відбувається, коли користувачі ставляться до неконтрактної адреси так, ніби там існує смартконтракт. Дослідники знайшли 49 344 таких випадки, що залучають втрати в 22 738,41 ETH і 8681,41 BNB.
Один приклад стосувався адреси маршрутизатора Uniswap V2, широко використовуваної в тестнеті Sepolia мережі Ethereum. Адреса мала понад 102 000 переглядів у постах Stack Exchange і часто використовувалася для тестування, але в основній мережі Ethereum у неї на той момент не було коду контракту, однак користувачі все одно відправляли на неї виклики функцій та ETH. Транзакції проходили як прості перекази, залишаючи кошти в пастці.
На неправильне використання EOA припали ще 15 996 випадків, які залучали адреси, чиї приватні ключі були розкриті — часто через публічні репозиторії коду або сайти запитань-відповідей для розробників. Дослідження знайшло втрати в 104 224,53 ETH і 9045,29 BNB.
Дослідники вивчили понад 10 млн кандидатних адрес і 16 млн розкритих приватних ключів, потім проаналізували близько 2,5 млн транзакцій в Ethereum і BSC. Ручні перевірки дали системі виявлення загальну точність 99,11%.
Дослідження також виявило, що зловмисники активно експлуатують ці помилки. У 469 випадках неправильного використання CA зловмисники використовували міжмережеве повторне використання адрес, щоб розмістити шкідливі контракти за адресами, де користувачі вже заперли кошти, що призвело до втрат у 3446,37 ETH і 431,79 BNB.
Ще 17 270 випадків стосувалися EIP-7702, який дозволяє зовнішньому акаунту делегувати виконання смартконтракту. Дослідники виявили, що зловмисники використовують цей механізм, щоб контролювати розкриті акаунти й автоматично перенаправляти вхідні кошти.
Чому знайомі адреси можуть стати пасткою
Висновки додають інший тип ризику до проблем безпеки, що вже зачіпають крипту цього року. Звіт Blockaid, опублікований 1 серпня, виявив $1,1 млрд украденого в 212 інцидентах за перше півріччя 2026 року, при цьому три окремі атаки, що спричинили понад $35 млн втрат, сталися в один день наприкінці липня.
Дослідження неправильного використання адрес указує на менш очевидну проблему: транзакція може пройти успішно, все ж призводячи до втрати. Користувачі можуть вважати, що успішна транзакція означає, що вони взаємодіяли із задуманим контрактом, навіть коли в адреси немає коду в цій конкретній мережі.
За словами дослідників, людям слід перевіряти мережу перед використанням адреси й покладатися на офіційну документацію проєкту, тримаючи тестові акаунти подалі від виробничих коштів.
Вони також закликали гаманці попереджати користувачів, коли в адреси немає коду контракту в поточній мережі або є відомий розкритий приватний ключ.
Джерело: CryptoPotato
