Eine neue akademische Studie hat 65.340 Fälle von Missbrauch hochriskanter Adressen auf Ethereum und BNB Chain identifiziert, die mit etwa 574,8 Millionen Dollar an verlorenem Krypto verbunden sind.
Die Forschung zeigt, wie gewöhnliche Fehler im Zusammenhang mit Testnet-Adressen, wiederverwendeten Vertragsadressen und exponierten privaten Schlüsseln zu dauerhaften Verlusten führen können, während neuere Werkzeuge wie EIP-7702 Angreifern eine weitere Möglichkeit bieten, diese auszunutzen.
Adressfehler verursachen Millionenverluste
Die Studie, die von Forschern der Sun Yat-sen-Universität, der Zhejiang-Universität, der Peking-Universität und anderen Institutionen geleitet wurde, beschreibt zwei Formen des Adressmissbrauchs: Missbrauch von Vertragskonten (CA) und Missbrauch von externen Konten (EOA).
CA-Missbrauch tritt auf, wenn Benutzer eine Nicht-Vertragsadresse so behandeln, als ob dort ein Smart Contract existiert. Die Forscher fanden 49.344 solcher Fälle, die mit Verlusten von 22.738,41 ETH und 8.681,41 BNB verbunden waren.
Ein Beispiel betraf eine Uniswap V2-Routeradresse, die häufig im Sepolia-Testnetz von Ethereum verwendet wurde. Die Adresse hatte mehr als 102.000 Aufrufe in Stack Exchange-Beiträgen und wurde häufig zum Testen verwendet, hatte jedoch zum Zeitpunkt auf dem Ethereum-Hauptnetz keinen Vertragscode, dennoch sendeten Benutzer weiterhin Funktionsaufrufe und ETH dorthin. Die Transaktionen wurden als einfache Überweisungen erfolgreich, wodurch die Gelder blockiert wurden.
EOA-Missbrauch machte weitere 15.996 Fälle aus, die Adressen betrafen, deren private Schlüssel exponiert worden waren, oft durch öffentliche Code-Repositories oder Entwickler-Q&A-Seiten. Die Studie fand Verluste von 104.224,53 ETH und 9.045,29 BNB.
Die Forscher untersuchten mehr als 10 Millionen Kandidatenadressen und 16 Millionen exponierte private Schlüssel und analysierten dann etwa 2,5 Millionen Transaktionen auf Ethereum und BSC. Manuelle Überprüfungen gaben dem Erkennungssystem eine Gesamtgenauigkeit von 99,11%.
Die Studie ergab auch, dass Angreifer aktiv diese Fehler ausnutzen. In 469 Fällen von CA-Missbrauch verwendeten Angreifer die Wiederverwendung von Adressen über verschiedene Chains, um bösartige Verträge an Adressen zu platzieren, an denen Benutzer bereits Gelder gefangen hatten, was zu Verlusten von 3.446,37 ETH und 431,79 BNB führte.
Weitere 17.270 Fälle betrafen EIP-7702, das es einem externen Konto ermöglicht, die Ausführung an einen Smart Contract zu delegieren. Die Forscher fanden heraus, dass Angreifer den Mechanismus nutzten, um exponierte Konten zu kontrollieren und eingehende Gelder automatisch umzuleiten.
Warum vertraute Adressen zur Falle werden können
Die Ergebnisse fügen eine andere Art von Risiko zu den Sicherheitsproblemen hinzu, die bereits in diesem Jahr die Krypto-Welt betreffen. Ein Blockaid-Bericht, der am 1. August veröffentlicht wurde, stellte fest, dass in der ersten Hälfte des Jahres 2026 1,1 Milliarden Dollar in 212 Vorfällen gestohlen wurden, wobei drei separate Angriffe, die an einem Tag Ende Juli mehr als 35 Millionen Dollar Verlust verursachten, stattfanden.
Die Studie zum Adressmissbrauch weist auf ein weniger offensichtliches Problem hin: Eine Transaktion kann erfolgreich sein und dennoch einen Verlust verursachen. Benutzer könnten annehmen, dass eine erfolgreiche Transaktion bedeutet, dass sie mit dem beabsichtigten Vertrag interagiert haben, selbst wenn die Adresse in diesem bestimmten Netzwerk keinen Code hat.
Laut den Forschern sollten die Menschen das Netzwerk überprüfen, bevor sie eine Adresse verwenden, und sich auf offizielle Projektdokumentationen verlassen, während sie Testkonten von Produktionsmitteln fernhalten.
Sie forderten auch, dass Wallets die Benutzer warnen, wenn eine Adresse keinen Vertragscode auf der aktuellen Kette hat oder einen bekannten exponierten privaten Schlüssel besitzt.
Quelle: CryptoPotato
