Studie findet 65.340 riskante Krypto-Adressen mit Verlusten von 574 Millionen Dollar

Eine Studie, die auf der USENIX Security '26 präsentiert wurde, identifizierte 65.340 riskante Krypto-Adressen, die in Missbrauch auf Ethereum und BNB Smart Chain verwickelt sind, mit 126.982,94 ETH und 17.726,7 BNB an damit verbundenen Verlusten in nativen Token.

Die Forscher schätzten die Verluste, die mit diesen riskanten Krypto-Adressen verbunden sind, auf mehr als 574,8 Millionen Dollar. Aber die beiden neu beschriebenen aktiven Angriffsvektoren machen direkt etwa 15,7 Millionen Dollar oder 2,7 % dieses Betrags aus. Das vollständige Papier verwendete auch Referenzpreise von Mai 2025 von 4.408 Dollar pro ETH und 847 Dollar pro BNB, anstatt den Dollarwert jedes Tokens zum Zeitpunkt der Verluste.

Wie riskante Krypto-Adressen zu Fallen werden

Die Studie unterteilt das Problem in den Missbrauch von Vertragskonten und den Missbrauch von externen Konten.

Der Missbrauch von Vertragskonten tritt auf, wenn jemand einen Funktionsaufruf sendet, manchmal mit ETH oder BNB angehängt, an eine Adresse, die keinen Vertragscode im ausgewählten Netzwerk hat. Die Transaktion kann dennoch als einfacher Transfer erfolgreich sein, ohne die beabsichtigte Funktion auszuführen. Die Gelder verbleiben dann an dieser Adresse, es sei denn, später bereitgestellter Code kann sie bewegen.

Das ermöglicht den ersten aktiven Vektor. Ein Angreifer kann einen Vertrag an einer Testnet-Adresse bereitstellen, warten, bis Benutzer versehentlich Gelder an die entsprechende No-Code-Adresse im Mainnet senden, und dann die deterministische Vertragsadressierung ausnutzen, um bösartigen Abhebungscode an derselben Stelle bereitzustellen. Das Papier identifizierte 469 bösartige Verträge, die mit Verlusten von 3.446,37 ETH und 431,79 BNB verbunden sind.

Der Missbrauch von externen Konten beginnt mit einem öffentlichen oder anderweitig exponierten privaten Schlüssel. Jeder, der den Schlüssel hat, kann das Konto kontrollieren, und automatisierte Sweeper können um das Entfernen eingehender Gelder wetteifern.

Der zweite Vektor nutzt EIP-7702, um diesen Abfluss direkter zu gestalten. Ein Angreifer kann den exponierten Schlüssel verwenden, um das Konto an bösartigen Code zu delegieren, der eine Einzahlung in derselben Transaktion an den Angreifer weiterleitet. Die detaillierte Analyse identifizierte mehr als 17.200 delegierte Adressen und Verluste von 25,86 ETH sowie 33,45 BNB.

Zusammen machen die beiden aktiven Vektoren 3.472,23 ETH und 465,24 BNB aus. Der Rest der aggregierten Ergebnisse des Papiers deckt die breitere Gruppe von erkannten Vertragskonten und dem Missbrauch exponierter Schlüssel ab, anstatt sich nur auf diese beiden Angriffe zu konzentrieren.

Um den Datensatz zu erstellen, hat das Team 63.004 GitHub-Repositories, die von Januar 2015 bis Mai 2025 erstellt wurden, durchsucht und ein Archiv von Stack Exchange aus April 2025 verwendet. Es extrahierte mehr als 16,3 Millionen deduplizierte private Schlüssel von GitHub, leitete deren Adressen ab und kombinierte direkte Schlüsselübereinstimmungen mit Transaktionsmusterregeln und leichter symbolischer Ausführung auf Ethereum und BNB Smart Chain.

Die Autoren berichteten von einer Präzision von 99,11 % für ihre Gesamtergebnisse zur Adressmissbrauchserkennung. Sie entnahmen zufällig Proben aus den abgeleiteten Vertragskonten und den musterbasierten EOA-Fällen, ließen zwei Forscher unabhängig beurteilen, ob jede Erkennung mit den Definitionen der Studie übereinstimmte, und behandelten separat Adressen, die aus öffentlichen privaten Schlüsseln abgeleitet wurden, als bestätigt. Die Präzisionszahl misst die Erkennungsgenauigkeit, nicht ob die gesamte Dollar-Schätzung direkt durch die beiden aktiven Vektoren verursacht wurde.

Die Forscher gaben an, dass sie begannen, die Ergebnisse den Wallet-Entwicklern und Börsen offenzulegen und versuchten, betroffene Projekte zu kontaktieren. Das Papier gibt jedoch keine vollständige Behebungsrate oder eine aktuelle Anzahl von finanzierten Adressen für alle 65.340 Fälle an.

Benutzer können das unmittelbare Risiko verringern, indem sie sowohl die Adresse als auch die Kette mit offiziellen Quellen abgleichen. Entwickler sollten Testkonten und fest codierte Schlüssel aus der Produktion fernhalten, während Wallet-Anbieter warnen können, bevor Transaktionen No-Code- oder exponierten Schlüsselzielen erreichen.

Dieser Inhalt wird nur zu allgemeinen Informationszwecken bereitgestellt und stellt keine finanzielle, Anlage-, Rechts- oder Steuerberatung dar. Alle erwähnten Ereignisse, Prämien, Online-Aktionen oder zugehörige Informationen sollten nicht als Empfehlung, Aufforderung oder Einladung zum Kauf, Verkauf, Handel oder anderweitigem Umgang mit Krypto-Assets betrachtet werden. Krypto-Assets sind sehr volatil und können zu Verlusten führen. Die Verfügbarkeit von WEEX Services, Produkten und zugehörigen Aktionen kann je nach Region unterschiedlich sein. Sie sind dafür verantwortlich sicherzustellen, dass Ihre Teilnahme mit geltenden lokalen Gesetzen und Vorschriften übereinstimmt.