Investigadores descubren 4,200 contratos inteligentes maliciosos que engañaron a 5,700 víctimas para que firmaran sus criptomonedas

Simular transferencias utilizando herramientas de seguridad dentro de billeteras de criptomonedas puede mostrar una pequeña ganancia incluso cuando la transacción final envía el depósito del usuario a un atacante, según un preprint de arXiv del 30 de julio que vincula la técnica a 5,742 direcciones de víctimas y aproximadamente $3.48 millones en pérdidas históricas.

Los autores utilizaron SimGuard, un detector de bytecode de contratos, para identificar 4,224 contratos de phishing de simulación de transacciones en Ethereum, BNB Smart Chain, Avalanche y Polygon.

El estudio los asoció con 6,223 transacciones de víctimas, pero calificó la estimación de pérdidas como un límite superior porque algunas actividades de prueba de los atacantes pueden haber sido clasificadas incorrectamente. Atribuyó el 91.5% de las pérdidas a Ethereum y aproximadamente el 83% del total entre cadenas a su mayor clúster inferido.

Los hallazgos no han sido revisados por pares. El documento también presenta cifras inconsistentes para su conteo de contratos de Avalanche y puntos finales conflictivos para el período de observación, dejando sin resolver su desglose por cadena y la ventana de tiempo exacta.

Cómo una vista previa que parece segura puede divergir

La simulación de transacciones toma una instantánea previa a la firma de lo que se espera que haga una transacción. Los contratos descritos en el documento contienen ramas que pueden producir un resultado durante esa verificación y otro cuando la transacción se ejecuta en la cadena.

En un ejemplo de control de almacenamiento, la simulación devuelve el depósito del usuario más una pequeña recompensa. Un atacante puede luego cambiar el estado del contrato, como por ejemplo, bloqueando la dirección del usuario, antes de que la transacción se complete. La rama ejecutada envía el depósito a una dirección controlada por el atacante en su lugar.

Los contratos basados en marcas de tiempo pueden explotar el tiempo de bloque posterior, mientras que los contratos de control de gas pueden comportarse de manera diferente cuando el simulador y la transacción final utilizan diferentes límites de gas. Por lo tanto, no todas las variantes requieren que un atacante altere los datos almacenados en la cadena después de la vista previa.

En una prueba controlada, los autores enviaron el saldo de una cuenta a un contrato que devolvía tan solo 1 wei, la unidad más pequeña de ETH. Informaron que varias vistas previas probadas mostraron una estimación positiva y la mayoría no mostraron claramente el monto total saliente.

El documento no identifica las versiones de billetera, configuraciones o backends de simulación utilizados por las víctimas históricas. La documentación actual de MetaMask llama a los cambios de saldo estimados predicciones y advierte que el resultado final no está garantizado.

Una transacción de Etherscan del 8 de enero de 2025 citada por el estudio registra una llamada Claim() moviendo aproximadamente 143.45 ETH a través de un contrato que Etherscan etiqueta como phishing. El registro en la cadena respalda la transferencia descrita en el documento, aunque no puede mostrar lo que apareció en la vista previa de la billetera del usuario.

Los autores recomiendan volver a ejecutar simulaciones cuando cambie el estado del contrato relevante o los campos de gas, utilizando el límite de gas y el precio del gas en la solicitud real, y probando entradas de número de bloque y marca de tiempo actuales y futuras. Sus hallazgos de UI también apoyan mostrar el monto bruto que sale de una billetera junto con un cambio de saldo neto preciso, para que un reembolso insignificante no pueda confundirse con una ganancia.

El preprint describe la actividad histórica, no una ola de ataque en julio o agosto. Su evaluación del detector cubrió 44 contratos, incluidos 30 generados con Gemini, y el repositorio de código y datos vinculado devolvió HTTP 401 cuando se verificó.

Por lo tanto, los resultados agregados siguen siendo los hallazgos de los autores en lugar de una medición reproducida de forma independiente.

Este contenido se ofrece únicamente con fines informativos generales y no constituye asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, tradear o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.