محققان ۴۲۰۰ قرارداد هوشمند مخرب را کشف کردند که موفق به فریب ۵۷۰۰ قربانی برای امضای واگذاری ارزهای دیجیتال خود شدند

شبیه‌سازی انتقال‌ها با استفاده از ابزارهای ایمنی در کیف پول‌های ارز دیجیتال می‌تواند حتی زمانی که تراکنش نهایی سپرده کاربر را به یک مهاجم ارسال می‌کند، سود کمی را نشان دهد، طبق یک پیش‌چاپ arXiv در تاریخ ۳۰ ژوئیه که این تکنیک را به ۵۷۴۲ آدرس قربانی و حدود ۳.۴۸ میلیون دلار خسارت تاریخی مرتبط می‌کند.

نویسندگان از SimGuard، یک تشخیص‌دهنده کد بایت قرارداد، برای شناسایی ۴۲۲۴ قرارداد فیشینگ شبیه‌سازی تراکنش در سراسر اتریوم، زنجیره هوشمند BNB، آوالانچ و پالیگان استفاده کردند.

این مطالعه آنها را با ۶۲۲۳ تراکنش قربانی مرتبط دانسته اما برآورد خسارت را یک حد بالایی نامید زیرا برخی از فعالیت‌های آزمایشی مهاجم ممکن است به اشتباه طبقه‌بندی شده باشد. این مطالعه ۹۱.۵٪ از خسارات را به اتریوم و حدود ۸۳٪ از کل زنجیره‌ای متقابل را به بزرگترین خوشه استنباط شده آن نسبت داد.

یافته‌ها هنوز مورد بررسی همتا قرار نگرفته‌اند. این مقاله همچنین ارقام ناسازگاری برای تعداد قراردادهای آوالانچ و نقاط پایانی متضاد برای دوره مشاهده ارائه می‌دهد و تجزیه و تحلیل دقیق زنجیره‌ای و بازه زمانی دقیق آن حل نشده باقی مانده است.

چگونه یک پیش‌نمایش به نظر ایمن می‌تواند منحرف شود

شبیه‌سازی تراکنش یک تصویر فوری از آنچه یک تراکنش انتظار می‌رود انجام دهد، می‌گیرد. قراردادهای توصیف شده در این مقاله شامل شاخه‌هایی هستند که می‌توانند در آن بررسی یک نتیجه تولید کنند و در زمان اجرای تراکنش در زنجیره نتیجه دیگری ایجاد کنند.

در یک مثال کنترل ذخیره، شبیه‌سازی سپرده کاربر را به همراه یک پاداش کوچک بازمی‌گرداند. سپس یک مهاجم می‌تواند وضعیت قرارداد را تغییر دهد، مانند سیاه‌لیست کردن آدرس کاربر، قبل از اینکه تراکنش انجام شود. شاخه اجرایی سپرده را به یک آدرس تحت کنترل مهاجم ارسال می‌کند.

قراردادهای مبتنی بر زمان می‌توانند از زمان بلوک بعدی سوءاستفاده کنند، در حالی که قراردادهای کنترل گاز می‌توانند رفتار متفاوتی داشته باشند زمانی که شبیه‌ساز و تراکنش نهایی از محدودیت‌های گاز متفاوتی استفاده می‌کنند. بنابراین هر نوعی از این قراردادها نیاز به تغییر داده‌های ذخیره شده در زنجیره توسط مهاجم بعد از پیش‌نمایش ندارد.

در یک آزمایش کنترل شده، نویسندگان موجودی یک حساب را به یک قراردادی ارسال کردند که به اندازه ۱ وِی، کوچک‌ترین واحد ETH، بازمی‌گشت. آنها گزارش دادند که چندین پیش‌نمایش آزمایش شده برآورد مثبتی را نشان دادند و بیشتر آنها به وضوح مقدار کل خروجی را نشان ندادند.

این مقاله نسخه‌های کیف پول، تنظیمات یا زیرساخت‌های شبیه‌سازی استفاده شده توسط قربانیان تاریخی را شناسایی نمی‌کند. مستندات فعلی MetaMask تغییرات برآورد شده موجودی را پیش‌بینی می‌نامد و هشدار می‌دهد که نتیجه نهایی تضمین نشده است.

یک تراکنش Etherscan در تاریخ ۸ ژانویه ۲۰۲۵ که توسط این مطالعه ذکر شده، یک تماس Claim() را ثبت می‌کند که حدود ۱۴۳.۴۵ ETH را از طریق یک قرارداد که Etherscan آن را به عنوان فیشینگ برچسب‌گذاری کرده، منتقل می‌کند. رکورد زنجیره‌ای انتقال توصیف شده در مقاله را پشتیبانی می‌کند، اگرچه نمی‌تواند نشان دهد که چه چیزی در پیش‌نمایش کیف پول کاربر ظاهر شده است.

نویسندگان توصیه می‌کنند که شبیه‌سازی‌ها را دوباره اجرا کنند زمانی که وضعیت قرارداد یا فیلدهای گاز مرتبط تغییر می‌کنند، با استفاده از محدودیت گاز و قیمت گاز در درخواست واقعی، و آزمایش ورودی‌های شماره بلوک و زمان‌سنجی فعلی و آینده. یافته‌های UI آنها همچنین از نمایش مقدار ناخالص خروجی از یک کیف پول به همراه تغییر موجودی خالص دقیق حمایت می‌کند، بنابراین یک بازپرداخت ناچیز نمی‌تواند به عنوان سود اشتباه گرفته شود.

این پیش‌چاپ فعالیت‌های تاریخی را توصیف می‌کند، نه یک موج حمله زنده در ژوئیه یا اوت. ارزیابی تشخیص‌دهنده آنها شامل ۴۴ قرارداد بود، از جمله ۳۰ قرارداد تولید شده با Gemini، و مخزن کد و داده مرتبط هنگام بررسی HTTP 401 را بازمی‌گرداند.

نتایج تجمعی بنابراین یافته‌های نویسندگان باقی می‌ماند و نه یک اندازه‌گیری مستقل تولید شده.

این محتوا صرفاً برای اطلاع‌رسانی عمومی ارائه شده است و به‌منزله مشاوره مالی، سرمایه‌گذاری، حقوقی یا مالیاتی تلقی نمی‌شود. هرگونه رویداد، جایزه، کمپین آنلاین یا اطلاعات مرتبط که در اینجا ذکر شده است، نباید به‌عنوان توصیه، ترغیب یا دعوت به خرید، فروش، معامله یا هرگونه دادوستد دیگر دارایی‌های رمزارزی تلقی شود. دارایی‌های رمزارزی از نوسان بالایی برخوردار هستند و ممکن است منجر به زیان شوند. دسترسی به خدمات، محصولات و رویدادهای مرتبط با WEEX ممکن است بسته به منطقه جغرافیایی متفاوت باشد. اطمینان از اینکه استفاده شما از این خدمات با قوانین و مقررات محلی مطابقت دارد، بر عهده خود شماست.