Une étude révèle 65 340 adresses crypto risquées liées à 574 millions de dollars de pertes

Une étude présentée lors de la conférence USENIX Security '26 a identifié 65 340 adresses crypto risquées impliquées dans des abus sur Ethereum et BNB Smart Chain, avec des pertes associées de 126 982,94 ETH et 17 726,7 BNB.

Les chercheurs ont évalué les pertes associées à ces adresses crypto risquées à plus de 574,8 millions de dollars. Cependant, les deux nouveaux vecteurs d'attaque actifs décrits représentent directement environ 15,7 millions de dollars, soit 2,7 % de ce chiffre. L'article complet a également utilisé des prix de référence de mai 2025 de 4 408 $ par ETH et 847 $ par BNB, plutôt que la valeur en dollars de chaque jeton au moment où les pertes se sont produites.

Comment les adresses crypto risquées deviennent des pièges

L'étude sépare le problème en abus de comptes de contrat et abus de comptes détenus par des tiers.

L'abus de comptes de contrat se produit lorsqu'une personne envoie un appel de fonction, parfois avec de l'ETH ou du BNB attaché, à une adresse qui n'a pas de code de contrat sur le réseau sélectionné. La transaction peut toujours réussir en tant que simple transfert sans exécuter la fonction prévue. Les fonds restent alors à cette adresse à moins qu'un code déployé ultérieurement ne puisse les déplacer.

Cela permet le premier vecteur actif. Un attaquant peut déployer un contrat à une adresse de testnet, attendre que des utilisateurs envoient par erreur des fonds à l'adresse correspondante sans code sur le mainnet, puis exploiter l'adressage de contrat déterministe pour déployer un code de retrait malveillant au même endroit. L'article a identifié 469 contrats malveillants liés à des pertes de 3 446,37 ETH et 431,79 BNB.

L'abus de comptes détenus par des tiers commence par une clé publique ou une clé privée autrement exposée. Quiconque possède la clé peut contrôler le compte, et des outils automatisés peuvent se précipiter pour retirer les fonds entrants.

Le deuxième vecteur utilise l'EIP-7702 pour rendre ce drainage plus direct. Un attaquant peut utiliser la clé exposée pour déléguer le compte à un code malveillant qui transfère un dépôt à l'attaquant dans la même transaction. L'analyse détaillée a identifié plus de 17 200 adresses déléguées et des pertes de 25,86 ETH plus 33,45 BNB.

Ensemble, les deux vecteurs actifs représentent 3 472,23 ETH et 465,24 BNB. Le reste de l'agrégat de l'article couvre l'ensemble plus large des abus de comptes de contrat et de clés exposées plutôt que ces deux attaques seules.

Pour constituer le jeu de données, l'équipe a extrait 63 004 dépôts GitHub créés de janvier 2015 à mai 2025 et a utilisé une archive Stack Exchange d'avril 2025. Elle a extrait plus de 16,3 millions de clés privées dédupliquées de GitHub, dérivé leurs adresses et combiné des correspondances de clés directes avec des règles de motifs de transaction et une exécution symbolique légère sur Ethereum et BNB Smart Chain.

Les auteurs ont rapporté une précision de 99,11 % pour leurs résultats de détection d'abus d'adresses. Ils ont échantillonné aléatoirement les cas de comptes de contrat déduits et de cas EOA basés sur des motifs, ont fait juger indépendamment par deux chercheurs si chaque détection correspondait aux définitions de l'étude, et ont traité séparément les adresses dérivées de clés privées publiques comme confirmées. Le chiffre de précision mesure l'exactitude de la détection, et non si l'estimation totale en dollars a été directement causée par les deux vecteurs actifs.

Les chercheurs ont déclaré avoir commencé à divulguer les résultats aux développeurs de portefeuilles et aux échanges et ont tenté de contacter les projets concernés. Cependant, l'article ne fournit pas de taux de remédiation complet ni de compte d'adresses financées actuel pour les 65 340 instances.

Les utilisateurs peuvent réduire le risque immédiat en vérifiant à la fois l'adresse et la chaîne par rapport aux sources officielles. Les développeurs devraient garder les comptes de test et les clés codées en dur hors de la production, tandis que les fournisseurs de portefeuilles peuvent avertir avant que les transactions n'atteignent des destinations sans code ou avec des clés exposées.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.