Peneliti baru saja menemukan 4.200 kontrak pintar jahat yang berhasil menipu 5.700 korban untuk menandatangani aset kripto mereka

Mensimulasikan transfer menggunakan alat keamanan di dalam dompet kripto dapat menunjukkan keuntungan kecil bahkan ketika transaksi akhir mengirimkan setoran pengguna ke penyerang, menurut preprint arXiv 30 Juli yang mengaitkan teknik ini dengan 5.742 alamat korban dan sekitar $3,48 juta dalam kerugian historis.

Para penulis menggunakan SimGuard, detektor bytecode kontrak, untuk mengidentifikasi 4.224 kontrak phishing simulasi transaksi di Ethereum, BNB Smart Chain, Avalanche, dan Polygon.

Studi ini mengaitkan mereka dengan 6.223 transaksi korban tetapi menyebutkan estimasi kerugian sebagai batas atas karena beberapa aktivitas pengujian penyerang mungkin telah diklasifikasikan secara keliru. Ini mengatribusikan 91,5% dari kerugian ke Ethereum dan sekitar 83% dari total lintas rantai ke kluster terbesar yang diinduksi.

Temuan ini belum ditinjau oleh rekan sejawat. Makalah ini juga memberikan angka yang tidak konsisten untuk jumlah kontrak Avalanche dan titik akhir yang bertentangan untuk periode pengamatan, meninggalkan rincian per-rantai dan jendela waktu yang tepat tidak terpecahkan.

Bagaimana pratinjau yang terlihat aman dapat menyimpang

Simulasi transaksi mengambil snapshot pra-tanda tangan tentang apa yang diharapkan dilakukan oleh suatu transaksi. Kontrak yang dijelaskan dalam makalah ini mengandung cabang yang dapat menghasilkan satu hasil selama pemeriksaan itu dan hasil lain ketika transaksi dieksekusi di on-chain.

Dalam contoh kontrol penyimpanan, simulasi mengembalikan setoran pengguna ditambah sedikit imbalan. Seorang penyerang kemudian dapat mengubah status kontrak, seperti dengan mem-blacklist alamat pengguna, sebelum transaksi mendarat. Cabang yang dieksekusi mengirimkan setoran ke alamat yang dikendalikan oleh penyerang.

Kontrak berbasis timestamp dapat mengeksploitasi waktu blok yang lebih lambat, sementara kontrak kontrol gas dapat berperilaku berbeda ketika simulator dan transaksi akhir menggunakan batas gas yang berbeda. Oleh karena itu, tidak setiap varian memerlukan penyerang untuk mengubah data yang disimpan di on-chain setelah pratinjau.

Dalam pengujian yang terkontrol, para penulis mengirimkan saldo akun ke kontrak yang mengembalikan sebanyak 1 wei, unit terkecil dari ETH. Mereka melaporkan bahwa beberapa pratinjau yang diuji menampilkan estimasi positif dan sebagian besar tidak menunjukkan jumlah keluar penuh dengan jelas.

Makalah ini tidak mengidentifikasi versi dompet, pengaturan, atau backend simulasi yang digunakan oleh korban historis. Dokumentasi MetaMask saat ini menyebutkan perubahan saldo yang diperkirakan sebagai prediksi dan memperingatkan bahwa hasil akhir tidak dijamin.

Sebuah transaksi Etherscan yang dikutip oleh studi ini mencatat panggilan Claim() yang memindahkan sekitar 143,45 ETH melalui kontrak yang dilabeli Etherscan sebagai phishing. Rekaman on-chain mendukung transfer yang dijelaskan dalam makalah ini, meskipun tidak dapat menunjukkan apa yang muncul di pratinjau dompet pengguna.

Para penulis merekomendasikan untuk menjalankan kembali simulasi ketika status kontrak yang relevan atau bidang gas berubah, menggunakan batas gas dan harga gas dalam permintaan aktual, dan menguji input nomor blok dan timestamp saat ini dan mendatang. Temuan UI mereka juga mendukung menunjukkan jumlah bruto yang keluar dari dompet bersama dengan perubahan saldo bersih yang akurat, sehingga pengembalian yang tidak signifikan tidak dapat disalahartikan sebagai keuntungan.

Preprint ini menggambarkan aktivitas historis, bukan gelombang serangan langsung Juli atau Agustus. Evaluasi detektornya mencakup 44 kontrak, termasuk 30 yang dihasilkan dengan Gemini, dan repositori kode-dan-data yang terhubung mengembalikan HTTP 401 saat diperiksa.

Hasil agregat tersebut tetap merupakan temuan para penulis daripada pengukuran yang direproduksi secara independen.

Konten ini disediakan hanya untuk tujuan informasi umum dan bukan merupakan nasihat keuangan, investasi, hukum, atau pajak. Setiap acara, reward, promosi online, atau informasi terkait yang disebutkan di sini tidak boleh dianggap sebagai rekomendasi, ajakan, atau undangan untuk membeli, menjual, memperdagangkan, atau melakukan transaksi aset kripto apa pun. Aset kripto sangat fluktuatif dan dapat mengakibatkan kerugian. Ketersediaan layanan, produk, dan acara terkait WEEX dapat berbeda-beda di setiap wilayah. Anda bertanggung jawab untuk memastikan bahwa partisipasi Anda sesuai dengan hukum dan peraturan setempat yang berlaku.