Investigadores descobriram 4.200 contratos inteligentes maliciosos que enganaram 5.700 vítimas a assinar a entrega das suas criptomoedas

Simular transferências usando ferramentas de segurança dentro das carteiras de criptomoedas pode mostrar um pequeno ganho, mesmo quando a transação final envia o depósito do usuário para um atacante, de acordo com um preprint do arXiv de 30 de julho que liga a técnica a 5.742 endereços de vítimas e cerca de 3,48 milhões de dólares em perdas históricas.

Os autores utilizaram o SimGuard, um detector de bytecode de contratos, para identificar 4.224 contratos de phishing de simulação de transações na Ethereum, BNB Smart Chain, Avalanche e Polygon.

O estudo associou-os a 6.223 transações de vítimas, mas chamou a estimativa de perda de um limite superior, pois algumas atividades de teste dos atacantes podem ter sido classificadas incorretamente. Atribuiu 91,5% das perdas à Ethereum e cerca de 83% do total inter-chain ao seu maior cluster inferido.

As descobertas não foram revisadas por pares. O artigo também apresenta números inconsistentes para a contagem de contratos da Avalanche e pontos finais conflitantes para o período de observação, deixando a sua divisão por cadeia e a janela de tempo exata não resolvidas.

Como uma pré-visualização que parece segura pode divergir

A simulação de transações tira uma instantânea pré-assinada do que se espera que uma transação faça. Os contratos descritos no artigo contêm ramificações que podem produzir um resultado durante essa verificação e outro quando a transação é executada na cadeia.

Num exemplo de controle de armazenamento, a simulação retorna o depósito do usuário mais uma pequena recompensa. Um atacante pode então mudar o estado do contrato, como por exemplo, colocando o endereço do usuário na lista negra, antes que a transação seja concluída. A ramificação executada envia o depósito para um endereço controlado pelo atacante.

Contratos baseados em timestamp podem explorar o tempo de bloco posterior, enquanto contratos de controle de gás podem comportar-se de forma diferente quando o simulador e a transação final utilizam limites de gás diferentes. Portanto, nem toda variante requer que um atacante altere os dados armazenados na cadeia após a pré-visualização.

Num teste controlado, os autores enviaram o saldo de uma conta para um contrato que retornou tão pouco quanto 1 wei, a menor unidade de ETH. Relataram que várias pré-visualizações testadas exibiram uma estimativa positiva e a maioria não mostrou claramente o montante total a sair.

O artigo não identifica as versões de carteira, configurações ou backends de simulação utilizados pelas vítimas históricas. A documentação atual da MetaMask chama as mudanças de saldo estimadas de previsões e alerta que o resultado final não é garantido.

Uma transação do Etherscan citada pelo estudo, datada de 8 de janeiro de 2025, regista uma chamada Claim() movendo cerca de 143,45 ETH através de um contrato que o Etherscan rotula como phishing. O registro na cadeia apoia a transferência descrita no artigo, embora não possa mostrar o que apareceu na pré-visualização da carteira do usuário.

Os autores recomendam re-executar simulações quando o estado do contrato relevante ou os campos de gás mudam, utilizando o limite de gás e o preço do gás na solicitação real, e testando entradas de número de bloco e timestamp atuais e futuras. As suas descobertas de UI também apoiam a exibição do montante bruto a sair de uma carteira juntamente com uma mudança de saldo líquido precisa, para que um reembolso insignificante não possa ser confundido com um lucro.

O preprint descreve atividades históricas, não uma onda de ataque ao vivo em julho ou agosto. A avaliação do seu detector cobriu 44 contratos, incluindo 30 gerados com a Gemini, e o repositório de código e dados ligado retornou HTTP 401 quando verificado.

Os resultados agregados permanecem, portanto, como as descobertas dos autores, em vez de uma medição reproduzida de forma independente.

Este conteúdo é disponibilizado apenas para fins informativos gerais e não constitui aconselhamento financeiro, de investimento, jurídico ou fiscal. Quaisquer eventos, recompensas, promoções online ou informações relacionadas aqui mencionados não devem ser interpretados como uma recomendação, solicitação ou convite para comprar, vender, negociar ou realizar quaisquer outras operações com criptoativos. Os criptoativos são altamente voláteis e podem resultar em perdas. A disponibilidade dos serviços, produtos e eventos relacionados da WEEX pode variar consoante a região. O utilizador é responsável por garantir que a sua participação está em conformidade com a legislação e os regulamentos locais aplicáveis.