Pesquisadores descobrem 4.200 contratos inteligentes maliciosos que enganaram 5.700 vítimas a assinarem suas criptomoedas

Simular transferências usando ferramentas de segurança dentro de carteiras de criptomoedas pode mostrar um pequeno ganho, mesmo quando a transação final envia o depósito do usuário para um atacante, de acordo com um preprint do arXiv de 30 de julho que relaciona a técnica a 5.742 endereços de vítimas e cerca de $3,48 milhões em perdas históricas.

Os autores usaram o SimGuard, um detector de bytecode de contrato, para identificar 4.224 contratos de phishing de simulação de transações em Ethereum, BNB Smart Chain, Avalanche e Polygon.

O estudo associou-os a 6.223 transações de vítimas, mas chamou a estimativa de perda de um limite superior, pois algumas atividades de teste do atacante podem ter sido classificadas incorretamente. Atribuiu 91,5% das perdas ao Ethereum e cerca de 83% do total entre cadeias ao seu maior cluster inferido.

As descobertas não foram revisadas por pares. O artigo também apresenta números inconsistentes para sua contagem de contratos Avalanche e pontos finais conflitantes para o período de observação, deixando sua divisão por cadeia e janela de tempo exata não resolvidas.

Como uma prévia que parece segura pode divergir

A simulação de transação tira uma captura de tela pré-assinada do que se espera que uma transação faça. Os contratos descritos no artigo contêm ramificações que podem produzir um resultado durante essa verificação e outro quando a transação é executada na cadeia.

Em um exemplo de controle de armazenamento, a simulação retorna o depósito do usuário mais uma pequena recompensa. Um atacante pode então mudar o estado do contrato, como colocando o endereço do usuário em uma lista negra, antes que a transação seja concluída. A ramificação executada envia o depósito para um endereço controlado pelo atacante.

Contratos baseados em timestamp podem explorar o tempo de bloco posterior, enquanto contratos de controle de gás podem se comportar de maneira diferente quando o simulador e a transação final usam limites de gás diferentes. Portanto, nem toda variante exige que um atacante altere os dados armazenados na cadeia após a prévia.

Em um teste controlado, os autores enviaram o saldo de uma conta para um contrato que retornou tão pouco quanto 1 wei, a menor unidade de ETH. Eles relataram que várias prévias testadas exibiram uma estimativa positiva e a maioria não mostrou claramente o valor total de saída.

O artigo não identifica as versões de carteira, configurações ou backends de simulação usados pelas vítimas históricas. A documentação atual do MetaMask chama as mudanças de saldo estimadas de previsões e alerta que o resultado final não é garantido.

Uma transação do Etherscan de 8 de janeiro de 2025 citada pelo estudo registra uma chamada Claim() movendo cerca de 143,45 ETH através de um contrato que o Etherscan rotula como phishing. O registro na cadeia apoia a transferência descrita no artigo, embora não possa mostrar o que apareceu na prévia da carteira do usuário.

Os autores recomendam reexecutar simulações quando o estado do contrato relevante ou os campos de gás mudarem, usando o limite de gás e o preço do gás na solicitação real, e testando entradas de número de bloco e timestamp atuais e futuras. As descobertas da interface do usuário também apoiam a exibição do valor bruto saindo de uma carteira junto com uma mudança de saldo líquido precisa, para que um reembolso insignificante não possa ser confundido com um lucro.

O preprint descreve atividades históricas, não uma onda de ataque ao vivo em julho ou agosto. Sua avaliação do detector cobriu 44 contratos, incluindo 30 gerados com a Gemini, e o repositório de código e dados vinculado retornou HTTP 401 quando verificado.

Os resultados agregados, portanto, permanecem como as descobertas dos autores, em vez de uma medição reproduzida de forma independente.

Este conteúdo é fornecido apenas para fins informativos gerais e não constitui aconselhamento financeiro, de investimento, jurídico ou tributário. Quaisquer eventos, recompensas, promoções online ou informações relacionadas mencionadas neste documento não devem ser consideradas uma recomendação, solicitação ou convite para comprar, vender, negociar ou realizar qualquer outra transação com criptoativos. Criptoativos são altamente voláteis e podem resultar em perdas. A disponibilidade dos serviços, produtos e eventos relacionados da WEEX pode variar conforme a região. É de sua responsabilidade garantir que sua participação esteja em conformidade com as leis e regulamentações locais aplicáveis.