นักวิจัยเพิ่งค้นพบสมาร์ตคอนแทรกต์อันตราย 4,200 รายการ ที่หลอกเหยื่อ 5,700 รายให้เซ็นธุรกรรมจนสูญเสีย crypto

การจำลองการโอนโดยใช้เครื่องมือความปลอดภัยภายในกระเป๋า crypto อาจแสดงกำไรเล็กน้อย ทั้งที่ธุรกรรมสุดท้ายส่งเงินฝากของผู้ใช้ไปยังผู้โจมตี ตามพรีพรินต์บน arXiv ลงวันที่ 30 กรกฎาคม ซึ่งเชื่อมโยงเทคนิคนี้กับแอดเดรสของเหยื่อ 5,742 ราย และความเสียหายในอดีตราว 3.48 ล้านดอลลาร์

ผู้เขียนใช้ SimGuard ซึ่งเป็นตัวตรวจจับ bytecode ของสมาร์ตคอนแทรกต์ เพื่อระบุสมาร์ตคอนแทรกต์ฟิชชิงที่ใช้การจำลองธุรกรรม 4,224 รายการบน ethereum, BNB Smart Chain, Avalanche และ Polygon

การศึกษานี้เชื่อมโยงสมาร์ตคอนแทรกต์เหล่านี้กับธุรกรรมของเหยื่อ 6,223 รายการ แต่ระบุว่าประมาณการความเสียหายเป็นค่าประมาณขอบเขตบน เพราะกิจกรรมทดสอบบางส่วนของผู้โจมตีอาจถูกจัดประเภทผิด การศึกษาระบุว่า 91.5% ของความเสียหายเกิดบน ethereum และประมาณ 83% ของยอดรวมข้ามเชนมาจากคลัสเตอร์ที่อนุมานได้ซึ่งมีขนาดใหญ่ที่สุด

ข้อค้นพบนี้ยังไม่ได้รับการตรวจสอบโดยผู้ทรงคุณวุฒิ งานวิจัยยังให้ตัวเลขที่ไม่สอดคล้องกันเกี่ยวกับจำนวนสมาร์ตคอนแทรกต์บน Avalanche และระบุจุดเริ่มต้นกับจุดสิ้นสุดของช่วงสังเกตการณ์ไม่ตรงกัน ทำให้รายละเอียดแยกตามเชนและกรอบเวลาที่แน่นอนยังไม่เป็นที่ยุติ

พรีวิวที่ดูปลอดภัยอาจให้ผลต่างกันได้อย่างไร

การจำลองธุรกรรมจะสร้างภาพสถานะก่อนการเซ็น เพื่อแสดงผลที่คาดว่าธุรกรรมจะก่อให้เกิด สมาร์ตคอนแทรกต์ตามที่อธิบายในงานมีแขนงการทำงานที่อาจให้ผลลัพธ์หนึ่งระหว่างการตรวจสอบ และให้อีกผลลัพธ์เมื่อธุรกรรมทำงานบนเชน

ในตัวอย่างการควบคุมพื้นที่จัดเก็บข้อมูล การจำลองจะคืนเงินฝากของผู้ใช้พร้อมรางวัลเล็กน้อย จากนั้นผู้โจมตีสามารถเปลี่ยนสถานะของคอนแทรกต์ เช่น ขึ้นบัญชีดำแอดเดรสของผู้ใช้ ก่อนที่ธุรกรรมจะถูกบันทึกบนเชนได้ แขนงที่ทำงานจริงจะส่งเงินฝากไปยังแอดเดรสที่ผู้โจมตีควบคุมแทน

สมาร์ตคอนแทรกต์ที่อิง timestamp อาจใช้ประโยชน์จากเวลาในบล็อกที่มาถึงภายหลัง ขณะที่สมาร์ตคอนแทรกต์ควบคุม gas อาจทำงานต่างกันเมื่อเครื่องจำลองและธุรกรรมสุดท้ายใช้ gas limit ไม่เท่ากัน ดังนั้น ไม่ใช่ทุกรูปแบบที่จะต้องให้ผู้โจมตีแก้ไขข้อมูลที่จัดเก็บบนเชนหลังการพรีวิว

ในการทดสอบแบบควบคุม ผู้เขียนส่งยอดคงเหลือของแอคเคานต์ไปยังสมาร์ตคอนแทรกต์ที่คืนกลับมาเพียง 1 wei ซึ่งเป็นหน่วยที่เล็กที่สุดของ ETH ได้ พวกเขารายงานว่าพรีวิวที่ทดสอบหลายรายการแสดงค่าประมาณเป็นบวก และส่วนใหญ่ก็ไม่ได้แสดงยอดเงินที่ออกไปทั้งหมดอย่างชัดเจน

งานวิจัยไม่ได้ระบุเวอร์ชันของกระเป๋า การตั้งค่า หรือแบ็กเอนด์การจำลองที่เหยื่อในอดีตใช้ เอกสารปัจจุบันของ MetaMask เรียกการเปลี่ยนแปลงยอดคงเหลือโดยประมาณว่าเป็นการคาดการณ์ และเตือนว่าผลลัพธ์สุดท้ายไม่รับประกัน

ธุรกรรมบน Etherscan ลงวันที่ 8 ม.ค. 2025 ซึ่งการศึกษานี้อ้างถึง บันทึกการเรียก Claim() ที่โอนประมาณ 143.45 ETH ผ่านสมาร์ตคอนแทรกต์ที่ Etherscan ระบุว่าเป็นฟิชชิง บันทึกบนเชนสนับสนุนการโอนที่อธิบายในงาน แม้จะไม่สามารถแสดงได้ว่าสิ่งใดปรากฏในพรีวิวกระเป๋าของผู้ใช้

ผู้เขียนแนะนำให้เรียกใช้การจำลองซ้ำเมื่อสถานะของสมาร์ตคอนแทรกต์หรือฟิลด์ gas ที่เกี่ยวข้องเปลี่ยนแปลง ใช้ gas limit และราคา gasตามคำขอจริง และทดสอบค่าอินพุตหมายเลขบล็อกและ timestamp ทั้งในปัจจุบันและอนาคต ผลการศึกษาด้าน UI ยังสนับสนุนให้แสดงยอดรวมที่ออกจากกระเป๋าควบคู่กับการเปลี่ยนแปลงยอดคงเหลือสุทธิที่ถูกต้อง เพื่อไม่ให้การคืนเงินเพียงเล็กน้อยถูกเข้าใจผิดว่าเป็นกำไร

พรีพรินต์นี้อธิบายกิจกรรมในอดีต ไม่ใช่คลื่นการโจมตีที่กำลังเกิดขึ้นในเดือนกรกฎาคมหรือสิงหาคม ตัวตรวจจับของงานได้รับการประเมินกับสมาร์ตคอนแทรกต์ 44 รายการ รวมถึง 30 รายการที่สร้างด้วย Gemini และคลังโค้ดและข้อมูลตามลิงก์ตอบกลับเป็น HTTP 401 เมื่อตรวจสอบ

ดังนั้น ผลลัพธ์โดยรวมยังคงเป็นข้อค้นพบของผู้เขียน ไม่ใช่ผลการวัดที่มีการทำซ้ำโดยอิสระ