Các nhà nghiên cứu vừa phát hiện 4.200 hợp đồng thông minh độc hại đã thành công trong việc lừa 5.700 nạn nhân ký nhượng quyền tiền điện tử của họ

Mô phỏng các giao dịch bằng cách sử dụng các công cụ an toàn bên trong ví tiền điện tử có thể cho thấy một lợi nhuận nhỏ ngay cả khi giao dịch cuối cùng gửi tiền gửi của người dùng đến một kẻ tấn công, theo một bản in trước trên arXiv vào ngày 30 tháng 7 liên kết kỹ thuật này với 5.742 địa chỉ nạn nhân và khoảng 3,48 triệu đô la trong các khoản lỗ lịch sử.

Các tác giả đã sử dụng SimGuard, một công cụ phát hiện mã byte hợp đồng, để xác định 4.224 hợp đồng lừa đảo mô phỏng giao dịch trên Ethereum, BNB Smart Chain, Avalanche và Polygon.

Nghiên cứu đã liên kết chúng với 6.223 giao dịch của nạn nhân nhưng gọi ước tính thiệt hại là một giới hạn trên vì một số hoạt động thử nghiệm của kẻ tấn công có thể đã bị phân loại sai. Nó quy cho 91,5% các khoản lỗ cho Ethereum và khoảng 83% tổng số liên chuỗi cho cụm lớn nhất được suy ra của nó.

Các phát hiện chưa được đánh giá ngang hàng. Bài báo cũng đưa ra các con số không nhất quán cho số lượng hợp đồng Avalanche và các điểm kết thúc mâu thuẫn cho khoảng thời gian quan sát, để lại sự phân tích theo chuỗi và khoảng thời gian chính xác chưa được giải quyết.

Cách một bản xem trước trông an toàn có thể khác biệt

Mô phỏng giao dịch lấy một ảnh chụp trước khi ký của những gì một giao dịch dự kiến sẽ làm. Các hợp đồng được mô tả trong bài báo chứa các nhánh có thể tạo ra một kết quả trong quá trình kiểm tra và một kết quả khác khi giao dịch được thực hiện trên chuỗi.

Trong một ví dụ về kiểm soát lưu trữ, mô phỏng trả lại tiền gửi của người dùng cộng với một phần thưởng nhỏ. Một kẻ tấn công có thể sau đó thay đổi trạng thái của hợp đồng, chẳng hạn như bằng cách đưa địa chỉ của người dùng vào danh sách đen, trước khi giao dịch diễn ra. Nhánh đã thực hiện gửi tiền gửi đến một địa chỉ do kẻ tấn công kiểm soát thay vì.

Các hợp đồng dựa trên dấu thời gian có thể khai thác thời gian khối sau, trong khi các hợp đồng kiểm soát gas có thể hành xử khác nhau khi bộ mô phỏng và giao dịch cuối cùng sử dụng các giới hạn gas khác nhau. Do đó, không phải mọi biến thể đều yêu cầu một kẻ tấn công thay đổi dữ liệu trên chuỗi đã lưu trữ sau khi xem trước.

Trong một thử nghiệm có kiểm soát, các tác giả đã gửi số dư của một tài khoản đến một hợp đồng trả lại ít nhất 1 wei, đơn vị nhỏ nhất của ETH. Họ báo cáo rằng một số bản xem trước đã thử nghiệm hiển thị ước tính tích cực và hầu hết không rõ ràng cho thấy toàn bộ số tiền ra đi.

Bài báo không xác định các phiên bản ví, cài đặt hoặc các nền tảng mô phỏng được sử dụng bởi các nạn nhân lịch sử. Tài liệu hiện tại của MetaMask gọi các thay đổi số dư ước tính là dự đoán và cảnh báo rằng kết quả cuối cùng không được đảm bảo.

Một giao dịch Etherscan vào ngày 8 tháng 1 năm 2025 được nghiên cứu trích dẫn ghi lại một cuộc gọi Claim() chuyển khoảng 143,45 ETH qua một hợp đồng mà Etherscan gán nhãn là lừa đảo. Hồ sơ trên chuỗi hỗ trợ việc chuyển giao được mô tả trong bài báo, mặc dù không thể cho thấy điều gì đã xuất hiện trong bản xem trước ví của người dùng.

Các tác giả khuyến nghị chạy lại các mô phỏng khi trạng thái hợp đồng liên quan hoặc các trường gas thay đổi, sử dụng giới hạn gas và giá gas trong yêu cầu thực tế, và kiểm tra các đầu vào số khối và dấu thời gian hiện tại và tương lai. Các phát hiện của họ về giao diện người dùng cũng hỗ trợ việc hiển thị tổng số tiền rời khỏi ví cùng với sự thay đổi số dư ròng chính xác, để một khoản hoàn trả không đáng kể không thể bị nhầm lẫn với một khoản lợi nhuận.

Bản in trước mô tả hoạt động lịch sử, không phải là một làn sóng tấn công trực tiếp vào tháng 7 hoặc tháng 8. Đánh giá công cụ phát hiện của họ đã bao gồm 44 hợp đồng, bao gồm 30 hợp đồng được tạo ra với Gemini, và kho mã và dữ liệu liên kết đã trả về HTTP 401 khi được kiểm tra.

Do đó, các kết quả tổng hợp vẫn là phát hiện của các tác giả chứ không phải là một phép đo được tái tạo độc lập.

Nội dung này chỉ được đưa ra nhằm mục đích cung cấp thông tin chung, không phải là lời khuyên về tài chính, đầu tư, pháp lý hoặc thuế. Mọi sự kiện, phần thưởng, ưu đãi trực tuyến hoặc thông tin liên quan được đề cập trong nội dung này không được xem là khuyến nghị, chào mời hoặc lời mời mua, bán, giao dịch hoặc thực hiện bất kỳ hoạt động nào khác liên quan đến tài sản crypto. Tài sản crypto có độ biến động cao và có thể dẫn đến thua lỗ.Tính khả dụng của các dịch vụ, sản phẩm và sự kiện liên quan của WEEX có thể khác nhau tùy theo khu vực. Bạn có trách nhiệm bảo đảm việc tham gia của mình tuân thủ các luật và quy định hiện hành tại địa phương.