研究人員揭露4,200個惡意智能合約，成功欺騙5,700名受害者簽署他們的加密貨幣

根據7月30日的arXiv預印本，使用加密錢包內的安全工具模擬轉帳，即使最終交易將用戶的存款發送給攻擊者，也可能顯示出小幅獲利，該技術與5,742個受害者地址及約348萬美元的歷史損失相關聯。

作者使用SimGuard，一種合約字節碼檢測器，識別出在以太坊、BNB智能鏈、Avalanche和Polygon上共計4,224個交易模擬釣魚合約。

該研究將這些合約與6,223筆受害者交易相關聯，但稱損失估算為上限，因為某些攻擊者測試活動可能被錯誤分類。它將91.5%的損失歸因於以太坊，並將約83%的跨鏈總損失歸因於其最大的推斷集群。

這些發現尚未經過同行評審。該論文還對其Avalanche合約數量提供了不一致的數字，並對觀察期間的端點存在衝突，導致其每鏈的細分和確切時間範圍未解決。

安全外觀的預覽如何偏離

交易模擬會對預期交易進行預簽名快照。論文中描述的合約包含可以在檢查期間產生一個結果，而在交易在鏈上執行時產生另一個結果的分支。

在一個存儲控制的例子中，模擬返回用戶的存款加上一小筆獎勵。然後，攻擊者可以在交易到達之前更改合約的狀態，例如將用戶地址列入黑名單。執行的分支將存款發送到攻擊者控制的地址。

基於時間戳的合約可以利用後面的區塊時間，而氣體控制合約在模擬器和最終交易使用不同的氣體限制時可能表現不同。因此，並非每個變體都需要攻擊者在預覽後更改存儲的鏈上數據。

在一個受控測試中，作者將一個帳戶的餘額發送到一個合約，該合約返回的金額低至1 wei，即ETH的最小單位。他們報告稱，幾個測試的預覽顯示出正估算，而大多數並未清楚顯示全部的外發金額。

該論文未識別歷史受害者使用的錢包版本、設置或模擬後端。MetaMask當前的文檔將估算的餘額變化稱為預測，並警告最終結果並不保證。

研究引用的2025年1月8日Etherscan交易記錄了一個Claim()調用，通過一個Etherscan標記為釣魚的合約轉移了約143.45 ETH。鏈上記錄支持論文中描述的轉移，儘管它無法顯示用戶錢包預覽中出現的內容。

作者建議在相關合約狀態或氣體字段變更時重新運行模擬，使用實際請求中的氣體限制和氣體價格，並測試當前和未來的區塊號和時間戳輸入。他們的用戶界面發現還支持顯示離開錢包的總金額以及準確的淨餘額變化，以便微不足道的退款不會被誤認為利潤。

該預印本描述的是歷史活動，而非7月或8月的實時攻擊波。其檢測器評估涵蓋了44個合約，包括30個由Gemini生成的合約，並且鏈接的代碼和數據庫在檢查時返回HTTP 401。

因此，總體結果仍然是作者的發現，而不是獨立重現的測量。

本內容僅供參考，不構成任何金融、投資、法律或稅務建議。文中提及的任何活動、獎勵、線上活動或相關資訊，不應被視為對購買、出售或交易任何加密資產的推薦、招攬或邀請。加密資產具有高波動性，存在價值損失風險。WEEX服務、產品及相關活動的可用性可能因地區而異。用戶在參與前有責任確保符合當地適用法律法規。