Исследование USENIX Security ’26 выявило 65 340 экземпляров адресов высокого риска в Ethereum и BNB Smart Chain, связав их с потерями в нативных токенах на сумму 126 982,94 ETH и 17 726,7 BNB.
Резюме
- Исследователи выявили 65 340 экземпляров адресов высокого риска в Ethereum и BNB Chain в ходе своего масштабного исследования.
- Оценочные потери достигли 126 982,94 ETH и 17 726,7 BNB, что, по оценкам исследователей, составляет более 574,8 млн долларов США в целом.
- Исследователи извлекли 16,3 миллиона закрытых ключей из 63 004 репозиториев GitHub для своего набора данных межцепочечного анализа.
- Их система обнаружения достигла точности 99,11% после проверки ручной выборки в обеих анализируемых блокчейн-сетях.
- Два недавно описанных вектора атак использовали детерминированные адреса контрактов и механизм делегированного управления учетными записями EIP-7702.
Документ, представленный на 35-м симпозиуме USENIX Security в Балтиморе, оценивает их долларовую стоимость более чем в 574,8 млн долларов.
Долларовая цифра требует контекста. Исследователи говорят, что они оценили потери токенов, используя справочные цены в 4 408 долларов за ETH и 847 долларов за BNB, а не цены на момент каждой транзакции. Они описывают свои выводы как «консервативную нижнюю границу», поскольку анализ охватывает только нативные ETH и BNB в двух сетях и может упускать менее очевидные случаи.
Неправильное использование адресов Ethereum охватывает риски контрактов и закрытых ключей
Исследователи делят «неправильное использование адресов» на две категории. Неправильное использование аккаунта контракта происходит, когда пользователи рассматривают адрес без развернутого кода контракта как адрес контракта, часто потому, что тот же адрес используется в другом сетевом контексте. Исследование выявило 49 344 таких экземпляра, связанных с потерями в 22 738,41 ETH и 8 681,41 BNB.
Неправильное использование внешне принадлежащего аккаунта включает адреса, чьи закрытые ключи были раскрыты или демонстрируют сильные ончейн-признаки скомпрометированного контроля. Исследователи выявили 15 996 экземпляров неправильного использования EOA, связанных с потерями в 104 244,53 ETH и 9 045,29 BNB. Более 95% потерь от неправильного использования EOA пришлось на подтип с раскрытыми ключами из GitHub.
Два новых вектора атак составляют около 15,7 млн долларов
Первая недавно описанная атака использует детерминированное создание адресов контрактов. Злоумышленники могут продвигать адрес контракта в тестовой сети, ждать, пока пользователи по ошибке отправят средства основной сети на соответствующий адрес без кода, а затем развернуть код вывода в том же месте. Исследователи связали 469 вредоносных контрактов с потерями в 3 446,37 ETH и 431,79 BNB.
Вторая использует EIP-7702 против аккаунтов с уже раскрытыми закрытыми ключами. Злоумышленники делегируют эти EOA вредоносному коду, который автоматически выметает поступающие средства. В документе обнаружено 17 270 случаев, что привело к потерям в 25,86 ETH и 33,45 BNB. Используя справочные цены из документа, два недавно описанных вектора вместе составляют примерно 15,7 млн долларов.
Цифра 99,11% — это точность, а не универсальная проверка
Команда проанализировала 63 004 репозитория GitHub, созданных с января 2015 года по май 2025 года, извлекая 10,3 миллиона уникальных адресов-кандидатов и 16,3 миллиона закрытых ключей после дедупликации. Она также использовала данные Ethereum Stack Exchange и Stack Overflow перед анализом транзакций в Ethereum и BNB Smart Chain.
Исследователи вручную отобрали результаты и сообщили об общей точности обнаружения 99,11%. Это не означает, что каждый из 65 340 экземпляров был индивидуально проверен вручную. Авторы признают возможные ложные срабатывания эвристики и неполные данные, в то время как ERC-20, NFT и другие сети исключены из основных расчетов потерь.
Опасения по поводу безопасности EIP-7702 расширяются
Официальное руководство Ethereum предупреждает, что вредоносная делегация EIP-7702 может предоставить враждебному коду контракта контроль над активами. Отдельное исследование USENIX Security ’26 показало, что более 63% проанализированных транзакций авторизации EIP-7702 были связаны с вредоносными атаками, нацеленными на EOA, и выявило 924 вредоносных контрактных аккаунта в семи поддерживаемых цепочках.
Как сообщалось ранее, делегации EIP-7702 были связаны с автоматизированной активностью по опустошению кошельков после обновления Pectra в Ethereum. В связанном материале злоумышленники позже вывели около 3,1 миллиона долларов у пользователей Polymarket через фишинг и вредоносное делегированное выполнение.
Авторы рекомендуют предупреждения в кошельках для известных скомпрометированных ключей и несоответствий контрактов между цепочками, более надежное управление секретами для разработчиков и более четкую документацию по адресам и сетям. Они также предлагают рассмотреть включение идентификаторов цепочек в будущее формирование адресов контрактов. Это исследовательские рекомендации, а не принятые изменения протокола Ethereum или BNB Chain.
Исследователи планируют расширить будущую работу на дополнительные цепочки и типы токенов. До тех пор суммы в 126 982,94 ETH и 17 726,7 BNB лучше всего рассматривать как измеренные потери нативных токенов в рамках определенной области исследования, в то время как 574,8 миллиона долларов остаются стандартизированной оценочной стоимостью.
