Un nuovo studio accademico ha identificato 65.340 casi di uso improprio di indirizzi ad alto rischio su Ethereum e BNB Chain, collegati a circa 574,8 milioni di dollari in criptovalute perse.
La ricerca mostra come errori ordinari che coinvolgono indirizzi di testnet, indirizzi di contratto riutilizzati e chiavi private esposte possano diventare perdite permanenti, mentre strumenti più recenti come EIP-7702 offrono agli attaccanti un altro modo per sfruttarli.
Gli Errori di Indirizzo Rappresentano Milioni di Perdite
Lo studio, guidato da ricercatori dell'Università Sun Yat-sen, dell'Università di Zhejiang, dell'Università di Pechino e di altre istituzioni, descrive due forme di uso improprio degli indirizzi: Uso Improprio dell'Account di Contratto (CA) e Uso Improprio dell'Account di Proprietà Esterna (EOA).
L'uso improprio del CA si verifica quando gli utenti trattano un indirizzo non di contratto come se esistesse un contratto intelligente lì. I ricercatori hanno trovato 49.344 di questi casi, coinvolgendo 22.738,41 ETH e 8.681,41 BNB in perdite.
Un esempio ha coinvolto un indirizzo del router Uniswap V2 ampiamente utilizzato sulla testnet Sepolia di Ethereum. L'indirizzo aveva più di 102.000 visualizzazioni nei post di Stack Exchange ed era stato utilizzato frequentemente per test, ma sulla mainnet di Ethereum non aveva codice di contratto al momento, eppure gli utenti continuavano a inviare chiamate di funzione e ETH. Le transazioni sono riuscite come semplici trasferimenti, lasciando i fondi intrappolati.
L'uso improprio dell'EOA ha rappresentato altri 15.996 casi, che coinvolgevano indirizzi le cui chiavi private erano state esposte, spesso attraverso repository di codice pubblici o siti di domande e risposte per sviluppatori. Lo studio ha trovato perdite di 104.224,53 ETH e 9.045,29 BNB.
I ricercatori hanno esaminato più di 10 milioni di indirizzi candidati e 16 milioni di chiavi private esposte, quindi hanno analizzato circa 2,5 milioni di transazioni su Ethereum e BSC. I controlli manuali hanno fornito al sistema di rilevamento una precisione complessiva del 99,11%.
Lo studio ha anche scoperto che gli attaccanti sfruttano attivamente questi errori. In 469 casi di abuso di CA, gli attaccanti hanno utilizzato il riutilizzo degli indirizzi cross-chain per posizionare contratti malevoli in indirizzi dove gli utenti avevano già intrappolato fondi, causando perdite di 3.446,37 ETH e 431,79 BNB.
Altri 17.270 casi hanno coinvolto EIP-7702, che consente a un account di proprietà esterna di delegare l'esecuzione a un contratto intelligente. I ricercatori hanno scoperto che gli attaccanti utilizzavano il meccanismo per controllare account esposti e reindirizzare automaticamente i fondi in arrivo.
Perché gli indirizzi familiari possono diventare una trappola
I risultati aggiungono un diverso tipo di rischio ai problemi di sicurezza che già colpiscono le criptovalute quest'anno. Un rapporto di Blockaid pubblicato il 1° agosto ha trovato 1,1 miliardi di dollari rubati in 212 incidenti durante la prima metà del 2026, con tre attacchi separati che hanno causato perdite superiori a 35 milioni di dollari verificatisi in un giorno alla fine di luglio.
Lo studio sull'abuso degli indirizzi indica un problema meno ovvio: una transazione può avere successo pur producendo una perdita. Gli utenti possono presumere che una transazione riuscita significhi che hanno interagito con il contratto previsto, anche quando l'indirizzo non ha codice su quella particolare rete.
Secondo i ricercatori, le persone dovrebbero controllare la rete prima di utilizzare un indirizzo e fare affidamento sulla documentazione ufficiale del progetto mantenendo i conti di prova lontani dai fondi di produzione.
Hanno anche chiesto che i portafogli avvisino gli utenti quando un indirizzo non ha codice di contratto sulla catena attuale o ha una chiave privata esposta nota.
Fonte: CryptoPotato
