Um novo estudo acadêmico identificou 65.340 casos de uso indevido de endereços de alto risco na Ethereum e na BNB Chain, ligados a cerca de $574,8 milhões em criptomoedas perdidas.
A pesquisa mostra como erros comuns envolvendo endereços de testnet, endereços de contrato reutilizados e chaves privadas expostas podem se tornar perdas permanentes, enquanto ferramentas mais novas, como EIP-7702, oferecem aos atacantes outra maneira de explorá-los.
Erros de Endereço Responsáveis por Milhões em Perdas
O estudo, liderado por pesquisadores da Universidade Sun Yat-sen, Universidade de Zhejiang, Universidade de Pequim e outras instituições, descreve duas formas de uso indevido de endereços: Uso Indevido de Conta de Contrato (CA) e Uso Indevido de Conta de Propriedade Externa (EOA).
O uso indevido de CA acontece quando os usuários tratam um endereço não contratual como se um contrato inteligente existisse lá. Os pesquisadores encontraram 49.344 desses casos, envolvendo 22.738,41 ETH e 8.681,41 BNB em perdas.
Um exemplo envolveu um endereço de roteador Uniswap V2 amplamente utilizado na testnet Sepolia da Ethereum. O endereço teve mais de 102.000 visualizações em postagens do Stack Exchange e foi usado frequentemente para testes, mas na mainnet da Ethereum, não tinha código de contrato na época, ainda assim os usuários enviaram chamadas de função e ETH para ele. As transações foram bem-sucedidas como transferências simples, deixando os fundos presos.
O uso indevido de EOA representou outros 15.996 casos, que envolveram endereços cujas chaves privadas haviam sido expostas, muitas vezes através de repositórios de código públicos ou sites de perguntas e respostas para desenvolvedores. O estudo encontrou perdas de 104.224,53 ETH e 9.045,29 BNB.
Os pesquisadores examinaram mais de 10 milhões de endereços candidatos e 16 milhões de chaves privadas expostas, depois analisaram cerca de 2,5 milhões de transações na Ethereum e BSC. Verificações manuais deram ao sistema de detecção uma precisão geral de 99,11%.
O estudo também descobriu que os atacantes exploram ativamente esses erros. Em 469 casos de uso indevido de CA, os atacantes usaram a reutilização de endereços cross-chain para colocar contratos maliciosos em endereços onde os usuários já haviam preso fundos, resultando em perdas de 3.446,37 ETH e 431,79 BNB.
Outros 17.270 casos envolveram EIP-7702, que permite que uma conta de propriedade externa delegue a execução a um contrato inteligente. Os pesquisadores descobriram que os atacantes usavam o mecanismo para controlar contas expostas e redirecionar automaticamente os fundos recebidos.
Por que Endereços Familiares Podem Se Tornar uma Armadilha
As descobertas adicionam um tipo diferente de risco aos problemas de segurança que já afetam o cripto este ano. Um relatório da Blockaid publicado em 1º de agosto encontrou $1,1 bilhão roubados em 212 incidentes durante a primeira metade de 2026, com três ataques separados que causaram mais de $35 milhões em perdas ocorrendo em um único dia no final de julho.
O estudo sobre o uso indevido de endereços aponta para um problema menos óbvio: uma transação pode ser bem-sucedida enquanto ainda produz uma perda. Os usuários podem assumir que uma transação bem-sucedida significa que interagiram com o contrato pretendido, mesmo quando o endereço não possui código naquela rede específica.
De acordo com os pesquisadores, as pessoas devem verificar a rede antes de usar um endereço e confiar na documentação oficial do projeto, mantendo contas de teste longe de fundos de produção.
Eles também pediram que as carteiras alertassem os usuários quando um endereço não possui código de contrato na cadeia atual ou tem uma chave privada exposta conhecida.
Fonte: CryptoPotato
