Sebuah studi akademis terbaru menemukan 65.340 kasus penyalahgunaan alamat di Ethereum (ETH) dan BNB Chain, yang dikaitkan dengan kerugian kripto lebih dari US$574,8 juta.
Poin Penting:
- Peneliti mengidentifikasi 49.344 kasus penyalahgunaan contract account dan 15.996 kasus exposed account di Ethereum dan BNB Chain.
- Total kerugian mencapai sekitar 127.000 ETH dan 17.700 BNB (BNB), sementara sistem deteksi mereka memiliki tingkat presisi 99,11%.
- Pelaku memanfaatkan reuse alamat lintas-chain dan EIP-7702 untuk menyedot dana yang dikirim ke alamat tidak aman.
Kerugian Akibat Alamat Ethereum
Dipublikasikan dalam Proceedings of the 35th USENIX Security Symposium, studi tersebut berdasarkan data yang dikumpulkan peneliti dari Sun Yat-sen University, Zhejiang University, Peking University dan sejumlah institusi lain. Mereka menemukan 49.344 kasus penyalahgunaan contract account yang melibatkan 22.738,41 ETH dan 8.681,41 BNB, ditambah 15.996 kasus externally owned account (EOA) yang melibatkan 104.244,53 ETH dan 9.045,29 BNB.
Masalah kerap bermula dari alamat uji (test address) yang disalin begitu saja. Alamat router Uniswap V2 yang digunakan di testnet Sepolia Ethereum muncul dalam sejumlah postingan Stack Exchange dengan lebih dari 102.000 tayangan, padahal alamat yang sama tidak memiliki kode kontrak di mainnet pada saat itu.
Transaksi-transaksi tersebut tidak gagal. Karena tidak ada kode eksekusi di alamat tujuan, pemanggilan fungsi yang dikirim ke sana diproses sebagai transfer biasa, sehingga ETH yang dilampirkan justru terjebak alih-alih dibatalkan (revert) seperti yang diasumsikan pengguna.
Para peneliti menganalisis sekitar 2,5 juta transaksi di Ethereum dan BNB Smart Chain dan melaporkan tingkat presisi 99,11% untuk sistem deteksi mereka. Kebocoran private key menambah dimensi risiko yang berbeda.
Baca Juga: CZ Pindahkan $965K ke Giggle Academy Saat Pendiri Binance Alihkan Fokus ke Pendidikan
Risiko EIP-7702 di Ethereum
Pelaku tidak hanya menunggu kesalahan pengguna. Dalam 469 kasus penyalahgunaan contract account, mereka melakukan reuse alamat lintas-chain untuk menerapkan kontrak berbahaya di tempat dana telah terperangkap, memicu kerugian 3.446,37 ETH dan 431,79 BNB.
Sebanyak 17.270 kasus lain berkaitan dengan EIP-7702. Proposal ini memungkinkan externally owned account mendelegasikan hak eksekusi ke smart contract. Peneliti menemukan pelaku menggunakan kunci yang sudah terekspos untuk mendelegasikan akun yang telah dikompromikan ke kontrak berbahaya yang secara otomatis menyapu (sweep) semua dana masuk, menyebabkan kerugian 25,86 ETH dan 33,45 BNB.
Para peneliti mendesak pengguna untuk selalu memverifikasi jaringan yang aktif, merujuk pada dokumentasi resmi proyek, dan memisahkan akun uji (test account) dari dana produksi.
Mereka juga merekomendasikan adanya peringatan ketika wallet mendeteksi alamat tanpa kode kontrak di chain yang sedang digunakan, atau alamat yang telah diketahui terkait private key bocor.
EIP-7702 hadir bersama peningkatan Pectra di Ethereum untuk memberi externally owned account kemampuan smart contract yang lebih fleksibel melalui delegated execution. Di sisi lain, fitur ini dapat mengubah private key yang sudah bocor dari kesalahan operasional lama menjadi jalur serangan yang lebih cepat dan terotomasi.
Baca Selanjutnya: Pendapatan Tahunan Teralisasi US$40 Miliar OpenAI Perkuat Prospek IPO di Wall Street
