Um novo estudo acadêmico identificou 65.340 casos de uso indevido de endereços em Ethereum (ETH) e BNB Chain, associados a mais de US$ 574,8 milhões em perdas de criptoativos.
Principais destaques:
- Os pesquisadores encontraram 49.344 casos de uso indevido de contas‑contrato e 15.996 casos envolvendo contas externas em Ethereum e BNB Chain.
- As perdas somaram cerca de 127.000 ETH e 17.700 BNB (BNB), com o sistema de detecção atingindo precisão de 99,11%.
- Agentes maliciosos exploraram reutilização de endereços entre redes (cross‑chain) e o EIP‑7702 para capturar fundos enviados a endereços inseguros.
Perdas com endereços Ethereum
Publicado nos anais do 35º Simpósio de Segurança da USENIX, o estudo baseia‑se em dados coletados por pesquisadores da Sun Yat-sen University, Universidade de Zhejiang, Universidade de Pequim e outras instituições. O trabalho identificou 49.344 casos de uso indevido de contas‑contrato, envolvendo 22.738,41 ETH e 8.681,41 BNB, além de 15.996 casos com contas de propriedade externa, que somaram 104.244,53 ETH e 9.045,29 BNB.
O problema frequentemente começava com endereços de teste copiados de forma imprudente. Um endereço de router da Uniswap V2 usado na testnet Sepolia do Ethereum apareceu em posts no Stack Exchange com mais de 102.000 visualizações, mas esse mesmo endereço não tinha código de contrato implantado na mainnet à época.
As transações, porém, não eram revertidas. Sem código executável no destino, as chamadas de função eram tratadas como simples transferências, deixando o ETH enviado “preso” em vez de gerar falha, como os usuários esperavam.
Os pesquisadores analisaram cerca de 2,5 milhões de transações em Ethereum e BNB Smart Chain e reportaram precisão global de 99,11% para o sistema de detecção. A exposição de chaves privadas adicionou uma camada extra de risco.
Veja também: CZ transfere US$ 965 mil para a Giggle Academy enquanto fundador da Binance foca em educação
Riscos do EIP‑7702 no Ethereum
Os atacantes foram além de esperar por erros dos usuários. Em 469 casos de uso indevido de contas‑contrato, eles reutilizaram endereços entre diferentes redes para implantar contratos maliciosos em locais onde fundos haviam ficado presos, gerando perdas de 3.446,37 ETH e 431,79 BNB.
Outros 17.270 casos envolveram o EIP‑7702. A proposta permite que uma conta de propriedade externa delegue direitos de execução a um contrato inteligente. Os pesquisadores detectaram invasores usando chaves expostas para delegar contas comprometidas a contratos maliciosos que varriam automaticamente os fundos recebidos, causando perdas de 25,86 ETH e 33,45 BNB.
Os autores do estudo recomendam que os usuários verifiquem sempre a rede ativa, sigam a documentação oficial de cada projeto e mantenham contas de teste totalmente separadas dos fundos em produção.
Eles defendem ainda a implementação de alertas quando a carteira identificar um endereço sem código de contrato na rede atual ou marcado por ter chave privada já exposta.
O EIP‑7702 foi introduzido com a atualização Pectra do Ethereum para oferecer às contas de propriedade externa capacidades de contrato inteligente mais flexíveis por meio de execução delegada. Na prática, isso pode transformar uma antiga exposição de chave privada — antes um erro operacional isolado — em um vetor de ataque mais rápido e automatizado.
Leia a seguir: Receita anualizada de US$ 40 bi da OpenAI reforça expectativa de estreia em Wall Street
