Einführung
Eine Studie der USENIX Security ’26 hat 65.340 hochriskante Adressen auf Ethereum und der BNB Smart Chain identifiziert, die mit Verlusten von 126.982,94 ETH und 17.726,7 BNB in nativen Token verbunden sind. Das Papier, das auf dem 35. USENIX Security Symposium in Baltimore präsentiert wurde, schätzt den Dollarwert dieser Verluste auf mehr als 574,8 Millionen Dollar.
Kontext der Verluste
Diese Zahl benötigt jedoch Kontext: Die Forscher geben an, dass sie die Tokenverluste unter Verwendung von Referenzpreisen von 4.408 Dollar pro ETH und 847 Dollar pro BNB bewertet haben, anstatt der Preise zum Zeitpunkt jeder Transaktion. Sie beschreiben ihre Ergebnisse als eine „konservative Untergrenze“, da die Analyse nur native ETH und BNB auf den beiden Netzwerken abdeckt und weniger offensichtliche Fälle möglicherweise nicht erfasst wurden.
Kategorien des Adressmissbrauchs
Die Forscher unterteilen den „Adressmissbrauch“ in zwei Kategorien:
- Missbrauch von Vertragskonten: Tritt auf, wenn Benutzer eine Adresse ohne bereitgestellten Vertragscode als Vertragsadresse behandeln. Die Studie identifizierte 49.344 solcher Fälle, die mit Verlusten von 22.738,41 ETH und 8.681,41 BNB verbunden sind.
- Missbrauch von externen Konten: Umfasst Adressen, deren private Schlüssel exponiert sind oder starke Anzeichen für eine kompromittierte Kontrolle aufweisen. Die Forscher identifizierten 15.996 Fälle von EOA-Missbrauch, die mit Verlusten von 104.244,53 ETH und 9.045,29 BNB verbunden sind. Mehr als 95 % der EOA-Missbrauchverluste stammen aus der Unterkategorie der GitHub-exponierten Schlüssel.
Neu beschriebene Angriffe
Der erste neu beschriebene Angriff nutzt die deterministische Erstellung von Vertragsadressen. Angreifer können eine Vertragsadresse auf einem Testnetz bewerben, warten, bis Benutzer versehentlich Mittel vom Hauptnetz an die entsprechende No-Code-Adresse senden, und später den Abhebungscode an derselben Stelle bereitstellen. Die Forscher verknüpften 469 bösartige Verträge mit Verlusten von 3.446,37 ETH und 431,79 BNB.
Der zweite Angriff nutzt EIP-7702 gegen Konten mit bereits exponierten privaten Schlüsseln. Angreifer delegieren diese EOAs an bösartigen Code, der automatisch eingehende Mittel abräumt. Das Papier fand 17.270 Fälle, die Verluste von 25,86 ETH und 33,45 BNB produzierten. Unter Verwendung der Referenzpreise des Papiers machen die beiden neu beschriebenen Vektoren zusammen etwa 15,7 Millionen Dollar aus.
Methodik der Studie
Das Team durchsuchte 63.004 GitHub-Repositories, die zwischen Januar 2015 und Mai 2025 erstellt wurden, und extrahierte 10,3 Millionen einzigartige Kandidatenadressen sowie 16,3 Millionen private Schlüssel nach der Duplikatsbereinigung. Es verwendete auch Daten von Ethereum Stack Exchange und Stack Overflow, bevor es Transaktionen auf Ethereum und der BNB Smart Chain analysierte. Die Forscher haben manuell stichprobenartig Ergebnisse überprüft und berichteten eine Gesamtgenauigkeit von 99,11 %.
Das bedeutet jedoch nicht, dass jede der 65.340 Instanzen individuell manuell verifiziert wurde. Die Autoren erkennen mögliche heuristische falsch-positive Ergebnisse und unvollständige Daten an, während ERC-20, NFTs und andere Ketten von der Berechnung der Hauptverluste ausgeschlossen sind.
Warnungen und Empfehlungen
Die offizielle Anleitung von Ethereum warnt, dass bösartige EIP-7702-Delegationen bösartigem Vertragscode die Kontrolle über Vermögenswerte geben können.
Eine separate Studie der USENIX Security ’26 fand heraus, dass mehr als 63 % der analysierten EIP-7702-Autorisierungstransaktionen mit bösartigen EOA-zielgerichteten Angriffen verbunden waren und identifizierte 924 bösartige Vertragskonten über sieben unterstützte Ketten. Wie bereits berichtet, wurden EIP-7702-Delegationen mit automatisierten Wallet-Drainage-Aktivitäten nach dem Pectra-Upgrade von Ethereum in Verbindung gebracht. In verwandten Berichten haben Angreifer später etwa 3,1 Millionen Dollar von Polymarket-Nutzern durch Phishing und bösartige delegierte Ausführung abgezogen.
Fazit und Ausblick
Die Autoren empfehlen Wallet-Warnungen für bekannte exponierte Schlüssel und Cross-Chain-Vertragsunterschiede, ein stärkeres Geheimnismanagement für Entwickler sowie klarere Dokumentationen zu Adressen und Netzwerken. Sie schlagen auch vor, Kettenidentifikatoren bei zukünftigen Ableitungen von Vertragsadressen zu berücksichtigen. Dies sind Forschungsempfehlungen und keine angenommenen Änderungen des Ethereum- oder BNB Chain-Protokolls.
Die Forscher planen, zukünftige Arbeiten auf zusätzliche Ketten und Token-Typen auszudehnen. Bis dahin sind die Gesamtzahlen von 126.982,94 ETH und 17.726,7 BNB am besten als gemessene native Tokenverluste im definierten Rahmen der Studie zu verstehen, während 574,8 Millionen Dollar eine standardisierte Bewertungsabschätzung bleibt.
