Introduzione
Uno studio presentato al USENIX Security ’26 ha identificato 65.340 indirizzi ad alto rischio su Ethereum e BNB Smart Chain, collegandoli a perdite di 126.982,94 ETH e 17.726,7 BNB in token nativi. Il documento, presentato al 35° Simposio di Sicurezza USENIX a Baltimora, stima il valore di queste perdite in dollari a oltre 574,8 milioni. È importante contestualizzare questa cifra: i ricercatori hanno valutato le perdite in token utilizzando prezzi di riferimento di 4.408 dollari per ETH e 847 dollari per BNB, piuttosto che i prezzi al momento di ogni transazione. Descrivono i loro risultati come un “limite inferiore conservativo”, poiché l’analisi si concentra solo su ETH e BNB nativi sulle due reti e potrebbe trascurare casi meno evidenti.
Tipologie di Abuso degli Indirizzi
I ricercatori hanno suddiviso l'”Abuso degli Indirizzi” in due categorie:
- Abuso degli Account di Contratto: Si verifica quando gli utenti trattano un indirizzo senza codice di contratto distribuito come se fosse un indirizzo di contratto. Lo studio ha identificato 49.344 tali istanze, associate a perdite di 22.738,41 ETH e 8.681,41 BNB.
- Abuso degli Account di Proprietà Esterna (EOA): Coinvolge indirizzi le cui chiavi private sono esposte o mostrano segni evidenti di compromissione del controllo on-chain. I ricercatori hanno identificato 15.996 istanze di abuso di EOA, associate a perdite di 104.244,53 ETH e 9.045,29 BNB. Più del 95% delle perdite da abuso di EOA provenivano dal sottotipo di chiave esposta su GitHub.
Attacchi Identificati
Il primo attacco descritto sfrutta la creazione deterministica degli indirizzi di contratto. Gli aggressori possono promuovere un indirizzo di contratto su una testnet, aspettare che gli utenti inviino erroneamente fondi della mainnet all’indirizzo corrispondente senza codice, e successivamente distribuire codice di prelievo nello stesso luogo. I ricercatori hanno collegato 469 contratti malevoli a perdite di 3.446,37 ETH e 431,79 BNB.
Il secondo attacco utilizza EIP-7702 contro account con chiavi private già esposte. Gli aggressori delegano quegli EOA a codice malevolo che preleva automaticamente i fondi in entrata. Il documento ha trovato 17.270 casi, producendo perdite di 25,86 ETH e 33,45 BNB. Utilizzando i prezzi di riferimento del documento, i due nuovi vettori descritti insieme rappresentano circa 15,7 milioni di dollari.
Metodologia di Analisi
Il team ha analizzato 63.004 repository GitHub creati tra gennaio 2015 e maggio 2025, estraendo 10,3 milioni di indirizzi candidati unici e 16,3 milioni di chiavi private dopo deduplicazione. Ha anche utilizzato dati di Ethereum Stack Exchange e Stack Overflow prima di analizzare le transazioni su Ethereum e BNB Smart Chain. I ricercatori hanno campionato manualmente i risultati e riportato una precisione di rilevamento complessiva del 99,11%. Ciò non significa che ciascuna delle 65.340 istanze sia stata verificata manualmente. Gli autori riconoscono la possibilità di falsi positivi euristici e dati incompleti, mentre ERC-20, NFT e altre catene sono escluse dal calcolo delle perdite principali.
Raccomandazioni e Conclusioni
Le linee guida ufficiali di Ethereum avvertono che la delega malevola di EIP-7702 può dare al codice di contratto ostile il controllo sugli asset. Uno studio separato del USENIX Security ’26 ha trovato che oltre il 63% delle transazioni di autorizzazione EIP-7702 analizzate erano associate ad attacchi malevoli mirati a EOA, identificando 924 account di contratto malevoli su sette catene supportate. Come riportato in precedenza, le deleghe EIP-7702 sono state collegate ad attività automatizzate di drenaggio di portafogli dopo l’aggiornamento Pectra di Ethereum. In una copertura correlata, gli aggressori hanno successivamente drenato circa 3,1 milioni di dollari dagli utenti di Polymarket attraverso phishing e esecuzione delegata malevola.
Gli autori raccomandano avvisi per portafogli per chiavi esposte note e discrepanze tra contratti cross-chain, una gestione più forte dei segreti per gli sviluppatori e una documentazione più chiara degli indirizzi rispetto alle reti. Propongono anche di considerare identificatori di catena nella futura derivazione degli indirizzi di contratto. Queste sono raccomandazioni di ricerca, non modifiche adottate ai protocolli di Ethereum o BNB Chain. I ricercatori pianificano di espandere il lavoro futuro a ulteriori catene e tipi di token. Fino ad allora, i totali di 126.982,94 ETH e 17.726,7 BNB sono meglio interpretati come perdite di token nativi misurate all’interno dell’ambito definito dello studio, mentre 574,8 milioni di dollari rimane una stima di valutazione standardizzata.
