Estudio encuentra que se perdieron $575 millones debido a errores en direcciones de Ethereum y BNB Chain
Un nuevo estudio académico ha identificado 65,340 casos de uso indebido de direcciones de alto riesgo en Ethereum y BNB Chain, vinculados a aproximadamente $574.8 millones en criptomonedas perdidas.
La investigación muestra cómo errores ordinarios que involucran direcciones de testnet, direcciones de contratos reutilizadas y claves privadas expuestas pueden convertirse en pérdidas permanentes, mientras que herramientas más nuevas como EIP-7702 le dan a los atacantes otra forma de explotarlas.
Los Errores de Dirección Representan Millones en Pérdidas
El estudio, liderado por investigadores de la Universidad Sun Yat-sen, la Universidad de Zhejiang, la Universidad de Pekín y otras instituciones, describe dos formas de uso indebido de direcciones: Uso Indebido de Cuenta de Contrato (CA) y Uso Indebido de Cuenta Propietaria Externa (EOA).
El uso indebido de CA ocurre cuando los usuarios tratan una dirección no contractual como si existiera un contrato inteligente allí. Los investigadores encontraron 49,344 tales casos, involucrando 22,738.41 ETH y 8,681.41 BNB en pérdidas.
Un ejemplo involucró una dirección de enrutador de Uniswap V2 ampliamente utilizada en la testnet Sepolia de Ethereum. La dirección tuvo más de 102,000 vistas en publicaciones de Stack Exchange y se utilizó con frecuencia para pruebas, pero en la mainnet de Ethereum, no tenía código de contrato en ese momento, sin embargo, los usuarios aún enviaron llamadas de función y ETH a ella. Las transacciones se realizaron como transferencias simples, dejando los fondos atrapados.
El uso indebido de EOA representó otros 15,996 casos, que involucraron direcciones cuyas claves privadas habían sido expuestas, a menudo a través de repositorios de código públicos o sitios de preguntas y respuestas para desarrolladores. El estudio encontró pérdidas de 104,224.53 ETH y 9,045.29 BNB.
Los investigadores examinaron más de 10 millones de direcciones candidatas y 16 millones de claves privadas expuestas, luego analizaron alrededor de 2.5 millones de transacciones en Ethereum y BSC. Las verificaciones manuales dieron al sistema de detección una precisión general del 99.11%.
El estudio también encontró que los atacantes explotan activamente estos errores. En 469 casos de uso indebido de CA, los atacantes utilizaron la reutilización de direcciones entre cadenas para colocar contratos maliciosos en direcciones donde los usuarios ya habían atrapado fondos, resultando en pérdidas de 3,446.37 ETH y 431.79 BNB.
Otros 17,270 casos involucraron EIP-7702, que permite a una cuenta de propiedad externa delegar la ejecución a un contrato inteligente. Los investigadores encontraron que los atacantes utilizaban el mecanismo para controlar cuentas expuestas y redirigir automáticamente los fondos entrantes.
Por qué las Direcciones Familiares Pueden Convertirse en una Trampa
Los hallazgos añaden un tipo diferente de riesgo a los problemas de seguridad que ya afectan a las criptomonedas este año. Un informe de Blockaid publicado el 1 de agosto encontró $1.1 mil millones robados en 212 incidentes durante la primera mitad de 2026, con tres ataques separados que causaron más de $35 millones en pérdidas ocurriendo en un solo día a finales de julio.
El estudio sobre el uso indebido de direcciones señala un problema menos obvio: una transacción puede tener éxito mientras aún produce una pérdida. Los usuarios pueden asumir que una transacción exitosa significa que interactuaron con el contrato previsto, incluso cuando la dirección no tiene código en esa red particular.
Según los investigadores, las personas deben verificar la red antes de usar una dirección y confiar en la documentación oficial del proyecto, manteniendo las cuentas de prueba alejadas de los fondos de producción.
También pidieron que las billeteras adviertan a los usuarios cuando una dirección no tiene código de contrato en la cadena actual o tiene una clave privada expuesta conocida.
Fuente: CryptoPotato