Auf der USENIX Security, einer peer-reviewten wissenschaftlichen Konferenz für Computersicherheit, wurde eine Studie vorgestellt, die mehr als 574,8 Millionen USD an Kryptowährungsverlusten dokumentiert, die auf den Missbrauch von Adressen auf Ethereum und BNB Smart Chain zurückgehen.

Durch die Analyse von Blockchain-Aktivitäten untersuchten die Forscher, wie Nutzer mit unsicheren Adressen interagieren. Sie identifizierten 65.340 hochriskante Adressinstanzen, die mit Verlusten von rund 126.983 ETH und 17.727 BNB verbunden waren. Die Studie weist eine Gesamterkennungsgenauigkeit von 99,11 % aus.

Wie Adressmissbrauch zu Verlusten führt

Die Forscher gliedern den Adressmissbrauch in zwei Hauptkategorien: den Missbrauch von Contract Accounts und den Missbrauch von Externally Owned Accounts (EOA).

Beim Missbrauch von Contract Accounts behandeln Nutzer fälschlicherweise eine Nicht-Vertragsadresse als Smart-Contract-Adresse. Der Missbrauch von EOAs umfasst Interaktionen mit Adressen, deren private Schlüssel offengelegt wurden. Beide Kategorien stehen im Kern des Ethereum-Kontomodells, in dem Contract Accounts Code speichern und ausführen, während EOAs über private Schlüssel gesteuert werden – eine Unterscheidung, die in der reinen Adresszeichenkette selbst nicht sichtbar ist. Ethereum und BNB Smart Chain sind beide EVM-kompatible Netzwerke, die dasselbe hexadezimale Adressformat verwenden, sodass eine äußerlich gültig wirkende Adresse keinen Aufschluss darüber gibt, ob sie Code enthält, wer sie kontrolliert oder wie sie sich verhalten wird.

Die Studie stützte sich auf rund 10 Millionen Kandidatenadressen, die von GitHub und Stack Exchange zusammengetragen wurden, sowie auf etwa 16 Millionen offengelegte private Schlüssel. Öffentliche Code-Repositorien und Entwicklerforen haben über die Jahre wiederholt offengelegte Zugangsdaten zutage gefördert, weshalb sie eine wiederkehrende Quelle für Sicherheitsforschung zu geleakten Schlüsseln darstellen. Anschließend verfolgten die Forscher die zugehörigen Transaktionen auf Ethereum und BNB Smart Chain.

Offengelegte Adressen stellen eine erhebliche Sicherheitsbedrohung dar

Die Forscher stellten fest, dass der Missbrauch von EOAs Verluste von rund 104.245 ETH und 9.045 BNB verursachte. Die Ergebnisse deuten darauf hin, dass Nutzer häufig mit offengelegten Adressen interagieren, ohne zu erkennen, dass diese Adressen möglicherweise von Angreifern kontrolliert werden.

Die Studie identifizierte zudem bislang nicht offengelegte Angriffsvektoren. Angreifer können Fehler bei Adressinteraktionen ausnutzen, um Gelder abzuziehen, und so scheinbar gewöhnliche Blockchain-Aktivität in eine Gelegenheit für Diebstahl verwandeln.

Forscher warnen vor anhaltenden Risiken

Mehr als 85 % der gesammelten Adressen hatten zum Zeitpunkt der Studie keine Missbrauchsinteraktionen angezogen. Dennoch warnten die Forscher, dass diese inaktiven Adressen weiterhin Risiken bergen können, wenn Nutzer falsch mit ihnen interagieren.

Die Ergebnisse verweisen auf eine weiterreichende Schwäche in der Blockchain-Sicherheit: Nutzer verlassen sich häufig auf Adressen, ohne vollständig zu verstehen, ob diese legitime Verträge darstellen oder ob ihre privaten Schlüssel sicher sind. Die gemischte Groß-/Kleinschreibung bei der Checksummen-Kodierung von Ethereum (EIP-55) hilft, Tippfehler in einer Adresse zu erkennen, liefert jedoch kein Signal darüber, ob eine Adresse legitim ist oder ob ihr Schlüssel kompromittiert wurde.

Die Forscher argumentieren, dass eine bessere Adressverifizierung und ein stärkeres Sicherheitsbewusstsein das Risiko senken könnten. In der Praxis verweist dies auf Prüfungen, die Nutzer bereits durchführen können, etwa den Abgleich von Contract-Adressen mit der offiziellen Projektdokumentation und mit Block-Explorern vor einer Transaktion. Ihre Ergebnisse zeigen zudem, dass die Sicherheit von Blockchain-Adressen über den Schutz privater Schlüssel hinausgeht und von den Nutzern verlangt, zu verstehen, wie sich Adressen in verschiedenen Netzwerken verhalten.