Uno studio presentato alla USENIX Security, una conferenza accademica di sicurezza informatica sottoposta a revisione paritaria, ha documentato perdite in criptovalute superiori a 574,8 milioni di dollari attribuibili all'uso improprio di indirizzi su Ethereum e BNB Smart Chain.

Analizzando l'attività della blockchain, i ricercatori hanno esaminato come gli utenti interagiscano con indirizzi non sicuri. Hanno identificato 65.340 istanze di indirizzi ad alto rischio legate a perdite di circa 126.983 ETH e 17.727 BNB. Lo studio riporta una precisione di rilevamento complessiva del 99,11%.

Come l'uso improprio degli indirizzi genera perdite

I ricercatori classificano l'uso improprio degli indirizzi in due categorie principali: uso improprio di Contract Account e uso improprio di Externally Owned Account (EOA).

L'uso improprio di Contract Account si verifica quando gli utenti scambiano erroneamente un indirizzo non contratto per un indirizzo di smart contract. L'uso improprio di EOA riguarda le interazioni con indirizzi le cui chiavi private sono state esposte. Entrambe le categorie sono al centro del modello di account di Ethereum, in cui i contract account conservano ed eseguono codice mentre gli EOA sono controllati da chiavi private — una distinzione invisibile nella stringa grezza dell'indirizzo stesso. Ethereum e BNB Smart Chain sono entrambe reti compatibili con EVM che condividono lo stesso formato di indirizzo esadecimale, il che significa che un indirizzo apparentemente valido non offre alcuna indicazione su se contenga codice, chi lo controlli o su come si comporterà.

Lo studio si è basato su circa 10 milioni di indirizzi candidati raccolti da GitHub e Stack Exchange, insieme a circa 16 milioni di chiavi private esposte. Nel corso degli anni, i repository di codice pubblici e i forum per sviluppatori hanno ripetutamente rivelato credenziali esposte, rendendoli una fonte ricorrente per la ricerca sulla sicurezza relativa alle chiavi divulgate. I ricercatori hanno poi tracciato le transazioni correlate su Ethereum e BNB Smart Chain.

Gli indirizzi esposti rappresentano una grave minaccia per la sicurezza

I ricercatori hanno riscontrato che l'uso improprio di EOA ha causato perdite per circa 104.245 ETH e 9.045 BNB. I risultati indicano che gli utenti interagiscono frequentemente con indirizzi esposti senza rendersi conto che tali indirizzi potrebbero essere controllati da aggressori.

Lo studio ha inoltre identificato vettori d'attacco precedentemente non divulgati. Gli aggressori possono sfruttare errori nelle interazioni con gli indirizzi per sottrarre fondi, trasformando quella che sembra una normale attività blockchain in un'opportunità di furto.

I ricercatori mettono in guardia contro rischi persistenti

Più dell'85% degli indirizzi raccolti non aveva attirato interazioni improprie al momento dello studio. Ciononostante, i ricercatori hanno avvertito che tali indirizzi dormienti potrebbero comunque creare rischi se gli utenti vi interagiscono in modo errato.

I risultati evidenziano una debolezza più ampia nella sicurezza blockchain: gli utenti spesso si affidano agli indirizzi senza comprendere appieno se rappresentino contratti legittimi o se le relative chiavi private rimangano sicure. La codifica checksum con maiuscole e minuscole di Ethereum (EIP-55) aiuta a rilevare errori di digitazione in un indirizzo, ma non fornisce alcun segnale sulla legittimità di un indirizzo né sull'eventuale compromissione della sua chiave.

Secondo i ricercatori, una migliore verifica degli indirizzi e una maggiore consapevolezza della sicurezza potrebbero ridurre il rischio. In pratica, ciò rimanda a controlli che gli utenti possono già eseguire, come verificare gli indirizzi dei contratti rispetto alla documentazione ufficiale dei progetti e ai block explorer prima di effettuare transazioni. I loro risultati mostrano inoltre che la sicurezza degli indirizzi blockchain va oltre la protezione delle chiavi private e richiede che gli utenti comprendano come gli indirizzi si comportano su reti diverse.