以太坊研究报告标记出65,340个风险地址，关联金额达5.748亿美元

币安Binance

币安交易所是全球加密货币交易所龙头，在手机上即可买卖比特币等数字货币！

官网注册  APP下载

USENIX Security '26 研究识别出超过6.5万个高风险加密地址，涉及5.748亿美元损失

一项在USENIX Security '26上发表的研究发现，以太坊和BNB智能链上共有65,340个高风险地址实例，这些地址与126,982.94 ETH和17,726.7 BBN的原生代币损失相关联。

研究概述

研究人员通过大规模研究，在以太坊和BNB链上识别出65,340个高风险地址实例。估计损失高达126,982.94 ETH和17,726.7 BBN，研究人员按当前价值估算，总损失超过5.748亿美元。研究人员从63,004个GitHub仓库中提取了1630万个私钥，用于构建跨链分析数据集。其检测框架在对两个区块链网络进行手动抽样验证后，达到了99.11%的精确率。两个新发现的攻击向量利用了确定性合约地址和EIP-7702委托账户控制机制。

这项研究在巴尔的摩举行的第35届USENIX安全研讨会上发布，研究人员估计损失金额超过5.748亿美元。但这一数字需要结合背景理解：研究人员表示，他们以每ETH 4,408美元和每BNB 847美元的参考价格来评估代币损失，而非每笔交易发生时的实际价格。他们将研究结果描述为“保守下限”，因为分析仅覆盖了两个网络上的原生ETH和BNB，可能遗漏了一些不太明显的案例。

以太坊地址滥用的两种类型：合约账户与外部账户

研究人员将“地址滥用”分为两类。合约账户滥用发生在用户将没有部署合约代码的地址当作合约地址使用，通常是因为同一地址在其他网络环境中被使用。研究识别出49,344个此类实例，涉及损失22,738.41 ETH和8,681.41 BBN。外部账户滥用则涉及私钥已暴露或链上显示控制权被严重破坏的地址。研究人员发现15,996个EOA滥用实例，涉及损失104,244.53 ETH和9,045.29 BBN，其中超过95%的EOA滥用损失来自GitHub上暴露私钥的子类型。

两种新攻击路径，损失约1570万美元

第一种新描述的利用方式利用了确定性合约地址创建机制。攻击者可以在测试网上推广一个合约地址，等待用户错误地将主网资金发送到该无代码地址，随后在同一位置部署取款代码。研究人员将469个恶意合约与3,446.37 ETH和431.79 BBN的损失相关联。第二种利用方式针对已暴露私钥的账户，使用EIP-7702将那些EOA委托给恶意代码，自动清空转入的资金。论文发现17,270个案例，造成25.86 ETH和33.45 BBN的损失。按论文参考价格计算，这两种新描述的向量合计造成约1570万美元的损失。

99.11%的精确率并非全面验证

研究团队从2015年1月至2025年5月期间创建的63,004个GitHub仓库中挖掘数据，去重后提取了1030万个唯一候选地址和1630万个私钥。他们还使用了以太坊Stack Exchange和Stack Overflow的数据，随后分析了以太坊和BNB智能链上的交易。研究人员对手动抽样的结果进行了验证，并报告了总体检测精确率为99.11%。但这并不意味着65,340个实例中的每一个都经过单独的手动验证。作者承认可能存在启发式误报和不完整数据，同时ERC-20、NFT及其他链上的损失并未纳入主要的损失计算中。

EIP-7702安全担忧正在扩大

以太坊官方指南警告称，恶意的EIP-7702委托可能让敌对合约代码控制资产。另一项USENIX Security '26研究发现，超过63%的已分析EIP-7702授权交易与针对EOA的恶意攻击相关，在七个支持的链上识别出924个恶意合约账户。此前报道显示，在以太坊Pectra升级后，EIP-7702委托与自动钱包盗刷活动相关联。相关报道中，攻击者通过钓鱼和恶意委托执行，从Polymarket用户那里盗走了约310万美元。

研究人员建议，对于已知的暴露私钥和跨链合约不匹配问题，应推出钱包警告；开发者应加强密钥管理，并明确地址与网络对应关系的文档。他们还提议在未来的合约地址推导中纳入链标识符。这些均为研究建议，并非已采纳的以太坊或BNB链协议变更。研究人员计划将未来工作扩展到更多链和代币类型。在此之前，126,982.94 ETH和17,726.7 BBN的总数最好理解为研究定义范围内的已测量原生代币损失，而5.748亿美元则是一个标准化的估值估算。