Une étude révèle que 575 millions de dollars ont été perdus à cause d'erreurs d'adresse sur Ethereum et BNB Chain

Une nouvelle étude académique a identifié 65 340 cas d'utilisation abusive d'adresses à haut risque sur Ethereum et BNB Chain, liés à environ 574,8 millions de dollars de crypto-monnaies perdues.

La recherche montre comment des erreurs ordinaires impliquant des adresses de testnet, des adresses de contrat réutilisées et des clés privées exposées peuvent devenir des pertes permanentes, tandis que de nouveaux outils tels que EIP-7702 offrent aux attaquants une autre façon de les exploiter.

Les erreurs d'adresse représentent des millions de pertes

L'étude, dirigée par des chercheurs de l'Université Sun Yat-sen, de l'Université de Zhejiang, de l'Université de Pékin et d'autres institutions, décrit deux formes d'utilisation abusive d'adresses : l'utilisation abusive de Compte de Contrat (CA) et l'utilisation abusive de Compte Externe (EOA).

L'utilisation abusive de CA se produit lorsque les utilisateurs traitent une adresse non contractuelle comme si un contrat intelligent y existait. Les chercheurs ont trouvé 49 344 tels cas, impliquant 22 738,41 ETH et 8 681,41 BNB de pertes.

Un exemple impliquait une adresse de routeur Uniswap V2 largement utilisée sur le testnet Sepolia d'Ethereum. L'adresse avait plus de 102 000 vues sur les publications de Stack Exchange et était fréquemment utilisée pour des tests, mais sur le mainnet d'Ethereum, elle n'avait pas de code de contrat à l'époque, pourtant les utilisateurs envoyaient toujours des appels de fonction et de l'ETH. Les transactions ont réussi en tant que simples transferts, laissant les fonds piégés.

L'utilisation abusive de l'EOA a représenté 15 996 autres cas, impliquant des adresses dont les clés privées avaient été exposées, souvent par le biais de dépôts de code publics ou de sites de questions-réponses pour développeurs. L'étude a trouvé des pertes de 104 224,53 ETH et 9 045,29 BNB.

Les chercheurs ont examiné plus de 10 millions d'adresses candidates et 16 millions de clés privées exposées, puis ont analysé environ 2,5 millions de transactions sur Ethereum et BSC. Les vérifications manuelles ont donné au système de détection une précision globale de 99,11%.

L'étude a également révélé que les attaquants exploitent activement ces erreurs. Dans 469 cas d'utilisation abusive de CA, les attaquants ont utilisé la réutilisation d'adresses cross-chain pour placer des contrats malveillants à des adresses où les utilisateurs avaient déjà piégé des fonds, entraînant des pertes de 3 446,37 ETH et 431,79 BNB.

Un autre 17 270 cas impliquaient l'EIP-7702, qui permet à un compte détenu de l'extérieur de déléguer l'exécution à un contrat intelligent. Les chercheurs ont découvert que les attaquants utilisaient ce mécanisme pour contrôler des comptes exposés et rediriger automatiquement les fonds entrants.

Pourquoi les adresses familières peuvent devenir un piège

Les résultats ajoutent un type de risque différent aux problèmes de sécurité qui affectent déjà la crypto cette année. Un rapport de Blockaid publié le 1er août a révélé 1,1 milliard de dollars volés lors de 212 incidents au cours de la première moitié de 2026, avec trois attaques distinctes ayant causé plus de 35 millions de dollars de pertes survenant en une seule journée à la fin juillet.

L'étude sur l'utilisation abusive des adresses met en évidence un problème moins évident : une transaction peut réussir tout en produisant une perte. Les utilisateurs peuvent supposer qu'une transaction réussie signifie qu'ils ont interagi avec le contrat prévu, même lorsque l'adresse n'a pas de code sur ce réseau particulier.

Selon les chercheurs, les gens devraient vérifier le réseau avant d'utiliser une adresse et s'appuyer sur la documentation officielle du projet tout en gardant les comptes de test éloignés des fonds de production.

Ils ont également appelé les portefeuilles à avertir les utilisateurs lorsqu'une adresse n'a pas de code de contrat sur la chaîne actuelle ou possède une clé privée exposée connue.

Source : CryptoPotato