Studie zeigt: 575 Millionen Dollar durch Adressfehler auf Ethereum und BNB Chain verloren
Eine neue akademische Studie hat 65.340 Fälle von risikobehafteter Adressnutzung auf Ethereum und der BNB Chain identifiziert, die mit einem Verlust von etwa $574,8 Millionen an Kryptowährungen verbunden sind.
Die Forschung verdeutlicht, wie alltägliche Fehler im Umgang mit Testnetz-Adressen, wiederverwendeten Vertragsadressen und offengelegten privaten Schlüsseln zu dauerhaften Verlusten führen können. Gleichzeitig bieten neuere Tools wie EIP-7702 Angreifern zusätzliche Möglichkeiten, diese Schwachstellen auszunutzen.
Adressfehler verursachen Millionenverluste
Die Studie, die von Forschern der Sun Yat-sen University, Zhejiang University, Peking University und anderen Institutionen geleitet wurde, beschreibt zwei Formen der Adressfehlverwendung: die Fehlverwendung von Vertragskonten (CA) und von extern verwalteten Konten (EOA).
CA-Fehlverwendung tritt auf, wenn Nutzer eine Nicht-Vertragsadresse so behandeln, als ob dort ein Smart Contract existiert. Die Forscher fanden 49.344 solcher Fälle, die zu Verlusten von 22.738,41 ETH und 8.681,41 BNB führten.
Ein Beispiel betrifft eine Uniswap V2 Router-Adresse, die häufig im Sepolia-Testnetz von Ethereum verwendet wurde. Diese Adresse hatte über 102.000 Aufrufe in Stack Exchange-Beiträgen und wurde häufig für Tests genutzt. Auf dem Ethereum-Hauptnetz hatte sie jedoch keinen Vertragscode, dennoch wurden Funktionaufrufe und ETH an sie gesendet. Die Transaktionen wurden als einfache Überweisungen ausgeführt, wodurch die Gelder festgesetzt wurden.
EOA-Fehlverwendung machte weitere 15.996 Fälle aus, bei denen Adressen betroffen waren, deren private Schlüssel offengelegt wurden, oft durch öffentliche Code-Repositories oder Entwickler-Q&A-Seiten. Die Studie verzeichnete Verluste von 104.224,53 ETH und 9.045,29 BNB.
Die Forscher untersuchten mehr als 10 Millionen potenzielle Adressen und 16 Millionen offengelegte private Schlüssel und analysierten etwa 2,5 Millionen Transaktionen auf Ethereum und BSC. Manuelle Überprüfungen ergaben eine Gesamttrefferquote des Erkennungssystems von 99,11%.
Die Studie stellte auch fest, dass Angreifer diese Fehler aktiv ausnutzen. In 469 Fällen von CA-Fehlverwendung nutzten Angreifer die Wiederverwendung von Adressen über verschiedene Chains hinweg, um bösartige Verträge an Adressen zu platzieren, an denen Nutzer bereits Gelder festgesetzt hatten, was zu Verlusten von 3.446,37 ETH und 431,79 BNB führte.
Weitere 17.270 Fälle betrafen EIP-7702, das es einem extern verwalteten Konto ermöglicht, die Ausführung an einen Smart Contract zu delegieren. Die Forscher fanden heraus, dass Angreifer diesen Mechanismus nutzten, um die Kontrolle über offengelegte Konten zu übernehmen und eingehende Gelder automatisch umzuleiten.
Warum vertraute Adressen zur Falle werden können
Die Ergebnisse fügen den bereits bestehenden Sicherheitsproblemen im Kryptobereich in diesem Jahr eine weitere Risikodimension hinzu. Ein Bericht von Blockaid vom 1. August stellte fest, dass im ersten Halbjahr 2026 $1,1 Milliarden durch 212 Vorfälle gestohlen wurden, wobei drei separate Angriffe an einem Tag Ende Juli zu Verlusten von mehr als $35 Millionen führten.
Die Studie zur Adressfehlverwendung weist auf ein weniger offensichtliches Problem hin: Eine Transaktion kann erfolgreich sein und dennoch einen Verlust verursachen. Nutzer könnten annehmen, dass eine erfolgreiche Transaktion bedeutet, dass sie mit dem beabsichtigten Vertrag interagiert haben, selbst wenn die Adresse auf diesem speziellen Netzwerk keinen Code enthält.
Laut den Forschern sollten Nutzer das Netzwerk überprüfen, bevor sie eine Adresse verwenden, und sich auf offizielle Projektdokumentationen verlassen, während sie Testkonten von Produktionsgeldern fernhalten.
Sie forderten auch, dass Wallets Nutzer warnen, wenn eine Adresse auf der aktuellen Chain keinen Vertragscode hat oder ein bekannter offengelegter privater Schlüssel existiert.
