Die Forschung wurde auf der SIGMETRICS 2025, einer führenden Informatikkonferenz, angenommen, und wir haben unseren Datensatz unter https://github.com/blocksecteam/phishing_contract_sigmetrics25 als Open Source veröffentlicht.
Seit dem Aufstieg der Decentralized Finance (DeFi) hat der Blockchain-Bereich erhebliches Kapital und Nutzerinvestitionen angezogen. Dieses Wachstum ging jedoch mit einem Anstieg von Phishing-Angriffen einher, die zu erheblichen Nutzerverlusten führten. Um einer Entdeckung zu entgehen, verlassen sich Betrüger nicht mehr ausschließlich auf Externally Owned Accounts (EOAs). Stattdessen sind sie dazu übergegangen, Smart Contracts einzusetzen. In diesem Artikel stellen wir unsere neuesten Forschungsergebnisse zu Phishing-Contracts vor und zeigen, wie unsere zeitnahen, umfassenden und präzisen Phishing-Informationen Krypto-Projekten helfen, Nutzergelder zu schützen und die Compliance einzuhalten, wodurch die allgemeine Blockchain-Sicherheit gestärkt wird.
Die Entwicklung des Phishings: Von EOAs zu bösartigen Smart Contracts
Traditionell haben Betrüger Nutzer dazu verleitet, Transaktionen zu signieren, die ETH oder Tokens direkt an ihre EOAs senden. Doch diese Taktik lässt sich inzwischen leicht erkennen: Wallets wie MetaMask und Coinbase warnen Nutzer nun davor, Gelder an bekannte bösartige EOAs zu senden. Dieses gestiegene Bewusstsein hat Angreifer dazu gedrängt, innovativ zu werden, was zur Verbreitung von Phishing-Contracts geführt hat.
Als Reaktion darauf nutzen Betrüger nun Phishing-Contracts, um das Verhalten legitimer Projekte zu imitieren und ihre Absicht zu verschleiern. Anstatt Vermögenswerte direkt an die EOA eines Angreifers zu übertragen, werden Opfer dazu verleitet, Transaktionen zu signieren, die mit bösartigen Contracts interagieren, wodurch sie unwissentlich die Kontrolle über ihre Tokens abgeben. Dieser neue Angriffsvektor stellt eine erhebliche Herausforderung für die DeFi-Sicherheit dar.
Diese Phishing-Contracts enthalten oft:
- Trügerische payable-Funktionen: Diese Funktionen, die z. B.
ClaimoderSecurityUpdategenannt werden, verleiten Nutzer dazu, ETH direkt an den Contract des Angreifers zu senden. - Multicall-Funktionen: Sie sind darauf ausgelegt, mehrere Token-Transfers in einer einzigen Transaktion zusammenzufassen — ideal, um ERC20-Tokens oder NFTs abzuziehen, nachdem ein Nutzer unwissentlich eine Genehmigung erteilt hat. Dies ist eine gängige Taktik bei Krypto-Betrügereien.
BlockSecs Forschung: Erkennung und Analyse von Phishing-Contracts
Diese Studie konzentriert sich auf Phishing-Contracts auf Ethereum. Um eine groß angelegte Erkennung von Phishing-Contracts zu ermöglichen, haben wir ein System entwickelt, das verdächtige Funktions-Selektoren aus dem Contract-Bytecode extrahiert, Transaktionen simuliert und die Ergebnisse analysiert. Mit diesem Ansatz haben wir 37.654 Phishing-Contracts identifiziert, die zwischen dem 29. Dezember 2022 und dem 1. Januar 2025 bereitgestellt wurden. Dieser umfangreiche Datensatz ist entscheidend für das Verständnis der Bedrohungslandschaft im Bereich der Smart-Contract-Sicherheit.
Die finanziellen Auswirkungen: Verteilung der Nutzerverluste
Phishing-Contracts haben zu erheblichen Nutzerverlusten geführt. Vom 29. Dezember 2022 bis zum 8. Januar 2025 haben wir 211.319 Phishing-Transaktionen entdeckt, die 171.984 Opfer betrafen, mit Gesamtverlusten von 190,7 Millionen US-Dollar. Bemerkenswert ist, dass 89,9 % der Opfer weniger als 1.000 US-Dollar verloren haben. Viele Nutzer sind mehrfach auf Phishing-Maschen hereingefallen, oft aufgrund nicht widerrufener Token-Genehmigungen oder weil sie wiederholt bösartige Transaktionen signiert haben. Besonders gefährdet für diese Krypto-Betrügereien sind unter ihnen weniger erfahrene Web3-Nutzer.
Die Angreifer verstehen: Verteilung von Phishing-Contracts und deren Deployern
Die meisten Phishing-Contracts (86,5 %) verfügen sowohl über „leere“ payable-Funktionen als auch über Multicall-Funktionen, um verschiedene Token-Typen anzugreifen. 70,9 % von ihnen erzielten weniger als 1.000 US-Dollar, und 96,2 % blieben weniger als einen Tag lang aktiv. Betrüger setzen rasch neue Contracts ein, um Mechanismen zur Kontokennzeichnung zu umgehen, was die Notwendigkeit von Echtzeit-Bedrohungsinformationen unterstreicht.
Unsere Forschung offenbarte darüber hinaus entscheidende Erkenntnisse über die Angreifer selbst. Neun Konten haben 91,1 % aller Phishing-Contracts bereitgestellt. Betrüger nutzen oft von Opfern gestohlene Tokens, um die Bereitstellung neuer Phishing-Contracts zu finanzieren. Bemerkenswerterweise zeigen acht dieser neun Hauptdeployer Verbindungen im Geldfluss, was darauf hindeutet, dass sie als koordinierte Phishing-Gruppe operieren. Zusammen haben sie 85,7 % aller Phishing-Contracts bereitgestellt, was auf ein hochorganisiertes kriminelles Unternehmen hinter vielen dieser Vorfälle in der Blockchain-Sicherheit hindeutet.
Strategien zur Risikominderung: Schutz vor Phishing-Contracts
Unsere Arbeit zeigt die weit verbreitete Präsenz von Phishing-Contracts auf Ethereum und die erheblichen Verluste, die sie den Nutzern zugefügt haben. Daher schlagen wir praktische und wirksame Strategien vor, um Nutzer vor diesen Bedrohungen zu schützen und die allgemeine Blockchain-Sicherheit zu verbessern.
Was Nutzer zu ihrem Schutz tun können
Aus Sicht der Nutzer ist Wachsamkeit der Schlüssel zur Verhinderung von Krypto-Betrügereien. Beim Zugriff auf eine dezentrale Anwendung und der Anforderung von Diensten sollten Nutzer die Website genau prüfen, einschließlich der URL, der Hauptseite, der Unterlinks sowie der Twitter- und Discord-Links. Vor dem Signieren einer Transaktion sollten Nutzer die Transaktionsdetails sorgfältig überprüfen, einschließlich des Kontos und der Funktionsaufrufparameter. Zusätzlich können sie das Adress-Label auf Etherscan überprüfen, um festzustellen, ob es sich um ein offizielles Konto handelt. Seien Sie bei unaufgeforderten Angeboten oder Anfragen nach Genehmigungen stets misstrauisch.
Was Dienstleister tun können: Nutzung fortschrittlicher Bedrohungsinformationen
Dienstleister — einschließlich CEXs, DEXs, Wallets, PayFi-Plattformen, Stablecoins und Bridges — sollten aktiv Listen von Phishing-Websites und -Konten pflegen und aktualisieren, um Nutzer vor potenziellen Bedrohungen zu schützen. Wenn bestimmte Konten dabei identifiziert werden, Phishing-Contracts auf ihren Plattformen einzusetzen, sollten diese Anbieter den Zugang zu ihren Diensten einschränken oder verweigern. Die inhärente Anonymität von Blockchains und die Komplexität von On-Chain-Interaktionen — insbesondere bei Cross-Chain-Aktivitäten — stellen jedoch erhebliche Herausforderungen für Institutionen dar, wenn es um die Durchführung effektiver Risikobewertungen und die Sicherstellung der DeFi-Sicherheit geht.
Um diese Herausforderungen zu bewältigen, hat BlockSec diese Forschungsergebnisse in die Phalcon Compliance APP integriert. Diese Plattform nutzt eine riesige Echtzeit-Datenbank mit über 600 Millionen Adress-Labels, eine unbegrenzte Nachverfolgung von Transaktions-Hops und eine KI-gestützte Verhaltensanalyse-Engine. Mit diesen Fähigkeiten ermöglicht die APP Institutionen, Phishing-Adressen und verdächtige Entitäten, die mit ihnen interagieren, schnell zu identifizieren und liefert entscheidende On-Chain-Forensik.
Nutzen Sie BlockSecs fortschrittliche Bedrohungsinformationen, um Risiken durch Phishing-Contracts, sanktionierte Entitäten und illegale Aktivitäten zu identifizieren und zu mindern. Schützen Sie Ihre Nutzer und stellen Sie die Einhaltung gesetzlicher Vorschriften mit unserer umfassenden Lösung sicher.
Neben Phishing-Adressen erkennt die Phalcon Compliance APP auch andere riskante Entitäten, wie Angreifer, sanktionierte Entitäten, Mixer, Geldwäscher und Dark Webs, sowie verdächtige Verhaltensweisen wie Hochfrequenz-Transfers, große Transfers und Transit-Adressen. Wenn illegale Aktivitäten erkannt werden, benachrichtigt die APP Institutionen umgehend über sieben verschiedene Kanäle und stellt so sicher, dass sie sofort reagieren können. Darüber hinaus bietet die APP eine Reihe von Funktionen, darunter Aufgabendelegation, Kommentarhinzufügung, Blacklisting und die Erstellung von Suspicious Transaction Reports (STRs) mit einem Klick. Zusammen bieten diese Tools eine umfassende Lösung zur Identifizierung und Minderung von Risiken, während sie gleichzeitig Compliance-Workflows vereinfachen und die Web3-Sicherheit stärken.
