A pesquisa foi aceita na SIGMETRICS 2025, uma conferência de ciência da computação de primeira linha, e disponibilizamos nosso conjunto de dados como código aberto em https://github.com/blocksecteam/phishing_contract_sigmetrics25.
Desde a ascensão das Finanças Descentralizadas (DeFi), o espaço blockchain tem atraído investimentos significativos de capital e usuários. No entanto, esse crescimento tem sido acompanhado por um aumento nos ataques de phishing, causando perdas substanciais aos usuários. Para evitar a detecção, os golpistas não dependem mais exclusivamente de Contas de Propriedade Externa (EOAs). Em vez disso, eles migraram para a implantação de contratos inteligentes. Neste artigo, apresentamos nossa pesquisa mais recente sobre contratos de phishing e demonstramos como nossa inteligência de phishing oportuna, abrangente e precisa ajuda projetos cripto a proteger os fundos dos usuários e manter a conformidade, fortalecendo a segurança geral da blockchain.
A Evolução do Phishing: de EOAs a Contratos Inteligentes Maliciosos
Tradicionalmente, os golpistas atraíam usuários para assinar transações que enviavam ETH ou tokens diretamente para suas EOAs. Mas essa tática se tornou fácil de identificar: carteiras como MetaMask e Coinbase agora alertam os usuários contra o envio de fundos para EOAs maliciosas conhecidas. Essa conscientização crescente levou os atacantes a inovar, resultando na proliferação de contratos de phishing.
Em resposta, os golpistas agora usam contratos de phishing para imitar o comportamento de projetos legítimos e ofuscar suas intenções. Em vez de transferir ativos diretamente para a EOA de um atacante, as vítimas são enganadas para assinar transações que interagem com contratos maliciosos, efetivamente entregando o controle de seus tokens sem perceber. Esse novo vetor representa um desafio significativo para a segurança do DeFi.
Esses contratos de phishing frequentemente contêm:
- Funções payable enganosas: Nomeadas como
ClaimouSecurityUpdate, essas funções enganam os usuários para que enviem ETH diretamente para o contrato do atacante. - Funções multicall: Projetadas para agrupar múltiplas transferências de tokens em uma única transação — ideal para drenar tokens ERC20 ou NFTs depois que um usuário concede aprovação sem perceber. Essa é uma tática comum em golpes de criptomoedas.
Pesquisa da BlockSec: Detectando e Analisando Contratos de Phishing
Este estudo se concentra em contratos de phishing no Ethereum. Para viabilizar a detecção de contratos de phishing em larga escala, projetamos um sistema que extrai seletores de funções suspeitas do bytecode do contrato, simula transações e analisa os resultados. Usando essa abordagem, identificamos 37.654 contratos de phishing implantados entre 29 de dezembro de 2022 e 1º de janeiro de 2025. Esse extenso conjunto de dados é crucial para entender o panorama das ameaças à segurança de contratos inteligentes.
O Impacto Financeiro: Distribuição das Perdas dos Usuários
Os contratos de phishing causaram perdas substanciais aos usuários. De 29 de dezembro de 2022 a 8 de janeiro de 2025, descobrimos 211.319 transações de phishing que afetaram 171.984 vítimas, com perdas totais atingindo $190,7 milhões. Notavelmente, 89,9% das vítimas perderam menos de $1.000. Muitos usuários caíram em esquemas de phishing múltiplas vezes, frequentemente devido a aprovações de tokens não revogadas ou por assinarem repetidamente transações maliciosas. Entre eles, usuários Web3 menos experientes são especialmente vulneráveis a esses golpes de criptomoedas.
Entendendo os Atacantes: Distribuição de Contratos de Phishing e Implantadores
A maioria dos contratos de phishing (86,5%) possui tanto funções payable "vazias" quanto funções multicall para atingir vários tipos de tokens. 70,9% deles ganharam menos de $1.000, e 96,2% permaneceram ativos por menos de um dia. Os golpistas implantam rapidamente novos contratos para contornar os mecanismos de rotulagem de contas, destacando a necessidade de inteligência de ameaças em tempo real.
Nossa pesquisa revelou ainda percepções críticas sobre os próprios atacantes. Nove contas implantam 91,1% de todos os contratos de phishing. Os golpistas frequentemente usam tokens roubados das vítimas para financiar a implantação de novos contratos de phishing. Notavelmente, oito desses nove grandes implantadores mostram conexões de fluxo de fundos entre si, sugerindo que operam como um grupo de phishing coordenado. Juntos, eles implantaram 85,7% de todos os contratos de phishing, indicando uma empresa criminosa altamente organizada por trás de muitos desses incidentes de segurança blockchain.
Estratégias de Mitigação: Defendendo-se Contra Contratos de Phishing
Nosso trabalho revela a prevalência generalizada de contratos de phishing no Ethereum e as perdas significativas que eles causaram aos usuários. Assim, propomos estratégias práticas e eficazes para proteger os usuários dessas ameaças e aprimorar a segurança geral da blockchain.
O que os Usuários Podem Fazer para se Proteger
Do ponto de vista do usuário, a vigilância é essencial para prevenir golpes de criptomoedas. Ao acessar uma aplicação descentralizada e solicitar serviços, os usuários devem inspecionar cuidadosamente o site, incluindo a URL, a página principal, sublinks e links do Twitter e do Discord. Antes de assinar uma transação, os usuários devem revisar cuidadosamente os detalhes da transação, incluindo a conta e os parâmetros de chamada de função. Além disso, podem verificar o rótulo do endereço no Etherscan para determinar se é uma conta oficial. Sempre desconfie de ofertas não solicitadas ou pedidos de aprovações.
O que os Provedores de Serviços Podem Fazer: Aproveitando Inteligência de Ameaças Avançada
Os provedores de serviços — incluindo CEXs, DEXs, carteiras, plataformas PayFi, stablecoins e pontes — devem manter e atualizar ativamente listas de sites e contas de phishing para proteger os usuários de ameaças potenciais. Quando certas contas são identificadas implantando contratos de phishing em suas plataformas, esses provedores devem restringir ou negar o acesso a seus serviços. No entanto, o anonimato inerente às blockchains e a complexidade das interações on-chain — especialmente em atividades cross-chain — representam desafios significativos para as instituições na realização de avaliações de risco eficazes e na garantia da segurança do DeFi.
Para enfrentar esses desafios, a BlockSec integrou essas descobertas de pesquisa ao APP Phalcon Compliance. Essa plataforma aproveita um banco de dados massivo e em tempo real com mais de 600 milhões de rótulos de endereços, rastreamento ilimitado de saltos de transação e um mecanismo de análise comportamental baseado em IA. Com esses recursos, o APP permite que as instituições identifiquem rapidamente endereços de phishing e entidades suspeitas que interagem com eles, fornecendo perícia forense on-chain essencial.
Aproveite a inteligência de ameaças avançada da BlockSec para identificar e mitigar riscos de contratos de phishing, entidades sancionadas e atividades ilícitas. Proteja seus usuários e garanta a conformidade regulatória com nossa solução abrangente.
Além dos endereços de phishing, o APP Phalcon Compliance também detecta outras entidades de risco, como atacantes, entidades sancionadas, mixers, lavadores de dinheiro e dark webs, além de comportamentos suspeitos como transferências de alta frequência, grandes transferências e endereços de trânsito. Quando atividades ilegais são detectadas, o APP notifica prontamente as instituições por meio de sete canais diferentes, garantindo que possam responder imediatamente. Além disso, o APP oferece uma série de recursos, incluindo delegação de tarefas, adição de comentários, inclusão em lista negra e geração com um clique de Relatórios de Transações Suspeitas (STRs). Juntas, essas ferramentas fornecem uma solução abrangente para identificar e mitigar riscos, ao mesmo tempo em que simplificam os fluxos de trabalho de conformidade e reforçam a segurança Web3.
