Chaves expostas e contratos falsos levaram US$ 574,8 mi em ETH e BNB

Um estudo apresentado no USENIX Security, um dos principais encontros acadêmicos de segurança da computação, mapeou 65.340 endereços de alto risco no Ethereum e na BNB Chain. As perdas chegam a 126.982,94 ETH e 17.726,7 BNB, mais de US$ 574,8 milhões.

O valor usa como referência os preços de maio de 2025, de US$ 4.408 por ETH e US$ 847 por BNB, e os pesquisadores fazem questão de chamar o número de limite inferior. A análise cobre só os tokens nativos das duas redes, deixou de fora stablecoins e outros ativos, e ainda assim encontrou um rastro de 2,5 milhões de transações ligadas ao problema.

O trabalho dividiu o fenômeno em duas famílias.

O contrato que nunca existiu

A primeira família é contra-intuitiva. Um endereço de contrato só passa a ser um contrato quando alguém implanta código nele, e até lá ele se comporta como uma conta comum. Quem envia fundos para esse endereço acreditando estar chamando uma função de um contrato famoso pode ver o dinheiro ficar preso ali para sempre.

Os pesquisadores citam o caso do UniswapV2Router02, o roteador mais usado do ecossistema, em um endereço da rede de testes Sepolia. O endereço acumulou cerca de 158.775 transações até agosto de 2025, mas no Ethereum principal ele nunca teve código de contrato e ainda assim recebeu 88 transações de usuários tentando operar. O caso mostra como a fama de um endereço em uma rede se transfere para outra, onde o código não existe.

Um atacante percebeu a brecha. Em outubro de 2024, ele implantou um contrato malicioso exatamente nesse endereço, esperando o dinheiro que chegasse, e sacou 3,78 ETH que estavam presos lá.

O estudo encontrou 469 casos desse tipo de ataque, com perdas de 3.446,37 ETH e 431,79 BNB. A técnica funciona porque o endereço de um contrato é determinístico, calculado a partir do endereço do criador e de um número, então é possível prever onde o código vai nascer e armar a espera.

A chave que virou senha pública

A segunda família é mais conhecida, mas os números assustam. São 15.996 endereços controlados por chaves privadas que vazaram para o público. As perdas somam 104.244,53 ETH e 9.045,29 BNB.

O time de pesquisa coletou dados de 63.004 repositórios do GitHub e extraiu 16,3 milhões de chaves privadas depois de eliminar duplicatas, além de endereços de fóruns de desenvolvedores, como o Stack Exchange, que somou mais 15.342 endereços e 75.057 chaves. Chaves de teste, tutoriais e exemplos de código acabam publicados com os fundos dentro, e qualquer pessoa que encontre a chave pode drenar a conta.

Um caso emblemático citado no estudo é um endereço de teste do Truffle, uma ferramenta de desenvolvimento, com a chave privada exposta e pronta para ser drenada por quem enviasse dinheiro por engano.

Há ainda um vetor novo, ligado ao EIP-7702, o mecanismo que permite a uma conta comum adotar temporariamente código de contrato. Atacantes usam chaves vazadas para delegar a conta a um contrato malicioso que encaminha qualquer depósito na mesma transação, e o estudo encontrou 17.270 casos com perdas de 25,86 ETH e 33,45 BNB.

O mais inquietante é o que ainda pode acontecer. Mais de 85% dos endereços coletados no GitHub nunca foram usados de forma maliciosa, o que significa que um estoque grande de contas vulneráveis segue parado esperando o primeiro contato.

A ferramenta de varredura montada pelo time mostrou precisão de 99,11%, um número impressionante, mas a precisão serve para achar o problema depois que ele existe. O dinheiro perdido em endereços assim costuma sair de circulação para sempre, e a lição do estudo é prática, confira o endereço antes de enviar e nunca confie em chave que apareceu em um repositório público.