Забытые контракты Ethereum: новая мишень для атак с использованием ИИ?

• Контракт под названием Noda, которому шесть лет и в котором менее 300 строк кода, был взломан из-за уязвимости в системе подписей.

• Разрешения, предоставленные контрактам много лет назад, остаются активными и представляют собой вектор атаки.

Хакеры используют старые смарт-контракты, развернутые в сети Ethereum, возможно, применяя модели искусственного интеллекта (ИИ) для выявления их уязвимостей в массовом порядке. Об этом предупредили исследователь и разработчик, известный в X под ником deebeez, 15 марта, и команда аппаратного кошелька Keystone.

Случай, задокументированный deebeez, касается контракта под названием Noda, содержащего менее 300 строк кода и существующего шесть лет. Контракт Noda позволял получателю комиссий выполнять привилегированные операции, но требовал "любую действительную подпись от этого адреса", не проверяя, соответствует ли она конкретной транзакции контракта, как объяснил deebeez.

Любая транзакция, подписанная этим адресом в любом контексте, была достаточной. Злоумышленник использовал предыдущие транзакции получателя для взлома контракта. По словам deebeez, хакер взломал несколько других целей в других транзакциях.

Код контракта, проверенный в обозревателе Etherscan и датированный 25 мая 2020 года, имеет активное предупреждение о известных ошибках компилятора Solidity (желтый восклицательный знак), языка, на котором написаны большинство смарт-контрактов в сети Ethereum.

Данные контракта Noda, идентифицированные deebeez. Источник: etherscan.

Предупреждение является общедоступным и видимым для всех, кто просматривает контракт: оно указывает на то, что он был создан с использованием версии компилятора, содержащей известные уязвимости, но так и не был обновлен.

Структура Ethereum облегчает эти атаки, по мнению Keystone

Команда Keystone, компании, создавшей один из самых популярных аппаратных кошельков, сообщила, что вектор атаки основан на структурном механизме Ethereum: когда пользователь предоставляет разрешение контракту DeFi для перемещения своих токенов, это разрешение не имеет срока действия.

Таким образом, контракты, одобренные шесть или более лет назад (например, Noda), по-прежнему имеют постоянный доступ к этим средствам. Если в контракте есть уязвимость, злоумышленник может вывести токены, не требуя от пользователя подписи каких-либо новых транзакций и без получения каких-либо предупреждений. Аппаратный кошелек (hardware wallet) не устраняет этот риск: он защищает приватные ключи, но не одобрения, которые уже были предоставлены.

Keystone рекомендует пользователям проверять активные одобрения и отзывать те, которые больше не используются. Эта рекомендация адресована всем пользователям, которые взаимодействовали с протоколами децентрализованных платформ ( DeFi): посетите сайт Revoke.cash, подключите свой кошелек и проверьте, какие контракты имеют активные одобрения для перемещения ваших токенов, - сообщает Keystone. Те, которые больше не используются, должны быть отозваны вручную.

Когда ИИ пишет уязвимый код

Риски, связанные с использованием ИИ в смарт-контрактах Ethereum, не ограничиваются его использованием в качестве инструмента для атак. В феврале 2025 года, как сообщало CriptoNoticias, протокол DeFi Moonwell потерял 1,7 миллиона долларов из-за ошибки в смарт-контракте, который был частично написан Claude Opus, моделью ИИ компании Anthropic: система зарегистрировала цену актива cbETH в 1,12 доллара вместо его реальной цены в 2200 долларов, что позволило злоумышленникам воспользоваться этой разницей. Ошибка прошла все проверки, проведенные людьми, и не была обнаружена.

Таким образом, риск не является односторонним, и эти случаи показывают, что использование ИИ, в руках недобросовестных людей, также может представлять потенциальную опасность. В этом контексте Виталик Бутерин, сооснователь Ethereum, заявил, что ИИ может значительно ускорить разработку протокола Ethereum, но предупредил, что более высокая скорость не означает более безопасный код.

Отчет аргентинской компании Lambda Class идет в том же направлении: когда системы ИИ работают непосредственно с необратимой финансовой инфраструктурой, ошибки не остаются на концептуальном уровне, а приводят к постоянным потерям. В Ethereum нет банка, который мог бы отменить транзакции.

Метки: Blockchain Ethereum (ETH) Искусственный интеллект (AI) Последние новости

Есть ли у вас важная информация для наших журналистов? Свяжитесь с нами