574 Millionen Dollar verloren: Studie kartiert gefährliche Blockchain-Adressen

Mehr als 65.000 hochriskante Adressen, über 2,5 Millionen Transaktionen, geschätzte Verluste von 574 Millionen Dollar. Eine Studie der USENIX Security Conference legt offen, wie groß das Problem des sogenannten Adressmissbrauchs auf den beiden größten Smart-Contract-Blockchains tatsächlich ist.

Zwei Angriffswege, ein gemeinsames Problem

Die Forscher um Shao Zhenzhe unterscheiden zwei Kategorien. Die erste betrifft sogenannte Externally Owned Accounts (EOA), also reguläre Nutzeradressen.

Was sind Externally Owned Accounts?

Blockchain-Adressen, die direkt von einer Person über einen privaten Schlüssel kontrolliert werden – im Gegensatz zu Smart Contracts, die durch Programmcode gesteuert werden.

Hier liegt die Hauptursache bei privaten Schlüsseln, die versehentlich auf Plattformen wie GitHub veröffentlicht wurden. Allein in dieser Kategorie dokumentiert die Studie Verluste von über 104.000 ETH. Die zweite Kategorie betrifft Smart-Contract-Adressen. Dabei nutzen Angreifer aus, dass identische Adressen auf verschiedenen Netzwerken unterschiedliche Funktionen haben können.

Ein konkreter Fall illustriert die Methode: Die Adresse eines bekannten Uniswap-Routers auf einem Ethereum-Testnetz existierte auf dem Hauptnetzwerk ohne hinterlegten Code. Dennoch schickten 88 Nutzer Gelder an diese Adresse. Im Oktober 2024 installierte ein Angreifer dort einen schädlichen Contract und zog die Einlagen ab. Das Erkennungssystem der Forscher identifizierte solche Risikoadressen laut Studie mit einer Trefferquote von über 99 Prozent.

Bekanntes Risiko, unterschätztes Ausmaß

Dass Adressverwechslungen und sogenanntes Address Poisoning Schäden verursachen, ist in der Branche bekannt.

Was ist Address Poisoning?

Eine Betrugsmethode, bei der Angreifer Transaktionen von Adressen senden, die einer bekannten Empfängeradresse zum Verwechseln ähnlich sehen. Nutzer kopieren versehentlich die gefälschte Adresse und überweisen Gelder an den Angreifer.

Was die Studie neu liefert, ist die Dimension. Über 85 Prozent der auf GitHub gefundenen kompromittierten Adressen wurden den Forschern zufolge bisher noch nicht aktiv missbraucht. Sie stellen ein schlummerndes Risiko dar, solange Nutzer weiterhin mit ihnen interagieren. Ein separater Bericht von AMBCrypto beziffert die Verluste allein durch Address Poisoning auf Ethereum zwischen Ende 2025 und Anfang 2026 auf rund 62 Millionen Dollar.

Warum das jetzt zählt

Die Untersuchung erscheint zu einem Zeitpunkt, an dem institutionelle Akteure verstärkt auf Ethereum setzen und das Transaktionsvolumen wächst. Je mehr Kapital über diese Netzwerke fließt, desto attraktiver werden solche Angriffsmethoden. Gleichzeitig zeigt die Studie, dass viele Verluste auf vermeidbare Fehler zurückgehen: öffentlich zugängliche Schlüssel, fehlende Adressvalidierung, blindes Vertrauen in bekannte Adressformate.

Einordnung und Ausblick

Die Forschungsergebnisse liefern keine einfache Lösung, aber eine klare Bestandsaufnahme. Die Sicherheit auf Blockchain-Netzwerken hängt nicht nur von der Protokollebene ab, sondern maßgeblich vom Verhalten der Nutzer und der Qualität der Werkzeuge, die ihnen zur Verfügung stehen. Wallet-Anbieter und Plattformen stehen unter zunehmendem Druck, Warnmechanismen für bekannte Risikoadressen zu integrieren. Ob die Erkenntnisse der Studie tatsächlich in bessere Schutzmaßnahmen münden, bleibt abzuwarten. Die Datengrundlage dafür liegt jetzt vor.