Perdas com envenenamento de endereços no Ethereum se multiplicaram por 13 após o Fusaka

No meu artigo anterior, eu queria descobrir o que causou a atividade recorde na rede Ethereum, e descobri que 80% do crescimento foi spam de envenenamento de endereços, tornado economicamente atraente pela atualização Fusaka, que reduziu as taxas de gas em 6 vezes. Na época, eu tinha apenas dados limitados que respondiam à pergunta sobre o que estava por trás do crescimento.

Neste artigo, pesquisei como o envenenamento de endereços cresceu no geral e quais foram os resultados reais desses ataques. Qual é o dano total?

Para responder a essa pergunta, construí um pipeline de detecção que escaneia a blockchain do Ethereum de 1º de setembro de 2025 a 13 de fevereiro de 2026, cobrindo 93 dias antes de Fusaka e 73 dias depois. Ele rastreia transferências de valores ínfimos (dust transfers) em 101 tokens e identifica pagamentos confirmados.

Antes de Fusaka, os atacantes enviavam uma média de 30.000 transações de valores ínfimos por dia. Após a atualização, esse número saltou para 167.000 por dia, um aumento de 5,6 vezes.

O pico de janeiro atingiu 510.000 transações em um único dia. Mesmo excluindo esse pico, o nível sustentado pós-Fusaka permanece em 150.000–200.000 transações diárias.

O gráfico mostra uma clara correlação inversa entre o preço do gas e o volume de ataque de valores ínfimos. As duas variáveis se movem juntas continuamente: quando o gas encarece, o número de transferências de valores ínfimos cai. Quando o gas fica mais barato, esse número aumenta. Essa relação dose-resposta é um forte indicador de que a ligação é causal, e não coincidente.

Como os atacantes ajustam sua produção dia a dia em proporção ao custo do gas, os dados descartam a possibilidade de que ambas as tendências tenham mudado aproximadamente ao mesmo tempo por razões não relacionadas.

Além disso, a precisão diária dessa correlação provavelmente significa que o software de envenenamento tem um limite de preço de gas embutido que regula a intensidade do ataque automaticamente. Tais configurações são comuns em bots Ethereum legítimos e maliciosos.

O número de carteiras únicas que receberam valores ínfimos de envenenamento aumentou de 12.000 por dia para 38.000 por dia, um aumento de 3,1 vezes.

Comparando janelas iguais de 73 dias antes e depois de Fusaka:

• Pré-Fusaka (21 de setembro – 2 de dezembro): US$ 4,9 milhões roubados
• Pós-Fusaka (3 de dezembro – 13 de fevereiro): US$ 63,3 milhões roubados

Isso representa um aumento de 13 vezes nos fundos roubados e um aumento de 2,6 vezes nos eventos de pagamento bem-sucedidos.

Uma transferência responde por uma grande parte do total pós-Fusaka: US$ 50 milhões em USDT em 19 de dezembro. Excluindo-a, o total pós-Fusaka ainda é de US$ 13,3 milhões, 2,7 vezes o total do período anterior ao Fusaka.

A ligação entre taxas baixas e volume de ataque já havia sido documentada antes de Fusaka.

• Um estudo da Carnegie Mellon University publicado dez meses antes da atualização descobriu "uma maior prevalência de ataques em cadeias com taxas de transação mais baixas."
• Sete meses antes da atualização, Jameson Lopp da Casa concluiu que o envenenamento de endereços é economicamente viável apenas em ambientes de baixas taxas.
• Um estudo da Penn State publicado três meses antes de Fusaka testou 53 carteiras Ethereum e descobriu que a maioria não alertava os usuários sobre transferências de envenenamento.

Apesar disso, a Ethereum Foundation prosseguiu com a atualização Fusaka.

O envenenamento de endereços não é o único tipo de ataque cuja economia depende do custo do gas. Ataques de sanduíche, airdrops de tokens falsos, bots varredores em carteiras comprometidas e drenagens de aprovação em massa tornam-se mais lucrativos à medida que as taxas caem.

Metodologia

O detector funciona como um único pipeline SQL no conjunto de dados público do Ethereum do Google BigQuery. Ele primeiro identifica todas as transferências legítimas de ERC-20 e ETH ≥US$ 1 e extrai uma impressão digital para cada endereço de destinatário (primeiros 3 + últimos 4 caracteres hexadecimais). Em seguida, ele detecta o envenenamento comparando endereços semelhantes com essas impressões digitais: transferências de ERC-20 de valor zero iniciadas por terceiros e transferências de valores ínfimos de ERC-20 ou ETH <US$ 1 enviadas às vítimas dentro de uma janela de 300 blocos. Um pagamento confirmado é qualquer transferência subsequente de ERC-20 ou ETH ≥US$ 10 da vítima para um endereço semelhante.

Os gráficos neste artigo exibem apenas a atividade de transferência de valores ínfimos, pois as transferências de valores ínfimos são o principal vetor de ataque mensurável. As transferências de valor zero não são mostradas nos gráficos, mas são usadas internamente pelo detector para construir um mapa completo de pares de endereços vítima-semelhante.

Todos os 101 tokens são precificados usando snapshots semanais (23 datas). Endereços de contrato são excluídos do pool de vítimas. O pipeline também filtra endereços de queima, auto-transferências, transferências não iniciadas pela vítima e casos em que o semelhante era um destinatário legítimo conhecido antes do evento de envenenamento. Um endereço de bot que gerou milhares de micro-transferências automatizadas para endereços envenenados foi excluído das estatísticas de pagamento.

O detector subestima tanto os ataques quanto os pagamentos. Ele só detecta envenenamento contra endereços que fizeram pelo menos uma transferência ≥US$ 1 durante o período do estudo e rastreia apenas 101 tokens. O valor de US$ 63,3 milhões é um limite inferior confirmado. No entanto, testes com várias amostras de tokens fora da lista de permissões mostraram que ataques envolvendo tokens não listados representam menos de 1% do total.

Este estudo rastreou dois tipos de transferências de envenenamento: transferências de valores ínfimos e transferências de valor zero. Existem também outros tipos, incluindo transferências de tokens falsificados, transferências de ETH falsas e variantes baseadas em aprovação. Não os incluí porque a construção de tais consultas é significativamente mais complexa e a execução delas no BigQuery é cara. As transferências de valores ínfimos e de valor zero são suficientes para ver o quadro completo, porque os atacantes geralmente combinam vários métodos diferentes contra o mesmo alvo, e casos em que uma vítima recebe apenas uma transferência de token falsificado sem envenenamento de valores ínfimos ou de valor zero são raros.