Sebuah studi yang dipresentasikan di USENIX Security '26 mengidentifikasi 65.340 alamat kripto berisiko tinggi yang terkait penyalahgunaan di Ethereum dan BNB Smart Chain, dengan total kerugian token native mencapai 126.982,94 ETH dan 17.726,7 BNB — setara lebih dari $574,8 juta jika digabungkan.
Bagian paling mencolok dari riset ini adalah dari mana sebagian besar alamat tersebut berasal. Para peneliti menyisir 63.004 repositori GitHub dan mengekstrak lebih dari 16,3 juta private key unik yang secara tidak sengaja ter-commit ke kode publik, lalu menurunkan alamat wallet yang sesuai dan mencocokkannya dengan aturan pola transaksi serta eksekusi simbolik ringan untuk memastikan mana yang benar-benar sudah dieksploitasi on-chain.
Private Key yang Bocor Hanya Sebagian dari Gambaran Besar
Menariknya, dua vektor serangan aktif spesifik yang didokumentasikan secara rinci oleh para peneliti hanya menyumbang sekitar $15,7 juta secara gabungan — kurang lebih 2,7% dari estimasi kerugian total dalam studi ini. Artinya, mayoritas dari $574,8 juta itu justru berasal dari bentuk penyalahgunaan alamat lain yang belum banyak dipetakan, bukan dari dua teknik yang secara khusus disorot dalam makalah tersebut. Vektor pertama melibatkan penyalahgunaan contract account dan alamat kontrak deterministik; vektor kedua mengeksploitasi EIP-7702, upgrade account abstraction milik Ethereum, dengan mengalihkan akun yang telah dikompromikan ke kode berbahaya yang mampu mentransfer dana keluar. Metodologi dan temuan lengkapnya dijelaskan dalam makalah pra-publikasi para peneliti.
Apa yang Diungkap Penyalahgunaan EIP-7702
EIP-7702 memungkinkan wallet biasa untuk sementara berperilaku seperti smart contract, memungkinkan fitur-fitur sah seperti transaksi batch dan biaya gas yang disponsori. Studi ini menunjukkan mekanisme yang sama justru menciptakan risiko baru begitu sebuah private key sudah dikompromikan: alih-alih sekadar mengosongkan wallet satu kali, penyerang bisa mengalihkan wallet tersebut sepenuhnya ke logika yang dikendalikan penyerang, mengubah satu private key yang bocor menjadi vektor penyalahgunaan yang terbuka untuk berulang kali dieksploitasi.
Baca juga: Solana Nyaris Kehilangan Finalitas, Berjarak 4,5 Poin Saat Gangguan Routing
Pengingat Bahwa Kesalahan Lama Terus Berbunga
Besarnya jumlah private key yang bocor — lebih dari 16,3 juta yang ditarik hanya dari repositori GitHub publik — menegaskan bahwa mayoritas kerugian kripto masih bersumber dari kesalahan lama yang sebenarnya bisa dihindari, bukan dari eksploitasi zero-day yang baru. Yang ditambahkan riset ini adalah peringatan bahwa kebocoran lama itu tidak diam begitu saja: seiring Ethereum mengadopsi standar account abstraction yang lebih baru seperti EIP-7702, private key yang telah dikompromikan namun sempat dormant bisa dipersenjatai kembali dengan cara-cara baru, bertahun-tahun setelah kebocoran awal terjadi.
