Użytkownik kryptowalut stracił około 100 000 USDT po przelaniu środków na adres portfela podobny do prawdziwego, który został umieszczony w historii transakcji ofiary 66 dni wcześniej.
Podsumowanie
- Ofiara straciła około 100 000 USDT w ataku typu address poisoning.
- Atakujący umieścił fałszywy adres w historii portfela 66 dni przed transakcją.
- Skradzione USDT zostało zamienione na około 52,8 ETH według Cyvers.
- Address poisoning wykorzystuje użytkowników, którzy kopiują adresy bez sprawdzania pełnego ciągu znaków.
Cyvers Alerts poinformowało 11 sierpnia, że ich system monitorowania wykrył stratę po tym, jak ofiara wysłała środki na adres kontrolowany przez atakującego.
Jak przebiegł atak address poisoning na 100 tys. dolarów
Około 66 dni przed kradzieżą atakujący wysłał transakcje związane z portfelem ofiary, według Cyvers. Aktywność ta umieściła złośliwy adres w historii transakcji portfela, gdzie wyglądał podobnie do adresu, którego ofiara użyła do normalnego przelewu.
Gdy ofiara później przygotowywała płatność 100 000 USDT, Cyvers stwierdziło, że użytkownik polegał na zapisie historycznym bez porównywania pełnego adresu docelowego. W rezultacie środki trafiły na podobny adres zamiast do zamierzonego odbiorcy.
Address poisoning nie wymaga od atakującego uzyskania klucza prywatnego, naruszenia inteligentnego kontraktu ani przejęcia kontroli nad portfelem ofiary. Zamiast tego metoda opiera się na długości i formacie adresów blockchain, które wiele portfeli i eksploratorów skraca, wyświetlając tylko pierwsze i ostatnie znaki.
Atakujący generują adresy pasujące do widocznych części prawdziwego adresu odbiorcy, a następnie używają małych lub zerowych transakcji, aby umieścić imitację w rejestrze transakcji ofiary. Użytkownik, który sprawdza tylko początkowe i końcowe znaki, może zatem wybrać portfel atakującego, nawet jeśli pełne ciągi są różne.
W najnowszym przypadku Cyvers przypisało stratę brakowi sprawdzenia pełnego adresu przez ofiarę. Firma bezpieczeństwa zaleciła użytkownikom, aby nie traktowali historii transakcji jako zaufanej książki adresowej i zalecała weryfikację każdego znaku przed zatwierdzeniem płatności w łańcuchu.
Atakujący zamienia skradzione USDT na 52,8 ETH
Po przelewie atakujący wymienił skradzione USDT na Ethereum, poinformował Cyvers. Portfel odbierający zawierał około 52,8 ETH, gdy firma bezpieczeństwa opublikowała swoje ostrzeżenie.
Cyvers stwierdziło, że konwersja wydawała się zaprojektowana w celu zmniejszenia ryzyka zamrożenia skradzionych stablecoinów. USDT jest emitowane przez Tether za pośrednictwem inteligentnych kontraktów, które umożliwiają blokowanie określonych adresów, podczas gdy natywny ETH nie ma emitenta z równoważną funkcją zamrażania.
Konwersja oznacza również, że wartość zasobów atakującego może się zmieniać wraz z ceną rynkową ETH. Cyvers nie poinformowało o żadnym odzyskaniu, umowie zwrotu ani interwencji giełdy w swoim początkowym ostrzeżeniu, ani nie zidentyfikowało ofiary publicznie.
Żadne dowody przytoczone w ostrzeżeniu nie sugerowały, że wada w Tether, Ethereum lub oprogramowaniu portfela ofiary spowodowała przelew. Cyvers zamiast tego opisało incydent jako atak socjotechniczny, który wykorzystał sfałszowany zapis adresu, aby wykorzystać nawyki płatnicze ofiary.
Straty spowodowane address poisoning osiągnęły miliony
Incydent o wartości 100 000 dolarów następuje po kilku większych przypadkach z użyciem tej samej metody. W lutym crypto.news wcześniej informowało, że dwóch użytkowników straciło łącznie 62 miliony dolarów po skopiowaniu fałszywych adresów z historii swoich transakcji.
Scam Sniffer przypisało około 50 milionów dolarów z tej sumy incydentowi z grudnia 2025 roku, podczas gdy inna ofiara straciła około 12,25 miliona dolarów, czyli wówczas około 4556 ETH, w styczniu 2026 roku. Firma zajmująca się bezpieczeństwem poinformowała, że atakujący po cichu wstawili adresy podobne do prawdziwych do rejestrów ostatnich aktywności obu ofiar.
W grudniowym przypadku posiadacz stablecoinów najpierw wysłał testową płatność 50 USDT na właściwy adres. Następnie atakujący wstawił fałszywy adres do historii za pomocą transakcji pyłowej o wartości 0,005 USDT, po czym ofiara omyłkowo wysłała 49 999 950 USDT na zatruty adres.
Skradzione aktywa zostały zamienione na ETH i rozproszone na kilka portfeli, zgodnie z wcześniejszym raportem o kradzieży. Ofiara później zaoferowała atakującemu nagrodę w wysokości 1 miliona dolarów za zwrot pozostałych środków i zagroziła zaangażowaniem międzynarodowych organów ścigania.
Niskie koszty transakcji sprawiły również, że zautomatyzowane kampanie zatruwania adresów stały się tańsze w prowadzeniu. Scam Sniffer poinformowało w lutym, że codziennie wysyłano miliony transakcji pyłowych, z których wiele tworzono w celu przygotowania się na możliwe przyszłe kradzieże, a nie do przesyłania środków między prawdziwymi użytkownikami.
W marcu użytkownik stablecoinów zgłosił otrzymanie 89 alertów o zatruciu w ciągu 30 minut po wykonaniu tylko dwóch legalnych transferów. Były dyrektor generalny Binance, Changpeng Zhao, następnie skrytykował eksploratory transakcji, które nadal wyświetlały złośliwe wpisy.
Amerykańscy prawodawcy zaproponowali grupę zadaniową ds. oszustw kryptograficznych
Dla użytkowników w USA zatruwanie adresów należy do rosnącej kategorii oszustw związanych z aktywami cyfrowymi, które prawodawcy starają się rozwiązać poprzez współpracę międzyagencyjną. Senatorowie Elissa Slotkin i Jerry Moran wprowadzili w 2025 roku dwupartyjną ustawę Strengthening Agency Frameworks for Enforcement of Cryptocurrency Act, znaną jako SAFE Crypto Act.
Zgodnie z informacjami sponsorów ustawy, proponowane przepisy ustanowiłyby federalną grupę zadaniową skupiającą się na identyfikowaniu, monitorowaniu i zapobieganiu oszustwom kryptograficznym. W jej skład weszliby przedstawiciele agencji rządowych, organów ścigania, firm zajmujących się aktywami cyfrowymi, emitentów stablecoinów, firm zajmujących się analizą blockchain oraz organizacji ochrony konsumentów.
Propozycja obejmuje kilka form przestępczości kryptograficznej, w tym oszustwa inwestycyjne, pranie pieniędzy, schematy Ponziego, rug pulle i oszukańcze sprzedaże tokenów. Sponsorzy stwierdzili, że grupa zadaniowa zbada wzorce oszustw i poprawi koordynację między władzami federalnymi a specjalistami z sektora prywatnego.
Ustawa nie tworzy programu zwrotu kosztów dla użytkowników, którzy omyłkowo autoryzowali nieodwracalne transfery. Jak wyjaśniono we wcześniejszym artykule, proponowana grupa zadaniowa skupiłaby się na wykrywaniu, zakłócaniu i współpracy między agencjami i uczestnikami branży.
Pełne sprawdzanie adresów może ujawnić zatrute rekordy
Cyvers doradził użytkownikom porównywanie pełnych adresów portfeli zamiast polegania na skróconych rekordach w historii transakcji. W przypadku dużych transferów specjaliści ds. bezpieczeństwa zalecają również potwierdzenie miejsca docelowego za pomocą osobnego kanału komunikacji i wysłanie małej kwoty testowej przed przeniesieniem pozostałego salda.
Sama płatność testowa może nie zapobiec atakowi zatrucia, jak wykazała kradzież z grudnia 2025 roku. Ponieważ atakujący może wstawić adres podobny natychmiast po teście, nadawca musi zweryfikować, że adres użyty do głównego transferu jest identyczny z adresem użytym do transakcji testowej.
Białe listy adresów mogą dodać kolejną kontrolę, ograniczając wypłaty do wcześniej zatwierdzonych miejsc docelowych. Portfele sprzętowe mogą również wyświetlać szczegóły transakcji przed podpisaniem, chociaż użytkownicy muszą nadal czytać i porównywać miejsce docelowe pokazane na urządzeniu.
Interfejsy portfeli i eksploratory blockchain zaczęły filtrować podejrzane wpisy, ale ochrona różni się w zależności od platformy. Raport z marca wykazał, że Etherscan domyślnie ukrywał transakcje o zerowej wartości, podczas gdy BscScan i Basescan wymagały od użytkowników aktywowania opcji „ukryj transakcje o kwocie 0”, aby usunąć takie rekordy z widoku.
