Według Scam Sniffer użytkownik kryptowalut stracił około 50 000 USD w USDT w wyniku ataku zatruwania adresów na Ethereum.
Podsumowanie
- Według Scam Sniffer użytkownik stracił około 50 000 USD w USDT na Ethereum.
- Oszukańczy adres odpowiadał pierwszych czterem i ostatnim sześciu znakom zamierzonego odbiorcy.
- Wcześniejsza ofiara straciła 100 000 USDT po tym, jak adres pozostał podłożony przez 66 dni.
- MetaMask twierdzi, że wyświetla ostrzeżenie blokujące, gdy adres docelowy przypomina wcześniej używany adres.
Scam Sniffer poinformował, że oszukańczy adres odpowiadał pierwszych czterem i ostatnim sześciu znakom zamierzonego odbiorcy. Platforma bezpieczeństwa udostępniła oba adresy wraz ze zrzutem ekranu historii transakcji pokazującym błędnie skierowaną płatność.
Zatruwanie adresów wykorzystuje znajomo wyglądające zapisy płatności
W swoich wytycznych dotyczących bezpieczeństwa MetaMask opisuje zatruwanie adresów jako oszustwo polegające na umieszczeniu łudząco podobnego adresu w historii transakcji użytkownika. Atakujący monitorują transfery tokenów, często obejmujące stablecoiny, a następnie generują adres przypominający ten, którego używał cel.
Według dostawcy portfela transfer o znikomej wartości lub zerowej liczbie tokenów może umieścić imitację w historii aktywności celu. Atakujący czeka, aż użytkownik skopiuje niewłaściwy adres docelowy podczas przygotowywania późniejszej płatności.
MetaMask wyjaśnia, że skrócone wyświetlanie adresów może ukryć różnicę: początkowe i końcowe znaki wyglądają znajomo, podczas gdy środek adresu się różni.
Wcześniejsze kradzieże USDT obejmowały podłożone adresy i transfery testowe
W sprawie z 11 sierpnia crypto.news wcześniej informował, że użytkownik stracił około 100 000 USDT po wybraniu imitacji adresu podłożonej w historii portfela 66 dni wcześniej, według Cyvers Alerts.
Cyvers podał, że ofiara polegała na zapisie historycznym bez porównania całego adresu docelowego. Po otrzymaniu płatności atakujący wymienił USDT na ETH, a portfel odbierający zawierał około 52,8 ETH w momencie publikacji alertu przez firmę bezpieczeństwa.
Firma opisała incydent jako inżynierię społeczną z udziałem sfałszowanego zapisu adresu. Jej wstępna relacja nie zidentyfikowała ofiary ani nie doniosła o odzyskaniu środków, porozumieniu w sprawie zwrotu czy interwencji giełdy. Cyvers przypisał stratę brakowi sprawdzenia pełnego adresu i odradzał traktowania historii transakcji jako zaufanej książki adresowej. Firma bezpieczeństwa stwierdziła, że konwersja wydawała się mieć na celu zmniejszenie ryzyka zamrożenia stablecoinów.
Osobna sprawa opisana 21 grudnia 2025 r. dotyczyła tradera, który przelał 49 999 950 USDT na oszukańczy adres docelowy po wcześniejszym wysłaniu testowej płatności w wysokości 50 USDT do zamierzonego odbiorcy.
Według tej relacji atakujący wstawił do historii ofiary transakcję pyłkową o wartości 0,005 USDT przed większą płatnością. Imitacja odpowiadała pierwszym trzem i ostatnim czterem znakom legalnego adresu docelowego, a ofiara skopiowała ją podczas przygotowywania pozostałego transferu.
Monitoring SlowMist cytowany w relacji podał, że środki zostały wymienione na ETH, rozdzielone między portfele i częściowo przeniesione przez Tornado Cash. Ofiara następnie zaoferowała nagrodę w wysokości 1 miliona dolarów i zażądała zwrotu 98% środków w ciągu 48 godzin za pośrednictwem wiadomości on-chain.
MetaMask dokumentuje ostrzeżenia przed wysłaniem środków
MetaMask twierdzi, że jego portfel porównuje proponowany adres docelowy z adresami w historii transakcji nadawcy. Jeśli nowy adres docelowy ściśle przypomina wcześniej używany adres, oprogramowanie wyświetla ostrzeżenie blokujące przed zatwierdzeniem.
Jego dokumentacja podaje przykład zgodności pierwszych i ostatnich czterech znaków przy różnych znakach w środku. Osobne ostrzeżenie pojawia się, gdy użytkownicy wysyłają środki na adres, z którym nigdy nie wchodzili w interakcję, choć dostawca twierdzi, że nieznany adres docelowy niekoniecznie jest złośliwy.
Filtrowanie w eksploratorach wzbudziło wątpliwości z powodu zatrutych rekordów
14 marca współzałożyciel Binance, Changpeng Zhao, skrytykował spam w historii transakcji, po tym jak użytkownik zidentyfikowany jako Nima zgłosił otrzymanie 89 e-maili dotyczących zatruwania adresów w ciągu niespełna 30 minut po dwóch przelewach stablecoinów w sieci Ethereum.
Zhao powiedział, że Trust Wallet już filtruje takie transakcje, i wezwał eksploratory blockchain do usuwania złośliwych wpisów. W raporcie znalazło się wyjaśnienie użytkownika zidentyfikowanego jako Xeift, że Etherscan domyślnie ukrywa transfery o zerowej wartości, podczas gdy BscScan i Basescan wymagają od użytkowników aktywowania opcji „hide 0 amount tx”.
Nima ostrzegł: „Tak wielu padnie ofiarą tego”, jak podano w materiale. Zgłoszone wiadomości dokumentowały powtarzające się próby zatruwania; nie opisano ich jako 89 dokonanych kradzieży. Etherscan wydał ostrzeżenie dotyczące tej metody, wyjaśniając, że atakujący próbują nakłonić użytkowników do skopiowania podobnie wyglądających adresów docelowych z historii transakcji.
Zhao przyznał, że filtrowanie mogłoby wpłynąć na drobne płatności między agentami AI, i zasugerował wykorzystanie AI do odróżniania legalnych transferów od spamu.
W czerwcu 2024 roku Ledger ostrzegł przed fałszywymi transakcjami mającymi skłonić użytkowników do przekonania, że wcześniej wysłali środki na adres atakującego. W ostrzeżeniu opisano adresy imitujące, dzielące pierwsze cztery lub pięć oraz ostatnie cztery lub pięć znaków legalnego adresu docelowego.
Ledger podał, że niechciany wpis sam w sobie nie spowoduje transferu wartości z konta odbiorcy. Wychodząca płatność wymagałaby od użytkownika zainicjowania i podpisania transakcji za pomocą urządzenia. Firma doradziła użytkownikom ukrywanie niechcianych tokenów i NFT w interfejsie portfela oraz unikanie interakcji z podejrzanymi aktywami lub powiązanymi z nimi adresami.
Ostrzeżenie Ledgera obejmowało niewielkie depozyty kryptowalut oraz NFT przebrane za vouchery, co mogłoby skłonić użytkowników do odesłania aktywów na konto oszusta.
Zgodnie ze wskazówkami Ledgera z czerwca 2024 roku użytkownicy mogli usunąć niechciane aktywo z widoku, klikając je prawym przyciskiem myszy i wybierając opcję ukrycia tokena lub kolekcji NFT.
