Risico’s van vanity-adressen en lookalike-adressen
De risico’s van vanity-adressen uitgelegd: hoe aangepaste en sprekend gelijkende crypto-adressen worden gemaakt, hoe oplichters ze misbruiken, zwakke generatoren en hoe je je beschermt.
Vanity-adressen, walletadressen met een gekozen patroon zoals een naam of herhaalde tekens, brengen twee belangrijke risico’s met zich mee: als de privésleutel is gemaakt door een zwakke of onbetrouwbare tool, kan iemand anders hem mogelijk namaken en het tegoed stelen, en oplichters gebruiken dezelfde technieken om lookalike-adressen te maken die je verleiden om crypto naar hen te sturen. Beide risico’s draaien om hoe adressen worden gegenereerd en hoe je ze controleert.
De meeste mensen kijken alleen even naar de eerste en laatste tekens van een adres. Aanvallers weten dat en bouwen hun oplichting daaromheen. Als je het mechanisme begrijpt, kun je beide soorten verlies voorkomen.
Hoe vanity-adressen worden gemaakt
Een crypto-adres wordt afgeleid van een publieke sleutel, die weer afkomstig is van een privésleutel. Je kunt een adres niet rechtstreeks kiezen; je kunt alleen willekeurig sleutels genereren en controleren of het resulterende adres bij je patroon past.
- 1Genereer een willekeurige privésleutel.
- 2Leid de publieke sleutel en het adres af.
- 3Controleer of het adres begint of eindigt met de gekozen tekens.
- 4Zo niet, herhaal, vaak miljarden keren.
Elk extra teken dat moet overeenkomen, vermenigvuldigt het werk. Daarom zijn korte patronen snel gevonden, terwijl lange enorm veel rekenkracht vragen. De veiligheid van het uiteindelijke adres hangt volledig af van stap 1: de privésleutel moet uit sterke willekeur voortkomen. We gaan hier dieper op in in Zo herken je een nep-crypto-app in de App Store.
Risico 1: zwakke vanity-generatoren
Als een generator met de willekeur sluiproutes neemt om sneller te werken, kunnen de ‘willekeurige’ sleutels uit een veel kleinere verzameling mogelijkheden komen. Een aanvaller die de sluiproute begrijpt, kan die kleinere verzameling doorzoeken en privésleutels achterhalen.
Dit is geen theorie. In 2022 werd een kwetsbaarheid openbaar gemaakt in Profanity, een populaire tool voor Ethereum-vanity-adressen, waaruit bleek dat de sleutels met brute force te kraken waren. Later werd tegoed weggesluisd van adressen die ermee waren gemaakt, waaronder een veelbesproken diefstal bij handelsbedrijf Wintermute die in verband werd gebracht met een vanity-adres. De les: een vanity-adres is maar zo veilig als de code die het heeft gegenereerd.
Andere risico’s van generatoren:
- Online generatoren die de sleutel op een server aanmaken, waar de beheerder een kopie kan bewaren.
- ‘Split-key’-diensten die verkeerd zijn uitgevoerd, waardoor de aanbieder je sleutel kan reconstrueren.
- Niet-onderhouden tools met bekende bugs die niemand heeft opgelost.
Risico 2: lookalike-adressen en address poisoning
Oplichters gebruiken generatie in vanity-stijl voor een ander doel: het kopiëren van de zichtbare delen van jouw adressen.
Zo werkt een address-poisoning-aanval:
- 1De aanvaller houdt de blockchain in de gaten op actieve wallets en de adressen waar ze vaak naartoe sturen.
- 2Hij genereert een lookalike-adres dat overeenkomt met de eerste en laatste tekens van een van die adressen.
- 3Hij stuurt je vanaf het lookalike-adres een transactie zonder waarde, een piepkleine transactie of een nep-tokenoverdracht, zodat het in je transactiegeschiedenis verschijnt.
- 4Later kopieer je een adres uit je geschiedenis om een betaling te doen en pak je per ongeluk het lookalike-adres.
- 5Je geld gaat naar de aanvaller, en blockchaintransacties kunnen niet worden teruggedraaid.
Onze uitgebreide gids over address-poisoning-aanvallen behandelt varianten van deze oplichting.
Een samengesteld voorbeeld (hypothetisch)
Dit is een verzonnen voorbeeld. Stel je voor dat ‘Leo’ regelmatig stablecoins stuurt naar zijn stortingsadres bij een exchange, dat begint met ‘0x7a3f’ en eindigt op ‘c91e’. Op een dag verschijnt in zijn walletgeschiedenis een overdracht van nul tokens vanaf een adres dat ook begint met ‘0x7a3f’ en eindigt op ‘c91e’, maar in het midden andere tekens heeft. Een week later opent Leo zijn geschiedenis, kopieert het meest recente adres dat lijkt te kloppen, controleert de eerste en laatste vier tekens en stuurt een groot bedrag. Het gaat naar de oplichter.
Checklist met waarschuwingssignalen
- Overdrachten zonder waarde of dust-overdrachten van onbekende adressen in je geschiedenis.
- Onbekende tokens die ‘verstuurd’ zijn vanaf een adres dat lijkt op een adres dat jij gebruikt.
- Een adres dat aan de uiteinden overeenkomt maar in het midden verschilt.
- Een website of persoon die aanbiedt een aangepast adres ‘voor jou’ te genereren.
- Een vanity-tool die closed source is, niet wordt onderhouden of agressief wordt aangeprezen.
- Druk om snel te versturen, zonder tijd voor een testtransactie.
Zo bescherm je jezelf
| Situatie | Veilige werkwijze |
|---|---|
| Versturen naar een vaste ontvanger | Sla het adres na verificatie één keer op in het adresboek van je wallet; verstuur vanaf daar |
| Een adres kopiëren | Kopieer uit het geverifieerde verzoek van de ontvanger of je adresboek, nooit uit je transactiegeschiedenis |
| Een adres controleren | Vergelijk het volledige adres, of in elk geval veel tekens aan het begin, in het midden en aan het eind |
| Grote overboekingen | Stuur eerst een klein testbedrag en laat de ontvangst bevestigen |
| Een hardware wallet gebruiken | Controleer het volledige adres op het scherm van het apparaat voordat je goedkeurt |
| Een vanity-adres willen | Gebruik goed gecontroleerde opensourcesoftware op je eigen offline apparaat, of zie ervan af |
Onze gids over hoe je een walletadres controleert voordat je verstuurt geeft een stapsgewijze routine. Sommige wallets verbergen of markeren ook overdrachten zonder waarde; zet die filters aan als ze beschikbaar zijn.
Wat te doen als het al is gebeurd
- Als je geld naar een lookalike-adres hebt gestuurd: je kunt dat meestal niet terugdraaien. Noteer de transactiehash, meld het adres bij je walletaanbieder en de betrokken exchange, en meld het via onze pagina voor het melden van oplichting. Als het geld bij een exchange belandt, kan die mogelijk ingrijpen.
- Als je vanity-adres met een zwakke tool is gemaakt: zet je tegoed meteen over naar een nieuwe wallet die is gemaakt met standaard, goed gecontroleerde software, en trek daarna de tokengoedkeuringen van het oude adres in.
- Als je vermoedt dat je sleutels zijn uitgelekt: volg wat je direct moet doen als je wallet is gecompromitteerd.
Wees op je hoede voor iedereen die contact met je opneemt en belooft je geld tegen betaling terug te halen; dat is een veelvoorkomende vervolgoplichting.
Conclusie
Een vanity-adres is puur cosmetisch, maar de risico’s erachter zijn echt: zwakke generatoren kunnen je privésleutel blootleggen, en dezelfde trucs met patroonherkenning laten oplichters adressen maken die op de jouwe lijken. Genereer sleutels alleen met betrouwbare software, kopieer adressen uit geverifieerde bronnen, controleer de hele tekenreeks en gebruik testtransacties bij grote bedragen.
Veelgestelde vragen
Wat is een vanity-adres in crypto?
Een vanity-adres is een walletadres met een gekozen patroon, zoals een woord of een reeks herhaalde tekens, meestal aan het begin of het eind. Het wordt gemaakt door enorme aantallen sleutelparen te genereren tot er één een adres oplevert dat bij het patroon past. Het werkt als elk ander adres, maar de manier waarop het is gegenereerd is erg belangrijk voor de veiligheid.
Zijn vanity-adressen veilig?
Dat kan, als de privésleutel met sterke willekeur op je eigen apparaat is gegenereerd met goed gecontroleerde software. Ze worden gevaarlijk als je een online generator gebruikt, een derde partij die een kopie van de sleutel kan bewaren of een tool met een zwakke willekeurige getallengenerator. Tegoed op zulke adressen kan op elk moment worden gestolen.
Hoe werkt oplichting met lookalike-adressen?
Oplichters genereren adressen waarvan de eerste en laatste tekens overeenkomen met een adres dat jij gebruikt, en sturen je daarna een piepkleine transactie of een transactie zonder waarde, zodat hun lookalike-adres in je geschiedenis verschijnt. Kopieer je later een adres uit je geschiedenis in plaats van uit een betrouwbare bron, dan stuur je je geld mogelijk naar de oplichter.
Hoe voorkom ik dat ik crypto naar een lookalike-adres stuur?
Kopieer adressen uit een betrouwbare bron, zoals je opgeslagen adresboek of het geverifieerde verzoek van de ontvanger, niet uit je transactiegeschiedenis. Vergelijk het volledige adres, niet alleen het begin en eind, en stuur bij grote overboekingen eerst een klein testbedrag. Met hardware wallets kun je het volledige adres op een apart scherm bevestigen.