Address poisoning: pułapka kopiuj-wklej, która opróżnia portfele

Address poisoning (zatruwanie adresów) to oszustwo, w którym atakujący umieszcza łudząco podobny adres portfela w twojej historii transakcji, zwykle wysyłając ci drobny lub fałszywy przelew, licząc na to, że później skopiujesz ten adres zamiast prawdziwego i wyślesz mu środki. Atak nie włamuje się do portfela; wykorzystuje nawyk kopiowania adresów z ostatniej aktywności i sprawdzania tylko pierwszych i ostatnich znaków.

Atak stał się powszechny w sieciach, w których często przesyła się stablecoiny, takie jak USDT i USDC, ponieważ duże, powtarzające się przelewy między tymi samymi adresami łatwo wypatrzyć w publicznym blockchainie. Straty bywają duże, bo ofiary często przesyłają znaczne kwoty na adresy, którym ufają. Dobra wiadomość jest taka, że kilka prostych nawyków niemal całkowicie go powstrzymuje.

Jak działa atak address poisoning

Atak zwykle przebiega według tego samego schematu:

1. 1Obserwacja. Atakujący monitoruje blockchain w poszukiwaniu portfeli, które regularnie wysyłają środki, na przykład z prywatnego portfela na adres depozytowy giełdy.
2. 2Tworzenie sobowtóra. Za pomocą oprogramowania do generowania adresów atakujący tworzy adres, którego pierwsze i ostatnie znaki pasują do używanego przez ciebie adresu docelowego. Adresy portfeli są długie, a wiele portfeli skraca je do postaci w rodzaju 0x1a2b...9f8e, więc dla tego triku liczą się tylko widoczne znaki.
3. 3Zatruwanie historii. Atakujący wysyła transakcję, dzięki której podobny adres pojawia się w twojej aktywności. Może to być przelew tokenów o zerowej wartości, drobna kwota prawdziwego tokena albo przelew fałszywego tokena, który kopiuje nazwę prawdziwego stablecoina.
4. 4Czekanie. Gdy następnym razem wysyłasz środki, otwierasz historię, widzisz coś, co wygląda jak twój zwykły adres, kopiujesz go i wysyłasz. Pieniądze trafiają do atakującego.

Ponieważ fałszywy wpis pojawia się w twojej własnej historii, często tuż obok prawdziwych przelewów, wydaje się wiarygodny. Więcej na ten temat znajdziesz w artykule Oszustwa typu pig butchering.

Dlaczego ten trik działa tak dobrze

Kilka codziennych nawyków sprawia, że ludzie są podatni:

• Skrócone adresy. Portfele i eksploratory często pokazują tylko początek i koniec adresu.
• Kopiowanie z historii. Wygodnie jest skopiować „adres, którego użyłem ostatnio”, zamiast pobrać go z pierwotnego źródła.
• Fałszywe tokeny z prawdziwymi nazwami. Przelew pokazujący token o nazwie „USDT” wygląda normalnie, mimo że kontrakt jest fałszywy.
• Rutyna. Osoby, które co tydzień wykonują ten sam przelew, z czasem przestają dokładnie sprawdzać.

Po skróceniu oba wyglądają identycznie. Dopiero porównanie pełnych adresów ujawnia różnicę. Nasz artykuł Złośliwe oprogramowanie podmieniające schowek rozwija ten temat.

Jak się chronić

Te nawyki niemal całkowicie neutralizują address poisoning:

1. 1Nigdy nie kopiuj adresów z historii transakcji. Traktuj historię jak rejestr, a nie książkę adresową.
2. 2Korzystaj z zapisanej książki adresowej lub białej listy. Zapisz zweryfikowane adresy raz, wyraźnie je opisz i wysyłaj tylko na zapisane pozycje. Wiele giełd oferuje też białą listę adresów do wypłat.
3. 3Pobieraj adresy ze źródła. Przy wpłacie na giełdę za każdym razem kopiuj adres na nowo ze strony depozytu giełdy i sprawdzaj sieć.
4. 4Sprawdzaj pełny adres. Porównuj więcej niż pierwsze i ostatnie znaki, najlepiej także kilka fragmentów ze środka.
5. 5Wyślij transakcję testową. Przy każdym dużym przelewie najpierw wyślij małą kwotę i potwierdź, że dotarła, jak opisano w naszym poradniku o wysyłaniu kryptowalut bez ich utraty.
6. 6Ukrywaj tokeny spamowe. Używaj funkcji oznaczania spamu lub ukrywania w portfelu dla nieznanych tokenów, aby nie zaśmiecały widoku.
7. 7Potwierdzaj na ekranie portfela sprzętowego. Jeśli z niego korzystasz, przeczytaj adres docelowy na urządzeniu przed zatwierdzeniem.

Jak rozpoznać próbę zatrucia

Szukaj w swojej aktywności tych sygnałów:

• Przychodzące przelewy o zerowej wartości lub na drobne kwoty z adresów, których nie znasz.
• Tokeny o znajomych nazwach, których nigdy nie kupowałeś, zwłaszcza podróbki stablecoinów.
• Adres w historii, który przypomina jeden z twoich stałych kontaktów, ale pojawia się krótko po tym, jak wykonałeś z nim transakcję.

W eksploratorze bloków fałszywe tokeny często prowadzą do nieoficjalnych kontraktów. Możesz sprawdzić, czy token jest prawdziwy, porównując jego kontrakt z oficjalnym adresem, jak wyjaśniono w naszym poradniku o weryfikacji adresu kontraktu tokena.

Co zrobić, jeśli wysłałeś środki na zatruty adres

Przelewów w blockchainie nie da się cofnąć, ale warto podjąć kilka kroków:

• Zapisz hash transakcji, adresy i godzinę.
• Jeśli środki przeszły przez giełdę lub emitenta stablecoina, natychmiast się z nimi skontaktuj; niektórzy emitenci mogą w określonych przypadkach zamrozić tokeny.
• Zgłoś incydent policji i krajowej instytucji przyjmującej zgłoszenia oszustw, a także zgłoś nam adres oszusta, abyśmy mogli ostrzec innych.
• Ignoruj każdego, kto kontaktuje się z tobą, oferując gwarantowane odzyskanie środków za opłatą. Takie „usługi odzyskiwania” często są drugim oszustwem.

Więcej na ten temat znajdziesz w artykule Oszustwa związane z copy tradingiem.

Szerzej omawiamy to w artykule Złośliwe oprogramowanie w fałszywych testach programistycznych przy rekrutacji do pracy w krypto.

Powiązana lektura: Phishing przez fałszywe WalletConnect i wyskakujące okna portfeli.

Podsumowanie

Address poisoning nie łamie zabezpieczeń portfela; obraca wygodny nawyk przeciwko tobie. Przestań kopiować adresy z historii, korzystaj z opisanej książki adresowej lub białej listy, porównuj pełny adres i wysyłaj transakcję testową przed dużymi przelewami. Tych kilka sekund sprawdzania to różnica między rutynową płatnością a nieodwracalną stratą. Więcej sposobów ochrony znajdziesz w naszych poradnikach o bezpieczeństwie.