Отравление адреса: ловушка копирования, которая опустошает кошельки

Отравление адреса (address poisoning) — это мошенничество, при котором злоумышленник подбрасывает в историю ваших транзакций почти идентичный адрес кошелька, обычно отправив вам крошечный или фальшивый перевод, в расчёте на то, что позже вы скопируете этот адрес вместо настоящего и отправите средства злоумышленнику. Ваш кошелёк при этом не взламывают: схема эксплуатирует привычку копировать адреса из недавней активности и сверять только несколько первых и последних символов.

Атака стала распространённой в сетях, где часто переводят стейблкоины, такие как USDT и USDC, потому что крупные регулярные переводы между одними и теми же адресами легко заметить в публичном блокчейне. Потери бывают большими, так как жертвы нередко переводят значительные суммы на адреса, которым доверяют. Хорошая новость в том, что несколько простых привычек почти полностью её останавливают.

Как работает атака с отравлением адреса

Атака обычно развивается по одной схеме:

1. 1Наблюдение. Злоумышленник отслеживает блокчейн в поисках кошельков, которые регулярно отправляют средства, например с личного кошелька на депозитный адрес биржи.
2. 2Создание двойника. С помощью программы для генерации адресов злоумышленник создаёт адрес, у которого первые и последние символы совпадают с адресом получателя, которым вы пользуетесь. Адреса кошельков длинные, и многие кошельки сокращают их до вида 0x1a2b...9f8e, поэтому для обмана важны только видимые символы.
3. 3Отравление истории. Злоумышленник отправляет транзакцию, из-за которой похожий адрес появляется в вашей активности. Это может быть перевод токенов с нулевой стоимостью, крошечная сумма настоящего токена или перевод фальшивого токена, копирующего название настоящего стейблкоина.
4. 4Ожидание. В следующий раз, отправляя средства, вы открываете историю, видите то, что похоже на ваш обычный адрес, копируете его и отправляете. Деньги уходят злоумышленнику.

Поскольку фальшивая запись появляется в вашей собственной истории, часто прямо рядом с настоящими переводами, она кажется надёжной. Подробнее читайте в статье Мошенничество pig butchering.

Почему этот трюк так хорошо работает

Уязвимыми людей делают несколько повседневных привычек:

• Сокращённые адреса. Кошельки и обозреватели часто показывают только начало и конец адреса.
• Копирование из истории. Удобно скопировать «адрес, который я использовал в прошлый раз», вместо того чтобы взять его из первоисточника.
• Фальшивые токены с настоящими названиями. Перевод токена под названием «USDT» выглядит обычно, даже если контракт поддельный.
• Рутина. Те, кто каждую неделю повторяет один и тот же перевод, со временем перестают внимательно проверять.

В сокращённом виде они идентичны. Разницу показывает только полное сравнение. Подробнее об этом — в нашей статье Вредоносные программы, подменяющие буфер обмена.

Как защититься

Эти привычки почти полностью сводят на нет отравление адреса:

1. 1Никогда не копируйте адреса из истории транзакций. Относитесь к истории как к журналу, а не как к адресной книге.
2. 2Пользуйтесь сохранённой адресной книгой или белым списком. Сохраните проверенные адреса один раз, чётко их подпишите и отправляйте только на сохранённые записи. Многие биржи также предлагают белый список адресов для вывода.
3. 3Берите адреса из первоисточника. При пополнении биржи каждый раз копируйте адрес заново со страницы депозита биржи, проверяя сеть.
4. 4Проверяйте адрес целиком. Сравнивайте не только первые и последние символы, а желательно и несколько фрагментов в середине.
5. 5Отправьте тестовую транзакцию. Перед любым крупным переводом сначала отправьте небольшую сумму и убедитесь, что она дошла, как описано в нашем руководстве о том, как отправлять криптовалюту и не потерять её.
6. 6Скрывайте спам-токены. Используйте функцию пометки спама или скрытия в кошельке для неизвестных токенов, чтобы они не загромождали экран.
7. 7Подтверждайте на экране аппаратного кошелька. Если вы им пользуетесь, прочитайте адрес получателя на устройстве перед подтверждением.

Как распознать попытку отравления

Ищите в своей активности такие признаки:

• Входящие переводы с нулевой стоимостью или на крошечные суммы с незнакомых адресов.
• Токены со знакомыми названиями, которые вы никогда не покупали, особенно подделки под стейблкоины.
• Адрес в истории, похожий на один из ваших постоянных контактов, но появившийся вскоре после того, как вы совершили с ним транзакцию.

В обозревателе блоков фальшивые токены часто ведут на неофициальные контракты. Проверить, настоящий ли токен, можно, сравнив его контракт с официальным адресом, как объясняется в нашем руководстве по проверке адреса контракта токена.

Что делать, если вы отправили средства на отравленный адрес

Переводы в блокчейне необратимы, но несколько шагов всё же стоит предпринять:

• Запишите хеш транзакции, адреса и время.
• Если средства прошли через биржу или эмитента стейблкоина, немедленно свяжитесь с ними; некоторые эмитенты в определённых случаях могут заморозить токены.
• Сообщите об инциденте в полицию и в службу по борьбе с мошенничеством своей страны, а также сообщите нам адрес мошенника, чтобы мы могли предупредить других.
• Игнорируйте всех, кто связывается с вами и предлагает гарантированный возврат за плату. Такие «сервисы по возврату» часто оказываются вторым мошенничеством.

Подробнее читайте в статье Мошенничество с копитрейдингом.

Подробнее мы разбираем это в статье Вредоносное ПО в фальшивых тестовых заданиях на криптовакансии.

Читайте также: Фишинг через поддельный WalletConnect и всплывающие окна кошельков.

Итог

Отравление адреса не взламывает защиту кошелька — оно обращает удобную привычку против вас. Перестаньте копировать адреса из истории, пользуйтесь подписанной адресной книгой или белым списком, сравнивайте адрес целиком и отправляйте тестовую транзакцию перед крупными переводами. Эти несколько секунд проверки — разница между обычным платежом и необратимой потерей. Больше способов защиты — в наших руководствах по безопасности.