Отруєння адреси: пастка копіювання, яка спустошує гаманці

Отруєння адреси (address poisoning) — це шахрайство, під час якого зловмисник підкидає в історію ваших транзакцій майже ідентичну адресу гаманця, зазвичай надіславши вам крихітний або фальшивий переказ, розраховуючи, що згодом ви скопіюєте цю адресу замість справжньої і надішлете кошти зловмиснику. Ваш гаманець при цьому не зламують: схема використовує звичку копіювати адреси з нещодавньої активності й звіряти лише кілька перших і останніх символів.

Атака поширилася в мережах, де часто переказують стейблкоїни, як-от USDT і USDC, адже великі регулярні перекази між тими самими адресами легко помітити в публічному блокчейні. Втрати бувають великими, бо жертви нерідко переказують значні суми на адреси, яким довіряють. Добра новина в тому, що кілька простих звичок майже повністю її зупиняють.

Як працює атака з отруєнням адреси

Атака зазвичай розгортається за однією схемою:

1. 1Спостереження. Зловмисник відстежує блокчейн у пошуках гаманців, які регулярно надсилають кошти, наприклад з особистого гаманця на депозитну адресу біржі.
2. 2Створення двійника. За допомогою програми для генерації адрес зловмисник створює адресу, у якої перші й останні символи збігаються з адресою отримувача, якою ви користуєтеся. Адреси гаманців довгі, і багато гаманців скорочують їх до вигляду 0x1a2b...9f8e, тож для обману важливі лише видимі символи.
3. 3Отруєння історії. Зловмисник надсилає транзакцію, через яку схожа адреса з’являється у вашій активності. Це може бути переказ токенів із нульовою вартістю, крихітна сума справжнього токена або переказ фальшивого токена, що копіює назву справжнього стейблкоїна.
4. 4Очікування. Наступного разу, надсилаючи кошти, ви відкриваєте історію, бачите те, що схоже на вашу звичну адресу, копіюєте її й надсилаєте. Гроші йдуть зловмиснику.

Оскільки фальшивий запис з’являється у вашій власній історії, часто просто поруч зі справжніми переказами, він здається надійним. Докладніше читайте у статті Шахрайство pig butchering.

Чому цей трюк так добре працює

Уразливими людей роблять кілька повсякденних звичок:

• Скорочені адреси. Гаманці й оглядачі часто показують лише початок і кінець адреси.
• Копіювання з історії. Зручно скопіювати «адресу, яку я використовував минулого разу», замість того щоб узяти її з першоджерела.
• Фальшиві токени зі справжніми назвами. Переказ токена з назвою «USDT» виглядає звично, навіть якщо контракт підроблений.
• Рутина. Ті, хто щотижня повторює той самий переказ, з часом перестають уважно перевіряти.

У скороченому вигляді вони ідентичні. Різницю показує лише повне порівняння. Докладніше про це — у нашій статті Шкідливі програми, що підміняють буфер обміну.

Як захиститися

Ці звички майже повністю зводять нанівець отруєння адреси:

1. 1Ніколи не копіюйте адреси з історії транзакцій. Сприймайте історію як журнал, а не як адресну книгу.
2. 2Користуйтеся збереженою адресною книгою або білим списком. Збережіть перевірені адреси один раз, чітко їх підпишіть і надсилайте лише на збережені записи. Багато бірж також пропонують білий список адрес для виведення.
3. 3Беріть адреси з першоджерела. Під час поповнення біржі щоразу копіюйте адресу заново зі сторінки депозиту біржі, перевіряючи мережу.
4. 4Перевіряйте адресу повністю. Порівнюйте не лише перші й останні символи, а бажано й кілька фрагментів посередині.
5. 5Надішліть тестову транзакцію. Перед будь-яким великим переказом спершу надішліть невелику суму й переконайтеся, що вона надійшла, як описано в нашому посібнику про те, як надсилати криптовалюту й не втратити її.
6. 6Приховуйте спам-токени. Використовуйте функцію позначення спаму або приховування в гаманці для невідомих токенів, щоб вони не захаращували екран.
7. 7Підтверджуйте на екрані апаратного гаманця. Якщо ви ним користуєтеся, прочитайте адресу отримувача на пристрої перед підтвердженням.

Як розпізнати спробу отруєння

Шукайте у своїй активності такі ознаки:

• Вхідні перекази з нульовою вартістю або на крихітні суми з незнайомих адрес.
• Токени зі знайомими назвами, які ви ніколи не купували, особливо підробки під стейблкоїни.
• Адреса в історії, схожа на один із ваших постійних контактів, але яка з’явилася невдовзі після того, як ви здійснили з ним транзакцію.

В оглядачі блоків фальшиві токени часто ведуть на неофіційні контракти. Перевірити, чи справжній токен, можна, порівнявши його контракт з офіційною адресою, як пояснюється в нашому посібнику з перевірки адреси контракту токена.

Що робити, якщо ви надіслали кошти на отруєну адресу

Перекази в блокчейні незворотні, але кілька кроків усе ж варто зробити:

• Запишіть хеш транзакції, адреси та час.
• Якщо кошти пройшли через біржу або емітента стейблкоїна, негайно зв’яжіться з ними; деякі емітенти в окремих випадках можуть заморозити токени.
• Повідомте про інцидент поліцію та службу протидії шахрайству своєї країни, а також повідомте нам адресу шахрая, щоб ми могли попередити інших.
• Ігноруйте всіх, хто зв’язується з вами й пропонує гарантоване повернення за плату. Такі «сервіси повернення» часто виявляються другим шахрайством.

Докладніше читайте у статті Шахрайство з копітрейдингом.

Докладніше ми розбираємо це у статті Шкідливе ПЗ у фальшивих тестових завданнях на криптовакансії.

Читайте також: Фішинг через підроблений WalletConnect і спливні вікна гаманців.

Підсумок

Отруєння адреси не зламує захист гаманця — воно обертає зручну звичку проти вас. Припиніть копіювати адреси з історії, користуйтеся підписаною адресною книгою або білим списком, порівнюйте адресу повністю й надсилайте тестову транзакцію перед великими переказами. Ці кілька секунд перевірки — різниця між звичайним платежем і незворотною втратою. Більше способів захисту — у наших посібниках із безпеки.