Un détenteur de USDT perd 50 000 $ dans une attaque de contamination d'adresse Ethereum

Un utilisateur de cryptomonnaie a perdu environ 50 000 $ en USDT à cause d'une attaque de contamination d'adresse sur Ethereum, selon Scam Sniffer.

Résumé

• Un utilisateur a perdu environ 50 000 $ en USDT sur Ethereum, selon Scam Sniffer.
• L'adresse frauduleuse correspondait aux quatre premiers et aux six derniers caractères du destinataire prévu.
• Une victime antérieure a perdu 100 000 USDT après qu'une adresse soit restée plantée pendant 66 jours.
• MetaMask indique qu'il affiche un avertissement de blocage lorsque la destination ressemble à une adresse précédemment utilisée.

Scam Sniffer a déclaré que l'adresse frauduleuse correspondait aux quatre premiers et aux six derniers caractères du destinataire prévu. La plateforme de sécurité a partagé les deux adresses avec une capture d'écran de l'historique des transactions montrant le paiement mal dirigé.

La contamination d'adresse exploite des enregistrements de paiement familiers

Dans ses conseils de sécurité, MetaMask décrit la contamination d'adresse comme une escroquerie qui place une adresse ressemblante dans l'historique des transactions d'un utilisateur. Les attaquants surveillent les transferts de jetons, souvent impliquant des stablecoins, puis génèrent une adresse ressemblant à celle qu'a utilisée la cible.

Selon le fournisseur de portefeuille, un transfert de valeur négligeable ou de jeton zéro peut mettre l'imitation dans l'enregistrement d'activité de la cible. L'attaquant attend que l'utilisateur copie la mauvaise destination lors de la préparation d'un paiement ultérieur.

MetaMask explique que les affichages d'adresses raccourcies peuvent dissimuler la différence : les caractères d'ouverture et de fermeture semblent familiers tandis que le milieu de l'adresse diffère.

Les vols de USDT antérieurs impliquaient des adresses plantées et des transferts de test

Dans un cas du 11 août, crypto.news a précédemment rapporté qu'un utilisateur avait perdu environ 100 000 USDT après avoir sélectionné une adresse imitation plantée dans l'historique du portefeuille 66 jours plus tôt, selon Cyvers Alerts.

Cyvers a déclaré que la victime s'était fiée à l'enregistrement historique sans comparer l'intégralité de la destination. Après avoir reçu le paiement, l'attaquant a échangé les USDT contre de l'ETH, le portefeuille récepteur détenant environ 52,8 ETH lorsque la société de sécurité a publié son alerte.

La société a décrit l'incident comme une ingénierie sociale impliquant un enregistrement d'adresse falsifié. Son compte initial n'a pas identifié la victime ni signalé un accord de récupération, de retour ou d'intervention d'échange. Cyvers a attribué la perte à l'absence de vérification de l'adresse complète et a conseillé de ne pas traiter l'historique des transactions comme un carnet d'adresses de confiance. La société de sécurité a déclaré que la conversion semblait destinée à réduire le risque que les stablecoins soient gelés.

Un autre cas couvert le 21 décembre 2025 impliquait un trader qui a transféré 49 999 950 USDT à une destination frauduleuse après avoir d'abord envoyé un paiement de test de 50 USDT au destinataire prévu.

Selon ce compte, l'attaquant a inséré une transaction de poussière de 0,005 USDT dans l'historique de la victime avant le paiement plus important. L'imitation correspondait aux trois premiers et aux quatre derniers caractères de la destination légitime, et la victime l'a copiée lors de la préparation du transfert restant.

La surveillance de SlowMist citée dans la couverture a déclaré que les fonds avaient été convertis en ETH, répartis sur des portefeuilles et partiellement déplacés via Tornado Cash. La victime a ensuite offert une récompense d'un million de dollars et a exigé le retour de 98 % des fonds dans les 48 heures par le biais d'un message en chaîne.

MetaMask documente les avertissements avant l'envoi de fonds

MetaMask indique que son portefeuille compare une destination proposée avec les adresses dans l'historique des transactions de l'expéditeur. Si une nouvelle destination ressemble de près à une adresse précédemment utilisée, le logiciel affiche un avertissement de blocage avant la soumission.

Sa documentation donne l'exemple de la correspondance des quatre premiers et derniers caractères avec des caractères différents au milieu. Un avertissement distinct apparaît lorsque les utilisateurs envoient des fonds à une adresse avec laquelle ils n'ont jamais interagi, bien que le fournisseur indique qu'une destination inconnue n'est pas nécessairement malveillante.

MetaMask recommande d'enregistrer les destinations vérifiées dans les Contacts.

Le filtrage des explorateurs a suscité des critiques concernant les enregistrements contaminés

Le 14 mars, le co-fondateur de Binance, Changpeng Zhao, a critiqué le spam de l'historique des transactions après qu'un utilisateur identifié comme Nima a signalé avoir reçu 89 e-mails de contamination d'adresse en moins de 30 minutes après deux transferts de stablecoin sur Ethereum.

Zhao a déclaré que Trust Wallet avait déjà filtré les transactions et a appelé les explorateurs de blockchain à supprimer les entrées malveillantes. Le rapport incluait une clarification d'un utilisateur identifié comme Xeift selon laquelle Etherscan cachait par défaut les transferts de valeur zéro, tandis que BscScan et Basescan exigeaient que les utilisateurs activent un contrôle "cacher les tx de 0 montant".

Nima a averti : "Tant de gens vont tomber victimes de cela," selon la couverture. Les messages rapportés documentaient des tentatives de contamination répétées ; ils n'ont pas été décrits comme 89 vols complétés. Etherscan a émis un avertissement concernant la méthode, expliquant que les attaquants essaient de persuader les utilisateurs de copier des destinations ressemblantes à partir de l'historique des transactions.

Zhao a reconnu que le filtrage pourrait affecter les petits paiements entre agents d'IA et a suggéré d'utiliser l'IA pour distinguer les transferts légitimes des spams.

En juin 2024, Ledger a averti au sujet de transactions fictives conçues pour faire croire aux utilisateurs qu'ils avaient précédemment envoyé des fonds à l'adresse d'un attaquant. Son avertissement décrivait des adresses d'imitation partageant les quatre ou cinq premiers et les quatre ou cinq derniers caractères d'une destination légitime.

Ledger a déclaré qu'une entrée non sollicitée ne transférerait pas elle-même de valeur hors du compte du destinataire. Un paiement sortant nécessiterait que l'utilisateur initie et signe une transaction avec l'appareil. La société a conseillé aux utilisateurs de cacher les jetons et les NFT indésirables dans l'interface du portefeuille et d'éviter d'interagir avec des actifs ou des adresses associées suspects.

L'avertissement de Ledger couvrait de petits dépôts de cryptomonnaie et des NFT déguisés en bons, ce qui pourrait amener les utilisateurs à renvoyer des actifs à un compte d'escroquerie.

Selon les conseils de Ledger de juin 2024, les utilisateurs pouvaient retirer un actif non sollicité de la vue en cliquant dessus avec le bouton droit et en choisissant l'option de cacher le jeton ou la collection de NFT.