Адреси криптогаманців регулярно піддаються отруєнню. Ця людина втратила майже 400 тисяч злотих

Один з криптовалютників щойно втратив майже чотириста тисяч злотих через атаку типу «отруєння адреси». Коротко: він надіслав свої заощадження на адресу гаманця шахрая, вважаючи, що це його власний. Експерти з кібербезпеки попереджають, що такі процедури стають все більш поширеними, а злочинці використовують автоматизацію і сподіваються, що завдяки закону великих чисел їм вдасться «піймати» достатню кількість жертв. Як показують статистичні дані, їм це вдається надзвичайно часто. У цій статті ми детально опишемо, у чому полягає процес отруєння адреси та як від нього захиститися.

Найважливіші факти

• Жертва втратила понад 100 тисяч USDT, скопіювавши адресу з історії транзакцій свого гаманця.
• Атака називається отруєнням адреси (address poisoning).
• Викрадені стейблкоїни були обміняні на 52,8 ETH менш ніж за півтори хвилини, що унеможливило замороження коштів компанією Tether, емітентом стейблкоїна USDT.
• У 2022-2024 роках дослідники зафіксували 270 млн спроб таких атак на Ethereum та мережу BNB, 17 млн атакованих адрес і підрахували 83,8 млн USD збитків.
• Наприкінці липня 2026 року злочинці пішли ще далі і підмінили рекламний скрипт компанії Adform, який підміняв адреси гаманців безпосередньо в буфері обміну користувача.

Отруєння адреси, тобто ви надсилаєте криптовалюти на чужу адресу

Механізм класичного отруєння адреси досить примітивний, але все ще надзвичайно ефективний. Він полягає в тому, що атакуючий, використовуючи автоматизоване програмне забезпечення, створює величезну кількість адрес на блокчейні, які імітують вже існуючі гаманці користувачів. Перш за все, він намагається відтворити перші та останні 4-6 цифр, оскільки ці елементи найчастіше перевіряються відправниками ще до того, як вони натиснуть кнопку «Надіслати».

Наступним кроком є «заохочення» жертви скористатися фейковою адресою. Це робиться за допомогою так званого dusting, тобто надсилання на адресу жертви (також це повністю автоматизований процес) дрібних безвартісних токенів або NFT, які з'являються в історії транзакцій атакованого.

Запечатання долі жертви залежить потім вже від неї самої. Кіберзлочинець сподівається, що вона, надсилаючи вже кілька разів кошти з одного з її гаманців на інший, скористається (з лінощів) адресою, що знаходиться в історії транзакцій, і скопіює її простим методом копіювання-вставки в поле «Одержувач», МОЖЛИВО перевіряючи раніше перші та/або останні 4-6 цифр.

Якщо все пройде гладко, гроші повністю потраплять на рахунок «отруювача». Згідно з даними Blockaid, один з 200 «підходів» закінчується успіхом. Багато? Мало? Якщо врахувати масштаб (17 млн атакованих за даними 2025 року), вищезгадане число перетворюється на збитки, що досягають майже 90 млн USD (або близько 350-400 млн польських злотих) у періоді 2022-2024.

Новий вектор атаки ще небезпечніший

Отруєння історії транзакцій вимагає, щоб сама жертва вибрала підставлену адресу з власної, непідсумованої волі. Однак нещодавно з'явився вектор атаки, який не вимагає навіть цього.

27 липня на серверах Adform, однієї з найбільших європейських рекламних платформ, з'явилася модифікована версія скрипту trackpoint-async.js. Компанія виявила аномалії вже наступного дня, але шкідливий код був доступний в мережі ще принаймні тиждень.

Механізм був надзвичайно небезпечним. Скрипт кожні кілька секунд перевіряв вміст буфера обміну, до якого ми копіюємо вміст, натискаючи, наприклад, комбінацію клавіш CTRL+C. Коли він виявляв правильно виглядаючу адресу Bitcoin, Ethereum або мережі Tron, він негайно замінював її адресою, що належить шахраю.

На цьому не закінчується. Код також міг:

• підміняти адреси, щойно вставлені в поля форм,
• перехоплювати операції копіювання, вирізання та вставлення,
• знову змінювати адресу після наступного копіювання правильної версії,
• надсилати на сервер інформацію про відвідувану сторінку.

На практиці повторне копіювання правильного адреси не вирішувало проблему. Якщо шкідливий скрипт все ще працював на сторінці, він міг здійснити наступну підміну.

Атаку не вимагало від жертви встановлення програми, завантаження файлу або свідомого запуску підозрілого вкладення. Достатньо було відвідати веб-сайт, що використовує рекламну інфраструктуру Adform і завантажує заражений скрипт.

Масштаб потенційної експозиції був величезним. Адже Adform використовують тисячі компаній, а платформа хвалиться 1,5 мільярдами показів реклами щодня для клієнтів з понад 180 країн.

Як захиститися?

Як не стати жертвою отруєння адреси? При великих переказах слід перевірити всю адресу, а не лише перші та/або останні цифри, найкраще користуючись джерелом, незалежним від того, звідки вона була скопійована.

Також варто дотримуватися кількох правил:

• Не копіювати адреси безпосередньо з історії транзакцій.
• Використовувати адресні книги та білі списки.
• При більших сумах спочатку виконувати тестовий переказ.
• При апаратному гаманці завжди порівнювати адресу з тією, що відображається на екрані пристрою.
• Обмежувати виконання непотрібних скриптів сторонніх компаній у браузері.

У випадку з криптовалютами одна підмінена літера або цифра зазвичай означає незворотну транзакцію. Тому при більших сумах адреса одержувача повинна розглядатися подібно до номера рахунку при банківському переказі, з тією різницею, що на блокчейні зазвичай не існує банку, який може зупинити помилково надіслану операцію.

Цей контент надано лише для загальних інформаційних цілей і не є фінансовою, інвестиційною, юридичною чи податковою консультацією. Події, нагороди, онлайн-акцій або пов’язану інформацію, згадана тут, не слід розглядати як рекомендацію, прохання чи запрошення до купівлі, продажу, торгівлі чи інших операцій з криптоактивами. Криптоактиви є дуже волатильними та можуть призвести до збитків. Доступність послуг, продуктів WEEX та пов’язаних із ними подій може відрізнятися залежно від регіону. Ви несете відповідальність за забезпечення відповідності вашої участі чинному місцевому законодавству та нормативним актам.