Un wallet Ethereum che non aveva registrato transazioni in uscita da più di un decennio ha spostato circa 4,6 milioni di dollari lunedì, nonostante un tentativo di address poisoning iniziato pochi minuti dopo che il proprietario aveva inviato un piccolo pagamento di prova. Il tentativo di inganno ha messo in luce i rischi legati al copia-incolla che accompagnano la verifica ordinaria dei trasferimenti.

CoinDesk ha identificato il wallet come 0x7dDd…59Bc, finanziato per la prima volta nel blocco genesi di Ethereum di luglio 2015. L'indirizzo può essere consultato su Etherscan. Ulteriori 755 ETH sono arrivati a marzo 2016, dopodiché il wallet è rimasto senza trasferimenti in uscita per più di dieci anni.

Trasferimenti lookalike entro tre minuti

Alle 22:04 UTC del 9 novembre, il wallet ha inviato 0,05 ETH a un nuovo destinatario, un indirizzo che iniziava con 0x1321beb8 e terminava con 1A44, secondo il report della transazione. Entro tre minuti, minuscoli trasferimenti sono comparsi da due indirizzi simili a quel destinatario. Entrambi terminavano con 1A44, ma i caratteri iniziali erano diversi. CoinDesk ha riportato che Etherscan ha etichettato gli account che li finanziavano come "Fake_Phishing". Uno dei lookalike avrebbe inviato 43 pagamenti dust, inserendo indirizzi ingannevoli nell'attività recente del wallet e creando una trappola per futuri errori di copia-incolla.

Come funziona l'address poisoning

Lo schema non richiede agli attaccanti di violare una blockchain o rubare chiavi private. Si basa invece su un utente che copia un indirizzo contraffatto dalla cronologia delle transazioni. Le interfacce dei wallet abbreviano frequentemente gli indirizzi, il che può nascondere le differenze tra destinazioni autentiche e contraffatte.

Un'indagine esaminata a ottobre da Bitquery, azienda di analisi blockchain, documentata nella sua ricerca sull'address poisoning, ha dettagliato la minaccia più ampia. I ricercatori hanno tracciato 1.635 vittime e perdite accertate per 76,1 milioni di dollari in dodici mesi. Il set di dati copriva la mainnet di Ethereum fino al 31 luglio 2026, non tutte le blockchain, e contava quasi 67 milioni di tentativi di poisoning mirati a circa otto milioni di wallet. I ricercatori hanno caratterizzato il totale delle perdite accertate come un valore minimo, non una stima completa.

Il pericolo va oltre i tentativi falliti. Una vittima a dicembre 2025 ha inviato un pagamento di prova di 50 dollari e successivamente ha perso quasi 50 milioni di dollari in USDT. Bitquery ha scoperto che un indirizzo lookalike è entrato nella cronologia della vittima dopo il test, dimostrando che un test riuscito da solo non può autenticare un indirizzo copiato successivamente. Il tentativo sul wallet dormiente da lungo tempo ha rispecchiato quella sequenza documentata — prima un pagamento di prova, poi indirizzi lookalike comparsi nella sua cronologia recente nel giro di pochi minuti.

Il trasferimento maggiore evita gli indirizzi avvelenati

Alle 22:20 UTC, il nuovo destinatario ha inoltrato 0,01 ETH, con la maggior parte restituita poco dopo. Alle 22:42 UTC, circa 38 minuti dopo il test iniziale, il wallet originale ha trasferito 2.154,94 ETH. Il pagamento maggiore è arrivato al destinatario originale del test, non a nessuno dei due indirizzi lookalike segnalati, stabilendo che il tentativo visibile non ha dirottato il trasferimento.

Tuttavia, i record on-chain non possono rivelare come il mittente ha selezionato o verificato la destinazione, né possono stabilire l'identità del proprietario del wallet o il motivo dello spostamento dei fondi.

CoinCentral aveva precedentemente trattato l'avvertimento di Citi secondo cui lo spam da address poisoning può distorcere l'attività transazionale di Ethereum, una preoccupazione sottolineata dal volume di tentativi nei dati di Bitquery. Bitquery raccomanda di copiare le destinazioni da fonti affidabili anziché da cronologie delle transazioni non verificate, e le sue conclusioni identificano il filtraggio dust come una potenziale salvaguardia per i fornitori di wallet — una funzionalità che filtrerebbe i minuscoli trasferimenti usati per seminare le cronologie con indirizzi lookalike. Se i fornitori di wallet adotteranno tale filtraggio è uno sviluppo da seguire, e qualsiasi ulteriore movimento dall'indirizzo dell'era genesi sarebbe visibile nei record on-chain pubblici.