Un wallet Ethereum creato nel blocco genesis del 2015 della rete ha inviato fondi per la prima volta in 11 anni, e in meno di tre minuti i truffatori hanno iniziato a irrorare l'indirizzo con dust in un apparente tentativo di address poisoning.

Il proprietario del wallet ha infine spostato 2.154,94 ETH, per un valore di circa 4,6 milioni di dollari al momento, verso la destinazione corretta, evitando gli indirizzi simili piantati nella cronologia delle transazioni.

Due indirizzi simili che terminano con 1A44 hanno imitato il destinatario

L'indirizzo aveva ricevuto ether per la prima volta nel blocco genesis di Ethereum a luglio 2015 e ne aveva raccolti altri 755 ETH a marzo 2016. È rimasto silenzioso fino a lunedì sera, quando ha inviato un pagamento di prova di 0,05 ETH, del valore di circa 106 dollari, alle 22:04 UTC.

Whale Alert ha segnalato la transazione come indirizzo pre-mine dormiente con 2.155 ETH tornato attivo dopo 11,3 anni.

Il pagamento di prova è andato a un nuovo indirizzo che inizia con 0x1321beb8 e termina con 1A44. Entro tre minuti, il vecchio wallet ha iniziato a ricevere piccole quantità di ETH da due indirizzi costruiti per assomigliare a quel destinatario — uno che inizia con 0x13211f, l'altro con 0x1321FB, entrambi con finali 1A44. La rapidità — meno di tre minuti tra il primo movimento e il primo dust — ha mostrato quanto velocemente queste campagne reagiscono quando un indirizzo dormiente di alto valore riappare nell'attività on-chain.

Entrambi gli indirizzi simili sono stati finanziati da account etichettati come "Fake_Phishing" su Etherscan, e il più attivo dei due ha inviato 43 pagamenti di dust al wallet genesis.

Il proprietario ha inviato l'intero ammontare di 2.154,94 ETH 38 minuti dopo

Alle 22:20 UTC, il nuovo wallet ha inviato 0,01 ETH, quasi tutti restituiti tre minuti dopo. Poi, 38 minuti dopo il primo test, alle 22:42 UTC, il vecchio wallet ha inviato l'intero ammontare di 2.154,94 ETH all'indirizzo corretto, 0x1321beb8. Al wallet genesis sono rimasti circa 0,0004 ETH, mentre il destinatario ne deteneva circa 2.155.

L'indirizzo simile 0x1321FB ha inviato di nuovo alle 23:03 UTC, e un terzo indirizzo simile con finale 1A44 ha effettuato trasferimenti a valore zero alle 03:36 e 03:49 UTC di martedì. Il dusting non si è fermato una volta esaurito il saldo, lasciando voci contraffatte piantate nella cronologia del wallet dopo lo spostamento dei fondi.

Come funziona l'address poisoning

L'address poisoning sfrutta il modo in cui i wallet troncano gli indirizzi lunghi. Invece di mostrare tutti i 42 caratteri, un wallet mostra tipicamente una forma abbreviata come 0x6D90…2E48. Gli attaccanti generano milioni di indirizzi vanity finché uno non corrisponde ai primi e agli ultimi caratteri di un contatto reale del bersaglio. Inviano quindi dust o una transazione a valore zero, che inserisce l'indirizzo falso nella cronologia recente della vittima. Se l'utente lo copia per il pagamento successivo, i fondi vanno all'attaccante. Gli indirizzi simili in questo caso hanno replicato ogni carattere mostrato da una visualizzazione troncata — 0x1321 all'inizio, 1A44 alla fine — ed è per questo che verificare l'indirizzo completo di 42 caratteri, o copiare da un contatto salvato anziché dall'attività recente, è la verifica che sventa la corrispondenza.

I trasferimenti su Ethereum non sono reversibili. A dicembre 2025, un trader ha perso circa 50 milioni di dollari in USDT dopo che uno script ha avvelenato la cronologia delle transazioni subito dopo una transazione di prova di 50 dollari. A gennaio 2026, una vittima ha inviato 4.556 ETH per un valore di 12,25 milioni di dollari a un indirizzo controllato da un attaccante, e un'altra vittima ha perso 600.000 dollari a febbraio.

Secondo Cryptopolitan, su Ethereum si registrano oltre un milione di tentativi di poisoning al giorno. A gennaio, Citi ha avvertito che lo spam stava gonfiando i numeri record di transazioni di Ethereum, con la maggior parte dei trasferimenti del valore di meno di 1 dollaro.