Een Ethereum-portemonnee die in het genesisblok van 2015 van het netwerk werd aangemaakt, verzond voor het eerst in 11 jaar gelden, en binnen minder dan drie minuten begonnen oplichters het adres te bestrooien met dust in een duidelijke poging tot address poisoning.

De eigenaar van de portemonnee verplaatste uiteindelijk 2.154,94 ETH, destijds ter waarde van circa $4,6 miljoen, naar de juiste bestemming en ontweek daarmee de nepadressen die in de transactiegeschiedenis waren geplaatst.

Twee adreskopieën eindigend op 1A44 imiteerden de ontvanger

Het adres ontving voor het eerst ether in het genesisblok van Ethereum in juli 2015 en verzamelde in maart 2016 nog eens 755 ETH. Het bleef stil tot eind maandag, toen het om 22:04 UTC een testbetaling van 0,05 ETH, ter waarde van ongeveer $106, verstuurde.

Whale Alert markeerde de transactie als een inactief pre-mine-adres met 2.155 ETH dat na 11,3 jaar weer actief was geworden.

De testbetaling ging naar een nieuw adres dat begint met 0x1321beb8 en eindigt op 1A44. Binnen drie minuten begon de oude portemonnee kleine hoeveelheden ETH te ontvangen van twee adressen die waren vervaardigd om op die ontvanger te lijken — één beginnend met 0x13211f, de ander met 0x1321FB, beide eindigend op 1A44. De snelheid — minder dan drie minuten tussen de eerste beweging en de eerste dust — liet zien hoe snel deze campagnes reageren zodra een inactief, waardevol adres opduikt in on-chain activiteit.

Beide nepadressen werden gefinancierd door accounts die door Etherscan als "Fake_Phishing" zijn gelabeld, en de actiefste van de twee verstuurde 43 dust-betalingen naar de genesisportemonnee.

Eigenaar verhuisde de volledige 2.154,94 ETH 38 minuten later

Om 22:20 UTC verstuurde de nieuwe portemonnee 0,01 ETH, waarvan bijna alles drie minuten later terugkwam. Vervolgens, 38 minuten na de eerste test, verzond de oude portemonnee om 22:42 UTC de volledige 2.154,94 ETH naar het juiste adres, 0x1321beb8. De genesisportemonnee hield ongeveer 0,0004 ETH over, terwijl de ontvanger circa 2.155 ETH aanhield.

Het nepadres 0x1321FB verstuurde opnieuw om 23:03 UTC, en een derde kopie eindigend op 1A44 verstuurde zero-value-transacties om 03:36 en 03:49 UTC op dinsdag. Het bestrooien stopte niet nadat het saldo verdwenen was, waardoor vervalste items in de geschiedenis van de portemonnee achterbleven nadat de gelden waren verplaatst.

Hoe address poisoning werkt

Address poisoning misbruikt de manier waarop portemonnees lange adressen afkappen. In plaats van alle 42 tekens te tonen, geeft een portemonnee doorgaans een afgekorte vorm zoals 0x6D90…2E48. Aanvallers genereren miljoenen vanity-adressen tot er één overeenkomt met de eerste en laatste tekens van een echt contact van het doelwit. Vervolgens versturen ze dust of een zero-value-transactie, waarmee het nepadres in de recente geschiedenis van het slachtoffer terechtkomt. Als de gebruiker het kopieert voor de volgende betaling, gaat het geld naar de aanvaller. De nepadressen hier repliceerden elk teken dat een afgekorte weergave toont — 0x1321 vooraan, 1A44 achteraan — en dat is waarom het verifiëren van het volledige 42-tekens-adres, of het kopiëren uit een opgeslagen contact in plaats van recente activiteit, de controle is die de match verslaat.

Ethereum-transacties kunnen niet worden teruggedraaid. In december 2025 verloor een handelaar circa $50 miljoen in USDT nadat een script de transactiegeschiedenis vergiftigde direct na een testtransactie van $50. In januari 2026 stuurde een slachtoffer 4.556 ETH ter waarde van $12,25 miljoen naar een adres onder controle van een aanvaller, en verloor een ander slachtoffer $600.000 in februari.

Volgens Cryptopolitan zijn er dagelijks meer dan een miljoen poisoning-pogingen op Ethereum. In januari waarschuwde Citi dat spam de recordtransactiecijfers van Ethereum versterkte, waarbij de meeste transacties minder dan $1 waard waren.