Portfel Ethereum, który przez ponad dekadę nie zarejestrował żadnych transakcji wychodzących, przemieścił w poniedziałek około 4,6 mln USD mimo próby address poisoning, która rozpoczęła się kilka minut po tym, jak właściciel wysłał niewielką płatność testową. Ta próba oszustwa ujawniła ryzyka kopiowania i wklejania towarzyszące rutynowej weryfikacji przelewów.

CoinDesk zidentyfikował portfel jako 0x7dDd…59Bc, po raz pierwszy zasilony w bloku genesis Ethereum z lipca 2015 roku. Adres można obejrzeć na Etherscan. Kolejne 755 ETH dotarło w marcu 2016 roku, po czym portfel pozostawał bez transakcji wychodzących przez ponad dziesięć lat.

Przelewy od podobnych adresów w ciągu trzech minut

O godz. 22:04 UTC 9 listopada portfel wysłał 0,05 ETH do nowego odbiorcy — adresu zaczynającego się od 0x1321beb8 i kończącego się na 1A44, zgodnie z raportem transakcji. W ciągu trzech minut pojawiły się drobne przelewy z dwóch adresów przypominających tego odbiorcę. Oba kończyły się na 1A44, ale ich początkowe znaki różniły się od oryginału. CoinDesk poinformował, że Etherscan oznaczył finansujące je konta jako „Fake_Phishing”. Jeden z sobowtórów miał podobno wysłać 43 mikropłatności, umieszczając wprowadzające w błąd adresy w ostatniej aktywności portfela i tworząc pułapkę na późniejsze błędy przy kopiowaniu i wklejaniu.

Jak działa address poisoning

Ten schemat nie wymaga od atakujących włamania do blockchaina ani kradzieży kluczy prywatnych. Polega raczej na tym, że użytkownik kopiuje podrobiony adres z historii transakcji. Interfejsy portfeli często skracają adresy, co może ukryć różnice między prawdziwym a sfingowanym odbiorcą.

Śledztwo z recenzją z października, przeprowadzone przez firmę analityczną Bitquery i udokumentowane w jej badaniach nad address poisoning, opisało szersze zagrożenie. Badacze prześledzili 1635 ofiar i 76,1 mln USD zmierzonych strat w ciągu dwunastu miesięcy. Zbiór danych obejmował mainnet Ethereum do 31 lipca 2026 roku, a nie wszystkie blockchainy, i wykazał blisko 67 milionów prób poisoning wymierzonych w około osiem milionów portfeli. Badacze określili łączną kwotę zmierzonych strat jako minimum, a nie kompleksowy szacunek.

Zagrożenie wykracza poza nieudane próby. Jedna z ofiar w grudniu 2025 roku wysłała testową płatność 50 USD, a następnie straciła prawie 50 mln USD w USDT. Bitquery ustalił, że podobny adres trafił do historii ofiary po teście, co pokazuje, że sam udany test nie może potwierdzić autentyczności później skopiowanego adresu. Próba wobec długo uśpionego portfela odzwierciedlała ten udokumentowany schemat — najpierw płatność testowa, a potem pojawienie się podobnych adresów w ostatniej historii w ciągu kilku minut.

Większy przelew ominął zatrute adresy

O godz. 22:20 UTC nowy odbiorca przekazał 0,01 ETH, z czego większość wróciła krótko potem. O godz. 22:42 UTC, około 38 minut po początkowym teście, pierwotny portfel przelał 2154,94 ETH. Większa płatność trafiła do pierwotnego odbiorcy testowego, a nie do żadnego z zgłoszonych podobnych adresów, co potwierdza, że widoczna próba nie przekierowała przelewu.

Zapisy on-chain nie mogą jednak ujawnić, w jaki sposób nadawca wybrał lub zweryfikował odbiorcę, ani też ustalić tożsamości właściciela portfela czy powodu przeniesienia środków.

CoinCentral wcześniej informował o ostrzeżeniu Citi, że spam typu address poisoning może zaburzać aktywność transakcyjną Ethereum — obawę potwierdzają wolumeny prób w danych Bitquery. Bitquery zaleca kopiowanie adresów odbiorców z zaufanych źródeł, a nie z niezweryfikowanych historii transakcji, a jego ustalenia wskazują filtrowanie dust jako potencjalne zabezpieczenie dla dostawców portfeli — funkcję, która odfiltrowałaby drobne przelewy używane do zasiewania historii podobnymi adresami. To, czy dostawcy portfeli przyjmą takie filtrowanie, to wart obserwacji rozwój wydarzeń, a każda dalsza aktywność adresu z ery genesis będzie widoczna w publicznych zapisach on-chain.