Użytkownik Ethereum podobno stracił około 100 000 dolarów w ataku zatruwania adresu po skopiowaniu adresu portfela z historii transakcji bez niezależnego zweryfikowania miejsca docelowego przed wykonaniem przelewu.

Platforma analityczna Lookonchain zasygnalizowała incydent, zwracając ponowną uwagę na stałe zagrożenie ze strony oszustw polegających na zatruwaniu adresu — kategorii przestępstw kryptowalutowych, która wykorzystuje sposób, w jaki użytkownicy identyfikują i kopiują adresy portfeli. Zatruwanie adresu zostało powiązane ze znacznymi skumulowanymi stratami w ekosystemie kryptowalut, a firmy zajmujące się bezpieczeństwem blockchain udokumentowały incydenty od indywidualnych kradzieży na poziomie pięciu cyfr po włamania opiewające na miliony dolarów, celujące w portfele wielorybów. Ta klasa ataków jest częścią szerszego krajobrazu exploitów inżynierii społecznej, które badacze ds. bezpieczeństwa konsekwentnie identyfikują jako jeden z najczęstszych wektorów kradzieży kryptowalut, ponieważ całkowicie omija zabezpieczenia protokołu blockchain i celuje w zachowanie użytkownika.

Jak działa zatruwanie adresu

Ataki zatruwania adresu opierają się na zachowaniu człowieka, a nie na jakiekolwiek lukie technicznej w sieci Ethereum. Atakujący generują adresy portfeli, które przypominają adresy, z którymi ofiara wcześniej wchodziła w interakcję, często dopasowując pierwsze lub ostatnie kilka znaków. Następnie wysyłają małą transakcję do portfela ofiary, co powoduje, że zwodniczy adres pojawia się w historii transakcji ofiary. Generowanie pasujących adresów jest wykonalne obliczeniowo, ponieważ adresy Ethereum zawierają sumę kontrolną, ale nadal są wyświetlane w formie skróconej w większości interfejsów portfeli, co tworzy okno na oszustwo wizualne.

Adresy portfeli to długie ciągi alfanumeryczne, co utrudnia użytkownikom odróżnienie legalnych adresów od fałszywych, gdy interfejs portfela wyświetla tylko pierwsze i ostatnie kilka znaków. Jeśli użytkownik później skopiuje adres z tej historii bez sprawdzenia pełnego ciągu znaków, środki mogą trafić do atakującego.

Technika jest szczególnie skuteczna, ponieważ użytkownicy mogą zakładać, że każdy adres pojawiający się w ich historii transakcji jest z natury godny zaufania. Obecność adresu w historii transakcji nie potwierdza jednak, że należy on do zamierzonego odbiorcy.

Zgłoszona strata 100 000 dolarów w Ethereum ilustruje, jak jeden niesprawdzony adres portfela może prowadzić do trwałej utraty aktywów cyfrowych, ponieważ transakcje blockchain zazwyczaj nie mogą zostać cofnięte po ich potwierdzeniu. Ta nieodwracalność stoi w ostrym kontraście do tradycyjnych systemów finansowych, w których błędne przelewy mogą czasem zostać wycofane lub oflagowane przez pośredników instytucjonalnych.

Weryfikacja pozostaje kluczową obroną

Incydent podkreśla znaczenie niezależnego potwierdzania adresów portfeli przed przelaniem Ethereum lub innych aktywów cyfrowych. Użytkownicy mogą zmniejszyć swoje narażenie, uzyskując adresy odbiorców bezpośrednio z zaufanego źródła, zamiast wybierać je z historii transakcji.

Dodatkowe zalecane środki ostrożności obejmują:

• Porównanie pełnego adresu portfela znak po znaku przed potwierdzeniem transakcji, szczególnie w przypadku dużych przelewów.
• Wysłanie małej kwoty testowej przed przelaniem pełnego salda.
• Korzystanie z funkcji książki adresowej oferowanych przez niektóre portfele i giełdy, pod warunkiem że adres zostanie zweryfikowany przed zapisaniem.

Niektórzy twórcy portfeli odpowiedzieli na powszechność zatruwania adresu, wdrażając funkcje wyświetlania pełnych adresów, ostrzegania użytkowników przed adresami przypominającymi te w ich historii lub integrując ekrany potwierdzenia w portfelach sprzętowych, które pokazują pełne miejsce docelowe przed podpisaniem. Łagodzenia te nie są jednak powszechnie stosowane w całym ekosystemie.

Specjaliści ds. bezpieczeństwa konsekwentnie zalecają traktowanie każdego adresu portfela jako niezaufanego, dopóki nie zostanie niezależnie zweryfikowany, zwłaszcza gdy transakcja obejmuje znaczną kwotę w kryptowalutach.

Lookonchain wydał publiczny alert na platformie X:

Address poisoning is everywhere. Always double-check the wallet address before sending funds, and never copy an address from your transaction history. Another victim copied a wallet address from the transaction history and sent funds without double-checking, losing $100K!… pic.twitter.com/L2H8K3IpVk

— Lookonchain (@lookonchain) August 13, 2026

https://x.com/lookonchain/status/2087749414995759528

Rosnące ryzyko w sieciach blockchain

Zatruwanie adresu stało się powracającym problemem w miarę rozprzestrzeniania się adopcji kryptowalut, a transakcje blockchain pozostają w dużej mierze nieodwracalne. W przeciwieństwie do tradycyjnych przelewów bankowych, płatności blockchain zazwyczaj nie oferują scentralizowanego mechanizmu anulowania transakcji po jej sfinalizowaniu.

Incydent pokazuje również, dlaczego historia transakcji nie powinna być traktowana jako katalog adresów. Nawet jeśli adres wydaje się być użyty w wcześniejszej transakcji, użytkownicy muszą potwierdzić, że nadal należy on do zamierzonego odbiorcy przed wysłaniem dodatkowych środków.

Ryzyko wykracza poza Ethereum. Podobne oszustwa oparte na adresach mogą dotknąć użytkowników w wielu sieciach blockchain, ponieważ metodologia ataku zależy przede wszystkim od praktyk weryfikacyjnych użytkowników, a nie od samego protokołu bazowego. Sieci z formatami adresów zgodnymi z EVM, w tym Polygon, Arbitrum i Optimism, prezentują tę samą powierzchnię podatności.

Dla osób i firm posiadających znaczne aktywa cyfrowe konsekwencje omyłkowego przelewu do portfela kontrolowanego przez atakującego mogą być poważne. Odzyskanie środków może być trudne lub niemożliwe, co czyni zapobieganie najskuteczniejszą formą ochrony.

Zgłoszony incydent służy jako przypomnienie, że bezpieczeństwo kryptowalut zależy nie tylko od technologii blockchain, ale także od zdyscyplinowanych praktyk transakcyjnych. Podwójne sprawdzanie adresu docelowego i unikanie ślepego polegania na historii transakcji mogą znacznie zmniejszyć ryzyko padnięcia ofiarą ataków zatruwania adresu.