Portfel Ethereum utworzony w bloku genesis sieci z 2015 roku przesłał środki po raz pierwszy od 11 lat, a w niecałe trzy minuty oszuści zaczęli zasypywać adres dustem w ramach pozornego ataku typu address poisoning.

Właściciel portfela ostatecznie przeniósł 2154,94 ETH, warte wówczas około 4,6 miliona dolarów, do właściwego adresu, unikając łudząco podobnych adresów umieszczonych w historii transakcji.

Dwa łudząco podobne adresy kończące się na 1A44 naśladowały odbiorcę

Adres po raz pierwszy otrzymał ether w bloku genesis Ethereum w lipcu 2015 roku, a w marcu 2016 roku zebrał kolejne 755 ETH. Pozostał nieaktywny do późnego poniedziałku, gdy wysłał testową płatność 0,05 ETH o wartości około 106 dolarów o 22:04 UTC.

Whale Alert oznaczył transakcję jako nieaktywny adres pre-mine z 2155 ETH, który ponownie stał się aktywny po 11,3 roku.

Płatność testowa trafiła na nowy adres zaczynający się od 0x1321beb8 i kończący się na 1A44. W ciągu trzech minut stary portfel zaczął otrzymywać niewielkie kwoty ETH z dwóch adresów sporządzonych tak, aby przypominały tamtego odbiorcę — jeden zaczyna się od 0x13211f, drugi od 0x1321FB, oba kończą się na 1A44. Ta szybkość reakcji — mniej niż trzy minuty między pierwszym ruchem a pierwszym dustem — pokazała, jak błyskawicznie te kampanie reagują, gdy nieaktywny, wysoko wyceniony adres pojawi się w aktywności on-chain.

Oba łudzące adresy były finansowane z kont oznaczonych na Etherscan jako „Fake_Phishing”, a aktywniejszy z nich wysłał 43 płatności dustem do portfela genesis.

Właściciel wysłał pełne 2154,94 ETH 38 minut później

O 22:20 UTC nowy portfel wysłał 0,01 ETH, z czego niemal całość wróciła trzy minuty później. Następnie, 38 minut po pierwszym teście, o 22:42 UTC, stary portfel wysłał pełne 2154,94 ETH na właściwy adres 0x1321beb8. Portfel genesis został z około 0,0004 ETH, a odbiorca posiada około 2155 ETH.

Łudzący adres 0x1321FB wysłał środki ponownie o 23:03 UTC, a trzeci łudzący adres kończący się na 1A44 przeprowadził transfery o wartości zerowej o 03:36 i 03:49 UTC we wtorek. Zasypanie nie ustało po opróżnieniu salda — sfałszowane wpisy pozostały w historii portfela także po tym, jak środki opuściły adres.

Jak działa address poisoning

Address poisoning wykorzystuje sposób, w jaki portfele skracają długie adresy. Zamiast wyświetlać wszystkie 42 znaki, portfel pokazuje zwykle skróconą formę, taką jak 0x6D90…2E48. Atakujący generują miliony adresów vanity, dopóki jeden nie dopasuje się do pierwszych i ostatnich znaków prawdziwego kontaktu ofiary. Następnie wysyłają dust lub transakcję o wartości zerowej, co wprowadza fałszywy adres do niedawnej historii ofiary. Jeśli użytkownik skopiuje go przy kolejnej płatności, środki trafią do atakującego. Łudzące adresy w tym przypadku odtworzyły każdy znak widoczny w skróconym wyświetlaniu — 0x1321 na początku i 1A44 na końcu — dlatego weryfikacja pełnego 42-znakowego adresu lub kopiowanie z zapisanego kontaktu, a nie z niedawnej aktywności, to zabezpieczenie, które rozbija dopasowanie.

Transferów na Ethereum nie można cofnąć. W grudniu 2025 roku trader stracił około 50 milionów dolarów w USDT, gdy skrypt zatrul historię transakcji tuż po testowej płatności 50 dolarów. W styczniu 2026 roku ofiara wysłała 4556 ETH warte 12,25 miliona dolarów na adres kontrolowany przez atakującego, a inna ofiara straciła 600 000 dolarów w lutym.

Według Cryptopolitan na Ethereum występuje ponad milion prób zatruwania dziennie. W styczniu Citi ostrzegło, że spam zawyża rekordowe liczby transakcji na Ethereum, a większość transferów ma wartość poniżej 1 dolara.