Кошелек Ethereum, созданный в генезис-блоке сети 2015 года, впервые за 11 лет отправил средства, и менее чем через три минуты мошенники начали засыпать адрес «пылью» — это выглядело как попытка отравления адресов (address poisoning).

Владелец кошелька в итоге перевел 2 154,94 ETH на сумму около 4,6 млн долларов на тот момент по правильному назначению, избежав похожих адресов, подброшенных в историю транзакций.

Два похожих адреса, оканчивающихся на 1A44, имитировали получателя

Адрес впервые получил эфир в генезис-блоке Ethereum в июле 2015 года и собрал еще 755 ETH в марте 2016 года. Он молчал до конца понедельника, когда отправил тестовый платеж в 0,05 ETH на сумму около 106 долларов в 22:04 UTC.

Whale Alert пометил транзакцию как неактивный адрес премайна с 2 155 ETH, который вновь стал активен спустя 11,3 года.

Тестовый платеж ушел на новый адрес, начинающийся с 0x1321beb8 и оканчивающийся на 1A44. В течение трех минут старый кошелек начал получать небольшие суммы ETH с двух адресов, специально созданных так, чтобы напоминать получателя — один начинается с 0x13211f, другой с 0x1321FB, оба оканчиваются на 1A44. Такая скорость — менее трех минут между первым движением средств и первой «пылью» — показала, как быстро эти кампании реагируют, как только неактивный крупный адрес появляется в ончейн-активности.

Оба похожих адреса финансировались со счетов, помеченных на Etherscan как «Fake_Phishing», и более активный из них отправил 43 «пыльных» платежа кошельку генезис-блока.

Владелец отправил все 2 154,94 ETH через 38 минут

В 22:20 UTC новый кошелек отправил 0,01 ETH, почти вся сумма вернулась через три минуты. Затем, через 38 минут после первого теста, в 22:42 UTC старый кошелек отправил все 2 154,94 ETH на правильный адрес 0x1321beb8. В кошельке генезис-блока осталось около 0,0004 ETH, а на счете получателя оказалось около 2 155 ETH.

Похожий адрес 0x1321FB отправил средства снова в 23:03 UTC, а третий похожий адрес, оканчивающийся на 1A44, совершил переводы с нулевым значением в 03:36 и 03:49 UTC во вторник. Рассылка «пыли» не прекратилась после того, как баланс ушел, оставив поддельные записи в истории кошелька после перемещения средств.

Как работает отравление адресов

Отравление адресов использует то, как кошельки сокращают длинные адреса. Вместо отображения всех 42 символов кошелек обычно показывает сокращенную форму вроде 0x6D90…2E48. Атакующие перебирают миллионы адресов, пока один не совпадет с первыми и последними символами реального контакта цели. Затем они отправляют «пыль» или транзакцию с нулевым значением, что вставляет поддельный адрес в недавнюю историю жертвы. Если пользователь скопирует его для следующего платежа, средства уйдут атакующему. В данном случае похожие адреса воспроизвели все символы, которые показывает сокращенное отображение — 0x1321 в начале, 1A44 в конце, — и именно поэтому проверка полного 42-символьного адреса или копирование из сохраненных контактов, а не из недавней активности, является проверкой, которая сводит совпадение на нет.

Переводы в Ethereum нельзя отменить. В декабре 2025 года трейдер потерял около 50 млн долларов в USDT после того, как скрипт отравил историю транзакций сразу после тестовой транзакции на 50 долларов. В январе 2026 года жертва отправила 4 556 ETH на сумму 12,25 млн долларов на адрес, контролируемый атакующим, а другая жертва потеряла 600 000 долларов в феврале.

По данным Cryptopolitan, в Ethereum ежедневно происходит более миллиона попыток отравления адресов. В январе Citi предупредила, что спам увеличивает рекордное число транзакций в Ethereum, причем большинство переводов стоят менее 1 доллара.