Як 50 мільйонів USDT зникли через пропуск у копіюванні адреси – урок безпеки для кожного трейдера

20 грудня світ криптовалют здригнувся від новини про гігантські втрати. Один з трейдерів зазнав атаки типу address poisoning, втративши майже 50 мільйонів USDT за одну транзакцію. Що гірше, цей інцидент виявив фундаментальну слабкість у способі управління адресами гаманців – слабкість, яку кожен з нас повинен сприймати серйозно.

Анатомія шахрайства: як працює poisoning адреси

Схема атаки була хитрою і водночас простою. Все почалося в момент, коли жертва надіслала тестову транзакцію 50 USDT на свій гаманець. Ця дрібна дія стала сигналом для шахрая, який спостерігав за активністю у блокчейні.

Готуючись до атаки, зловмисник створив фальшивий адресу з характерною ознакою: перші чотири та останні чотири символи були ідентичні з легітимним гаманцем жертви. Чому саме такий вибір? Більшість сучасних гаманців і блокчейн-експлорерів скорочують довгі рядки символів, відображаючи посередині многоточие, тобто символ «…» (наприклад: 0xBAF4…F8B5). Завдяки цьому прийому фальшивий адреса у скороченій формі виглядав не відрізнити від оригіналу.

Після цього зловмисник надіслав невелику кількість криптовалюти з цього підробленого адреси жертві, ефективно «забруднивши» її історію транзакцій. Коли трейдер почав переказувати основну суму, він скопіював адресу отримувача з останньої транзакції – святе діло для кожного зловмисника.

Від переказу до відмивання: 30 хвилин було достатньо

Результат був руйнівним. 49,999,950 USDT потрапило безпосередньо на рахунок шахрая. Дії зловмисника були миттєвими – за півгодини кошти були обміняні на DAI, конвертовані приблизно у 16,690 ETH і пропущені через Tornado Cash для замаскування цифрових слідів.

Слідчий Specter, аналізуючи цю справу, висловив безсилля перед ситуацією: «Такий величезний збиток через звичайну помилку. Достатньо було кілька секунд, щоб взяти адресу з правильного джерела, а не з історії, і цього можна було уникнути."

Відчайдушна спроба виправити – і відсутність рішення

Жертва, усвідомивши трагедію, надіслала у мережу повідомлення з пропозицією white-hat: 1 мільйон доларів нагороди за повернення 98% викрадених коштів. Пропозиція залишилася без відповіді. До 21 грудня кошти не були відновлені.

Як захиститися від address poisoning

Експерти з кібербезпеки попереджають, що разом із зростанням капіталізації ринку криптовалют, такого роду низькотехнологічні, але надзвичайно прибуткові атаки стають все більш поширеними.

Щоб уникнути подібного сценарію:

Завантажуйте адреси з надійних джерел. Ніколи не копіюйте адресу отримувача з історії транзакцій. Замість цього завжди використовуйте вкладку «Отримати» у своєму гаманці.

Підтримуйте білу список контактів. Більшість сучасних гаманців дозволяє додавати довірені адреси до білого списку. Це просте рішення може захистити вас від помилок при ручному введенні.

Перевіряйте повну адресу перед підтвердженням. Розгляньте використання пристроїв безпеки, які вимагають фізичного підтвердження повної адреси отримувача перед завершенням транзакції. Цей додатковий рівень перевірки може бути вирішальним.

Історія трейдера, який втратив майже 50 мільйонів USDT, – це не просто ще одна анекдота з світу криптовалют – це нагадування, що у цифровій фінансовій системі найбільші загрози іноді ховаються у найменш очікуваних місцях.