סוחר קריפטו מאבד 50 מיליון דולר ב-USDT להונאת "הרעלת כתובת"

המכניקה של הרעלת כתובות

סוחר קריפטו איבד כמעט 50 מיליון דולר בעסקה אחת ב-20 בדצמבר לאחר שנפל קורבן ל”הרעלת כתובות” מתוחכמת. האירוע, שבו הועברו 49,999,950 USDT ישירות לארנק נוכל, מדגיש משבר אבטחה גובר בו גנבים מתוחכמים מנצלים הרגלים אנושיים בסיסיים ומגבלות ממשק משתמש.

לפי החוקר של Specter, הקורבן, שניסה להעביר כספים מהבורסה לארנק אישי, ביצע תחילה עסקת מבחן של 50 USDT לכתובת הלגיטימית שלו. התוקף זיהה זאת ומיד יצר כתובת ייחודית “מזויפת” שהתאימה לארבע האותיות הראשונות והאחרונות של הארנק הלגיטימי של הקורבן.

קרא עוד: הונאות קריפטו ב-2025: איך לזהות אותן ולהגן על עצמך

לאחר מכן, התוקף שלח כמות זעירה של קריפטו מהכתובת המזויפת הזו לקורבן, ובכך “הרעיל” את היסטוריית העסקאות של המשתמש. בדיון שעבר ב-X, Specter הצטער על כך שסוחר איבד כספים ל”אחת הסיבות הפחות סבירות לכזה אובדן עצום.” כשענה לחוקר חבר ZachXBT, שהביע צער על הקורבן, Specter אמר:

“זה בדיוק למה הייתי חסר מילים, איבד כזה סכום עצום בגלל טעות פשוטה. רק כמה שניות להעתיק ולהדביק את הכתובת מהמקור הנכון במקום מהיסטוריית העסקאות יכלו למנוע הכל. חג המולד נהרס.”

ליקוי בממשק משתמש: אליפסות וטעות אנוש

מכיוון שרוב ארנקי הקריפטו המודרניים ובלוק אקספלורר מקצרים מחרוזות אלפאנומריות ארוכות ומציגים כתובות עם אליפסות באמצע (למשל, 0xBAF4…F8B5), הכתובת המזויפת נראתה זהה לכתובת של הקורבן במבט חטוף. לכן, כאשר הקורבן המשיך להעביר את יתרת 49,999,950 USDT, הוא עקב אחרי נוהל נפוץ: להעתיק את כתובת המקבל מהיסטוריית העסקאות האחרונה במקום מהמקור.

בתוך 30 דקות לאחר התקפת ההרעלה, כמעט 50 מיליון דולר ב-USDT הומרו למטבע היציב DAI לפני שהומרו לכ-16,690 ETH והועברו דרך Tornado Cash. לאחר שהבין מה קרה, הקורבן הנואש שלח הודעה עלשרשרת לתוקף והציע בונוס “אדו-לבן” של מיליון דולר בתמורה להחזרת 98% מהכספים. נכון ל-21 בדצמבר, הנכסים נותרו בלתי מוחזרים.

מומחי אבטחה מזהירים שככל שערכי נכסי הקריפטו מגיעים לשיאים חדשים, הונאות “הרעלה” בטכנולוגיה נמוכה אך תגמול גבוהה הופכות נפוצות יותר. כדי להימנע מגורל דומה, מחזיקים מוזהרים תמיד למצוא כתובת קבלה ישירות מהכרטיסייה “קבלה” של הארנק.

משתמשים צריכים להלבין כתובות מהימנות בארנק שלהם כדי למנוע טעויות הכנסה ידניות. הם צריכים גם לשקול להשתמש במכשירים שמחייבים אישור פיזי של כתובת היעד המלאה כדי לספק שכבת ביקורת שנייה קריטית.

שאלות נפוצות 💡

• מה קרה בהתקפה ב-20 בדצמבר? סוחר איבד כמעט 50 מיליון דולר ב-USDT להונאת הרעלת כתובות.
• כיצד עבדה ההונאה? התוקף זייף כתובת ארנק שנראתה זהה בגרסה מקוצרת.
• לאן הועבר הקריפטו הגנוב? הכספים הולבנו דרך DAI, הומרו ל-ETH והועברו דרך Tornado Cash.
• כיצד יכולים סוחרים להגן על עצמם?
  תמיד העתיקו כתובות מהכרטיסייה “קבלה” של הארנק והלבינו חשבונות מהימנים.