Crypto Trader traci $50 mln w USDT z powodu oszustwa z zatruciem adresu

Mechanika Zatruwania Adresów

Trader kryptowalut stracił prawie 50 milionów w jednej transakcji 20 grudnia po tym, jak padł ofiarą zaawansowanego ataku zwanego “zatruciem adresu”. Incydent, w którym 49,999,950 USDT zostało bezpośrednio przelane do portfela oszusta, podkreśla rosnący kryzys bezpieczeństwa, w którym wysoko rozwinięci złodzieje wykorzystują podstawowe ludzkie nawyki i ograniczenia interfejsów użytkownika.

Według śledczego łańcucha Speciter, ofiara, próbując przenieść środki z giełdy do portfela osobistego, początkowo przeprowadziła testową transakcję w wysokości 50 USDT na swój prawidłowy adres. To zostało wykryte przez atakującego, który natychmiast wygenerował „podrobiony” adres, który dopasował pierwszy i ostatni cztery znaki prawidłowego portfela ofiary.

Czytaj więcej: Oszustwa kryptowalutowe w 2025 roku: Jak je rozpoznać i zabezpieczyć się

Następnie atakujący wysłał znikome ilości kryptowaluty z tego fałszywego adresu do ofiary, skutecznie „zatruwając” historię transakcji użytkownika. W dyskusji na X, Specter wyraził żal, że trader stracił środki z „jednego z najmniej prawdopodobnych powodów tak ogromnej straty”. Odpowiadając na wypowiedź kolegi śledczego ZachXBT, który współczuł ofierze, Specter powiedział:

„To właśnie dlatego byłem bez słów, stracić tak ogromną kwotę z powodu prostego błędu. Wystarczyło kilka sekund, aby skopiować i wkleić adres z właściwego źródła zamiast historii transakcji, aby zapobiec wszystkiemu. Święta Bożego Narodzenia zepsute.”

Wada interfejsu: Elipsy i Błąd Ludzki

Ponieważ większość nowoczesnych portfeli kryptowalutowych i eksploratorów bloków skraca długie ciągi alfanumeryczne — wyświetlając adresy z elipsami w środku (np. 0xBAF4…F8B5) — fałszywy adres wyglądał identycznie jak portfel ofiary na pierwszy rzut oka. Dlatego też, kiedy ofiara przystąpiła do transferu pozostałych 49,999,950 USDT, skorzystała z powszechnej praktyki polegającej na kopiowaniu adresu odbiorcy z ostatniej historii transakcji zamiast z źródła.

W ciągu 30 minut od ataku zatruwającego, prawie 50 milionów USDT zostało wymienione na stablecoin DAI, a następnie przekształcone w około 16,690 ETH i przeprowadzone przez Tornado Cash. Po zorientowaniu się, co się stało, zdesperowana ofiara wysłała wiadomość przez łańcuch do atakującego, oferując nagrodę white-hat w wysokości 1 miliona dolarów za zwrot 98% środków. Na dzień 21 grudnia aktywa pozostają nieodzyskane.

Eksperci ds. bezpieczeństwa ostrzegają, że w miarę jak aktywa kryptowalutowe osiągają nowe szczyty, te niskiej technologii, ale wysoko dochodowe oszustwa “zatrucia” stają się coraz bardziej powszechne. Aby uniknąć podobnego losu, posiadacze są zachęcani do zawsze korzystania z adresu odbiorcy bezpośrednio z zakładki „Odbierz” w portfelu.

Użytkownicy powinni dodawać do białej listy zaufane adresy w swoim portfelu, aby zapobiec błędom wprowadzania ręcznego. Powinni również rozważyć korzystanie z urządzeń, które wymagają fizycznego potwierdzenia pełnego adresu docelowego, aby zapewnić krytyczną, drugą warstwę kontroli.

FAQ 💡

• Co się stało w ataku 20 grudnia? Trader stracił prawie 50M USDT w wyniku oszustwa związanego z zatruciem adresu.
• Jak działało oszustwo? Atakujący podszyli się pod adres portfela, który wyglądał identycznie w skróconej formie.
• Gdzie przeniesiono skradzione kryptowaluty? Środki zostały wypłukane przez DAI, przekształcone w ETH i przetransportowane przez Tornado Cash.
• Jak traderzy mogą się zabezpieczyć?
  Zawsze kopiuj adresy z zakładki „Odbierz” w portfelu i dodawaj do białej listy zaufane konta.