Користувач криптоактивів втратив приблизно 100 000 USDT після переказу коштів на імітаційну адресу гаманця, підставлену в історію транзакцій жертви за 66 днів до цього.
Cyvers Alerts 11 серпня повідомив, що його система моніторингу виявила втрату після того, як жертва відправила кошти на адресу, контрольовану зловмисником.
Приблизно за 66 днів до крадіжки, зловмисник здійснив транзакції з гаманцем жертви, за даними Cyvers. Ця дія помістила шкідливу адресу в історію транзакцій гаманця, де вона виглядала схожою на адресу, яку жертва використовувала для звичайного переказу.
Коли жертва пізніше готувала платіж на 100 000 USDT, Cyvers повідомила, що користувач покладався на історичний запис, не порівнюючи повну адресу призначення. Кошти, відповідно, пішли на імітаційну адресу, а не до передбачуваного одержувача.
"Отруєння" адреси не вимагає від зловмисника отримання приватного ключа, компрометації смарт-контракту або отримання контролю над гаманцем жертви. Замість цього метод покладається на довжину та формат блокчейн-адрес, які багато гаманців та блокчейн-експлорерів скорочують, показуючи лише їхні перші та останні символи.
Зловмисники генерують адреси, які відповідають видимим частинам справжньої адреси одержувача, а потім використовують невеликі або нульові перекази, щоб розмістити імітацію в записі транзакцій цілі. Користувач, який перевіряє лише початкові та кінцеві символи, може таким чином вибрати гаманець зловмисника, хоча повні рядки відрізняються.
У цьому останньому випадку Cyvers пов'язав втрату з нездатністю жертви перевірити повну адресу. Компанія з безпеки порадила користувачам не ставитися до історії транзакцій як до надійної адресної книги та рекомендувала перевіряти кожен символ перед підтвердженням он-чейн платежу.
Після переказу зловмисник обміняв викрадені USDT на Ethereum, повідомила Cyvers. Одержуючий гаманець містив приблизно 52,8 ETH, коли компанія з безпеки опублікувала своє сповіщення.
Cyvers заявила, що конвертація, схоже, була розроблена для зменшення ризику заморожування викрадених стейблкоїнів. USDT випускається Tether через смарт-контракти, які дозволяють блокувати певні адреси, тоді як нативний ETH не має емітента з еквівалентною функцією заморожування.
Конвертація також означає, що вартість активів зловмисника може змінюватися залежно від ринкової ціни ETH. Cyvers не повідомила про будь-яке відшкодування, угоду про повернення або втручання біржі у своєму початковому сповіщенні, а також компанія не ідентифікувала жертву публічно.
Жодні докази, наведені у сповіщенні, не вказували на те, що дефект у Tether, Ethereum або програмному забезпеченні гаманця жертви спричинив переказ. Замість цього Cyvers описала інцидент як соціально-інженерну атаку, яка використовувала підроблений запис адреси для експлуатації платіжних звичок жертви.
Інцидент на 100 000 доларів слідує за кількома більшими випадками, що включають той самий метод. У лютому crypto.news раніше повідомляв, що двоє користувачів втратили загалом 62 мільйони доларів після копіювання шахрайських адрес зі своїх історій транзакцій.
Scam Sniffer приписав близько 50 мільйонів доларів з цієї загальної суми інциденту в грудні 2025 року, тоді як інша жертва втратила приблизно 12,25 мільйонів доларів, або близько 4 556 ETH на той час, у січні 2026 року. Компанія з безпеки заявила, що зловмисники тихо вставляли схожі адреси в останні записи активності обох жертв.
Під час грудневого випадку власник стейблкоїна спочатку відправив тестовий платіж на 50 USDT на правильне призначення. Потім зловмисник вставив шахрайську адресу в історію з транзакцією-пилом на 0,005 USDT, після чого жертва помилково відправила 49 999 950 USDT на "отруєну" адресу.
Викрадені активи були конвертовані в ETH і розподілені по кількох гаманцях, згідно з ранішим звітом про крадіжку. Жертва пізніше запропонувала зловмиснику винагороду в 1 мільйон доларів за повернення решти коштів і погрожувала залучити міжнародні правоохоронні органи.
Низькі транзакційні витрати також зробили автоматизовані кампанії з "отруєння" дешевшими в експлуатації. Scam Sniffer у лютому заявив, що щодня надсилаються мільйони транзакцій-пилу, багато з яких створюються для підготовки до можливих майбутніх крадіжок, а не для переказу коштів між справжніми користувачами.
У березні користувач стейблкоїнів повідомив про отримання 89 сповіщень про "отруєння" протягом 30 хвилин після завершення лише двох законних переказів. Колишній генеральний директор Binance Чанпен Чжао згодом розкритикував транзакційні експлорери, які продовжували відображати шкідливі записи.
Для користувачів із США "отруєння" адреси входить до зростаючої категорії шахрайства з цифровими активами, яку законодавці намагалися вирішити шляхом міжвідомчої координації. Сенатори Елісса Слоткін і Джеррі Моран представили двопартійний законопроєкт "Закон про посилення міжвідомчих структур для забезпечення дотримання криптовалютного законодавства", відомий як SAFE Crypto Act, у 2025 році.
За словами спонсорів законопроекту, запропоноване законодавство створить федеральну цільову групу, зосереджену на виявленні, моніторингу та запобіганні шахрайству з криптовалютами. До її складу увійдуть представники державних установ, правоохоронних органів, компаній з цифрових активів, емітентів стейблкоїнів, блокчейн-розвідувальних фірм та організацій із захисту прав споживачів.
Пропозиція охоплює кілька форм криптозлочинності, включаючи інвестиційне шахрайство, відмивання грошей, схеми Понці, "раг-пули" (rug pulls) та шахрайські продажі токенів. Спонсори заявили, що цільова група вивчатиме схеми шахрайства та покращуватиме координацію між федеральними органами влади та фахівцями приватного сектору.
Законопроєкт не створює програму відшкодування для користувачів, які помилково авторизують незворотні перекази. Як пояснювалося в попередньому матеріалі, запропонована цільова група зосередиться на виявленні, припиненні та співпраці між агентствами та учасниками галузі.
Cyvers радила користувачам порівнювати повні адреси гаманців, а не покладатися на скорочені записи в історіях транзакцій. Для великих переказів фахівці з безпеки також рекомендують підтверджувати призначення через окремий канал зв'язку та надсилати невелику тестову суму перед переказом залишку.
Сама лише тестова оплата не може запобігти атаці "отруєння", як продемонструвала крадіжка в грудні 2025 року. Оскільки зловмисник може вставити схожу адресу відразу після тесту, відправник повинен переконатися, що адреса, використана для основного переказу, ідентична тій, що використовувалася для тестової транзакції.
Списки дозволених адрес (whitelists) можуть додати ще одну перевірку, обмежуючи виведення коштів на заздалегідь затверджені призначення. Апаратні гаманці також можуть відображати деталі транзакції перед підписанням, хоча користувачі все одно повинні читати та порівнювати призначення, показане на пристрої.
Інтерфейси гаманців та блокчейн-експлорери почали фільтрувати підозрілі записи, але захист відрізняється залежно від платформи. Звіт за березень виявив, що Etherscan за замовчуванням приховував транзакції з нульовою вартістю, тоді як BscScan і Basescan вимагали від користувачів активувати опцію "hide 0 amount tx", щоб видалити такі записи з поля зору.
ETH
USDT
