Address poisoning: как адреса-двойники крадут USDT

Address poisoning («отравление адреса») — мошенничество, при котором злоумышленник присылает на ваш кошелёк крошечный или нулевой перевод с адреса, похожего на тот, которым вы пользуетесь: те же первые и последние символы, другая середина. Фальшивый адрес остаётся в истории транзакций. В следующий раз вы копируете «привычный» адрес из истории — и отправляете деньги мошеннику. Ничего не взламывают: ключи не крадут, разрешений не подписывают. Атака держится на том, что люди сверяют только края строки из 34 или 42 символов.

Как устроена атака

1. Злоумышленник следит за публичными переводами стейблкоинов в TRON, Ethereum, BNB Smart Chain и похожих сетях и ищет кошельки, которые регулярно платят одному и тому же получателю.
2. Программа подбирает адрес, у которого первые 4–6 и последние 4–6 символов совпадают с адресом получателя. Совпадение шести символов с каждой стороны — несколько часов работы видеокарты, это дёшево.
3. Фальшивый адрес попадает в вашу историю: пылевой перевод на 0,01 USDT, перевод поддельного токена с названием «USDT» или вызов transferFrom настоящего токена на ноль — некоторые контракты это разрешают, и обозреватель показывает такую запись как перевод от вас.
4. Кошелёк показывает запись рядом с настоящими платежами. Вы открываете историю, нажимаете на недавнего получателя — двойник уже там.
5. Вы отправляете крупную сумму. Перевод окончательный, а средства обычно за минуты разводят по нескольким адресам.

В TRON фальшивые переводы часто выглядят как обычные движения USDT на 1–5 USDT: отправка пыли стоит злоумышленнику несколько центов энергии. В Ethereum в 2023–2024 годах часто встречались нулевые transferFrom — они появляются, хотя вы ничего не подписывали, и это многих пугает.

Признаки отравленного адреса в истории

• Перевод, которого вы не помните, обычно на очень маленькую сумму, через несколько минут после вашего настоящего платежа.
• Получатель будто встречается в истории дважды — с одинаковым началом и концом адреса.
• Токен с правильным тикером, но другим адресом контракта, или токен, который кошелёк помечает как непроверенный.
• Исходящий перевод на 0 токенов «от вас», которого вы не делали. Это нулевой transferFrom: деньги он не двигает, но адрес подкладывает.

Как копировать адреса, чтобы атака не сработала

Защита — привычка, а не программа. Злоумышленник выигрывает, только если вы берёте адрес из места, куда он может писать. История транзакций — именно такое место: перевод вам может отправить кто угодно.

1. Храните получателей в адресной книге кошелька: один раз сохранили из надёжного источника, подписали — отправляете только оттуда.
2. Адрес нового или редкого получателя берите у него напрямую, через второй доверенный канал, и сохраняйте.
3. Перед отправкой сверяйте адрес целиком или хотя бы первые шесть, последние шесть и кусок в середине. Проверка address poisoning подсветит каждый отличающийся символ между адресом, который вы собираетесь использовать, и сохранённым.
4. Для крупной суммы сначала отправьте пробный перевод и попросите получателя подтвердить. Отравленный адрес эту петлю ломает: получатель тест не увидит.
5. Скрывайте мелкие входящие переводы. Многие кошельки умеют фильтровать суммы ниже порога и токены без проверенного контракта.

Почему под удар попадают депозиты бирж и обменников

Тот, кто каждую неделю платит на один и тот же адрес депозита биржи, — идеальная цель: адрес повторяется, суммы предсказуемы. В обменнике KOT.CASH у каждого заказа свой адрес депозита, он показан на странице заказа вместе с суммой и, если нужно, memo. Копируйте его со страницы заказа каждый раз, а не берите старый депозит из истории — старый адрес к тому же может относиться к истёкшему заказу. Выплата идёт на адрес, который вы вставляете в форму, поэтому правило то же: берите его с экрана «Получить» своего кошелька, а не из списка прошлых переводов.

Если деньги уже ушли на отравленный адрес

1. Найдите хеш транзакции и сохраните его вместе со временем, суммой и обоими адресами. Где его взять — в статье как проверить транзакцию по хешу.
2. Если это USDT или USDC, напишите в поддержку эмитента и бирж, куда ушли средства. Tether и Circle могут заморозить адрес по запросу правоохранительных органов, и часть возвратов в таких делах прошла именно так. Подробнее — может ли Tether заморозить USDT.
3. Подайте заявление: в России — в полицию (управление «К» или через Госуслуги), в США — в IC3 ФБР (ic3.gov), в Великобритании — в Action Fraud. Номер заявления — то, что спрашивают биржи и эмитенты.
4. Не отвечайте тем, кто предлагает вернуть деньги за плату. Это вторая афера — см. мошенники «по возврату криптовалюты».

Отравление адресов касается не только стейблкоинов. Его применяли против держателей обёрнутого биткоина и ETH в Ethereum, а крупнейшие известные случаи исчислялись десятками миллионов долларов. Размер потери зависит только от размера перевода, поэтому привычка к адресной книге особенно важна для крупных держателей.