Zatruwanie adresów: inwestor stracił niemal 400 tys. zł

Jeden inwestor wysłał ponad 100 tys. USDT na adres, który skopiował z historii transakcji swojego portfela. W ciągu około 90 sekund skradzione stablecoiny zostały zamienione na 52,8 ETH.

To zdarzenie jest przykładem tzw. „address poisoning” — ataku polegającego na podstawieniu fałszywego adresu, który trafia do historii transakcji ofiary i może zostać skopiowany podczas wysyłki środków. Atakujący wcześniej wysyłają niewielkie tokeny na fałszywe adresy, aby te wpisały się w historię transakcji i zwiększyły szansę, że ktoś je skopiuje.

W klasycznym scenariuszu przestępcy generują dużą liczbę adresów przypominających istniejące portfele, często odwzorowując pierwsze i ostatnie znaki adresu, które użytkownicy zwykle sprawdzają przed wysłaniem. Metoda działa rzadko przy pojedynczym podejściu, ale na dużą skalę przynosi straty. Analizy z lat 2022–2024 wykazały około 270 milionów prób takich ataków wobec sieci Ethereum i BNB, dotknięto około 17 milionów adresów, a łączne straty oszacowano na 83,8 miliona dolarów. Dane wskazują, że średnio jedno na 200 podejść kończy się sukcesem.

Pod koniec lipca zidentyfikowano nowy wektor ataku powiązany z modyfikacją skryptu reklamowego. 27 lipca złośliwa wersja pliku trackpoint-async.js pojawiła się w infrastrukturze reklamowej. Zmieniony kod sprawdzał zawartość schowka i automatycznie zastępował skopiowany adres portfela własnym adresem przestępcy.

Złośliwy skrypt był w stanie przechwytywać operacje kopiowania i wklejania, podmieniać adresy w polach formularzy oraz zmieniać adres nawet po ponownym skopiowaniu poprawnej wersji. Dodatkowo skrypt wysyłał informacje o odwiedzonych stronach. Zainfekowany kod pozostawał aktywny przez co najmniej tydzień i był ładowany z infrastruktury reklamowej obsługującej liczne strony internetowe.

Szybka konwersja skradzionych USDT na ETH uniemożliwiła podjęcie działań przez emitenta stablecoina w celu zablokowania środków. Na blockchainie pojedyncza zmiana znaku w adresie zwykle oznacza, że transakcja jest nieodwracalna.

Specjaliści ds. bezpieczeństwa wskazują, że przy większych przelewach należy sprawdzać cały adres odbiorcy, unikać kopiowania adresów z historii transakcji oraz korzystać z książek adresowych i białych list. Zalecane są także wykonanie najpierw niewielkiego przelewu testowego oraz porównanie adresu wyświetlanego na ekranie portfela sprzętowego z tym w schowku. Dodatkowo sugerowane jest ograniczenie ładowania skryptów firm trzecich w przeglądarce.