#EthereumSecurityAlert

$50M Втрата через отруєння адреси: чому UX гаманця тепер є критичною атакуючою поверхнею
Недавня крадіжка $50 мільйонів USDT в Ethereum виявила тиху, але дуже масштабовану загрозу, яка впливає як на роздрібних користувачів, так і на установи: атаки отруєння адрес. Це не була експлуатація смарт-контракту або збій протоколу — це була передбачувана слабкість UX, яку зловмисники навчилися індустріалізувати.
У цьому випадку жертва мала намір надіслати кошти знайомому гаманцю. Невідомо їм, зловмисник вже вставив фальшиву адресу, що нагадує, в їхню історію транзакцій, використовуючи мікротранзакції. Зловмисна адреса мала ті ж початкові та кінцеві символи, що й легітимна. Оскільки більшість гаманців візуально обрізають адреси, різниця залишалася прихованою.
Спираючись на список "недавніх транзакцій" та скорочений формат адреси, жертва скопіювала отруєну адресу та схвалила масивний переказ. Протягом кількох хвилин майже $50 мільйон був безповоротно надісланий зловмисникові.
Це не ізольована помилка — це системний провал у дизайні.
Отруєння адреси працює, оскільки гаманці навчають користувачів довіряти частковій інформації. Коли адреса відображається як 0xABCD…7890, користувачі підсвідомо перевіряють лише те, що вони можуть бачити. Зловмисники експлуатують це, генеруючи тисячі адрес з відповідними префіксами та суфіксами, а потім вносячи їх у гаманці через недорогі транзакції. З сучасними інструментами GPU цей процес є дешевим, швидким і надзвичайно ефективним.
Ще більш тривожним є те, що дослідження десятків гаманців Ethereum показують, що більшість не надають жодного змістовного попередження, коли користувачі взаємодіють з візуально схожими адресами. Немає підсвічування різниці. Немає попереджень про подібність. Немає перешкод — навіть для трансакцій вперше або з високою вартістю. Це означає, що навіть досвідчені оператори можуть бути обмануті.
У інциденті $50M жертва дотримувалася звичайно рекомендованого заходу безпеки: невеликої тестової транзакції. Але незабаром після цього остаточний переказ пішов на заражену адресу. Нападник швидко обміняв кошти, переніс активи і провів їх через міксери — закривши вікно відновлення менш ніж за 30 хвилин.
Висновок зрозумілий: безпека більше не може залежати лише від пильності користувача.
Гаманці повинні розглядати перевірку адреси як основну функцію безпеки. Повне відображення адреси, інструменти візуального порівняння, виявлення близьких відповідностей та сильні попередження для незнайомих або схожих адрес повинні бути стандартом. ENS та системи імен допомагають, але тільки тоді, коли вони прозоро вирішуються та незалежно перевіряються.
Для трейдерів, DAO та менеджерів скарбниць оперативна дисципліна тепер є обов'язковою:
Ніколи не довіряйте адресам з історії транзакцій
Завжди перевіряйте повні адреси через другий канал
Використовуйте білові списки та багатосторонні підписання
Моніторте гаманці на предмет дустингу та схожої активності
У ворожих системах, таких як криптовалюта, зручність без безпеки стає вектором атаки. Доки UX гаманців не еволюціонує, отруєння адрес залишатиметься одним із найшвидших, чистих і найбільш прибуткових експлойтів в екосистемі.