Jeden z kryptowaluciarzy stracił właśnie prawie czterysta tysięcy złotych poprzez atak typu „address poisoning” czyli „zatruwanie adresu”. W skrócie: wysłał swoje oszczędności na adres portfela oszusta myśląc, że to jego własny. Ekspeci ds. cyberbezpieczeństwa ostrzegają, że tego typu procedery są coraz częstsze, a złoczyńcy wspomagają się automatyzacją i liczą, że dzięki prawu wielkich liczb uda się im „złowić” dostateczną liczbę ofiar. Jak pokazują statystyki udaje im się to nadzwyczaj często. W tym artykule opiszemy dokładnie na czym polega proceder zatruwania adresu oraz jak się przed nim uchronić.
Najważniejsze fakty
- Ofiara straciła ponad 100 tysięcy USDT po skopiowaniu adresu z historii transakcji własnego portfela.
- Atak nazywa się zatruwaniem adresu (address poisoning).
- Skradzione stablecoiny zostały wymienione na 52,8 ETH w niecałe półtorej minuty, co uniemożliwiło zamrożenie środków przez Tethera, emitenta stablecoina USDT.
- W latach 2022-2024 badacze naliczyli 270 mln prób takiego ataku na Ethereum i sieć BNB, 17 mln zaatakowanych adresów i doliczyli się 83,8 mln USD strat.
- Pod koniec lipca 2026 r. przestępcy poszli o krok dalej i podmienili skrypt reklamowy firmy Adform, który podmieniał adresy portfeli bezpośrednio w schowku użytkownika.
Zatruwanie adresu, czyli wysyłasz kryptowaluty na cudzy adres
Mechanizm klasycznego address poisoningu jest dość prymitywny ale nadal piekielnie skuteczny. Polega on na tym, że atakujący używając automatyzującego oprogramowania tworzy ogromną liczbę adresów na blockchainie które imitują istniejące już portfele użytkowników. Przede wszystkim stara się odwzorować pierwsze i ostatnie 4-6 cyfr, ponieważ te elementy najcześciej sprawdzają nadawcy jeszcze zanim klikną przycisk „Wyślij”.
Kolejnym krokiem jest „zachęcenie” ofiary do „skorzystania” z fejkowego adresu. Robi się to poprzez tzw. dusting, czyli wysyłanie na adres ofiary (również jest to proces w pełni zautomatyzowany) drobinek bezwartościowych tokenów lub NFT, które pojawiają się w historii transakcji atakowanego.
Przypieczętowanie losu ofiary zależy potem już od niej samej. Cyberprzestępca liczy bowiem na to, że ta, wysyłając już któryś raz z kolei środki z jednego z posiadanej przez nią portfeli na inny, skorzysta (z lenistwa) z adresu znajdującego się w historii transakcji i skopiuje go prostą metodą kopiuj-wklej do pola „Odbiorca”, EWENTUALNIE sprawdzając wcześniej pierwsze i/lub ostatnie 4-6 cyfr.
Jeżeli wszystko pójdzie gładko, pieniądze trafiają w całości na konto „zatruwacza”. Według danych Blockaid jedno na 200 „podejść” kończy się sukcesem. Dużo? Mało? Jeżeli weźmiemy pod uwagę skalę (17 mln zaatakowanych według danych z 2025 r.) powyższa liczba przekłada się na straty sięgające niemal 90 mln USD (lub ok. 350-400 mln polskich złotych) w okresie 2022-2024.
Nowy wektor ataku jest jeszcze groźniejszy
Zatruwanie historii transakcji wymag jednaka, żeby to sama ofiara wybrała podstawiony adres z własnej, nieprzymuszonej woli. Ostatni pojawił się jednak wektor ataku, który nie wymaga nawet powyższego.
27 lipca na serwerach Adform, jednej z największych europejskich platform reklamowych, pojawiła się zmodyfikowana wersja skryptu trackpoint-async.js. Firma wykryła nieprawidłowości już następnego dnia, ale złośliwy kod był dostępny w sieci przez jeszcze co najmniej tydzień.
Mechanizm był wyjątkowo niebezpieczny. Skrypt co kilka sekund sprawdzał zawartość schowka do którego kopiujemy treści wciskając np. kombinację klawiszy CTRL+C. Gdy wykrywał prawidłowo wyglądający adres Bitcoina, Ethereum lub sieci Tron, zastępował go natychmiast adresem należącym do oszusta.
Na tym nie koniec. Kod potrafił również:
- podmieniać adresy dopiero co wklejone do pól formularzy,
- przechwytywać operacje kopiowania, wycinania i wklejania,
- ponownie zmieniać adres po kolejnym skopiowaniu poprawnej wersji,
- wysyłać na serwer informacje o odwiedzanej stronie.
W praktyce ponowne skopiowanie właściwego adresu nie rozwiązywało problemu. Jeśli złośliwy skrypt nadal działał na stronie, mógł dokonać następnej podmiany.
Od ofiary atak nie wymagał instalowania programu, pobierania pliku ani świadomego uruchamiania podejrzanego załącznika. Wystarczyło odwiedzić stronę internetową korzystającą z infrastruktury reklamowej Adform i ładującą zainfekowany skrypt.
Skala potencjalnej ekspozycji była ogromna. Z Adform korzystają bowiem tysiące firm, a platforma chwali się 1,5 miliardami wyświetleń reklam dziennie dla klientów z ponad 180 krajów.
Jak się uchronić?
Jak nie paść ofiarą zatrucia adresu? Przy dużych przelewach należy sprawdzić cały adres, a nie tylko pierwsze i/lub ostatnie cyfry, najlepiej korzystając ze źródła niezależnego od tego, skąd został skopiowany.
Warto również trzymać się kilku zasad:
- Nie kopiować adresów bezpośrednio z historii transakcji.
- Korzystać z książek adresowych i białych list.
- Przy większych kwotach wykonywać najpierw przelew testowy.
- Przy portfelu sprzętowym zawsze porównywać adres z tym wyświetlanym na ekranie urządzenia.
- Ograniczać wykonywanie niepotrzebnych skryptów firm trzecich w przeglądarce.
W przypadku kryptowalut jedna podmieniona litera lub cyfra oznacza zazwyczaj transakcję nieodwracalną. Dlatego przy większych kwotach adres odbiorcy powinien być traktowany podobnie jak numer rachunku przy przelewie bankowym, z tą różnicą, że na blockchainie zwykle nie istnieje bank, który może zatrzymać błędnie wysłaną operację.
Redakcja BitHub.pl poleca również:
Krytyczna luka w sieci Bitcoin. Branża pisze list otwarty do twórców AI
Bitcoin ETF traci setki milionów dolarów. Kurs BTC pod coraz większą presją
„Nic z tego nie będzie”. SEC odwołuje dzisiejsze kluczowe dla kryptowalut posiedzenie