Скопировал адрес из истории и отправил $305 тыс. мошеннику: разбор атаки Address Poisoning

3 октября 2026 года пользователь потерял 305 560 DAI — около $305 тыс. — не из-за взлома кошелька и не из-за вируса. Он просто скопировал адрес из истории своих транзакций. Именно на это и рассчитывал злоумышленник.

 

Введение

DAI — это стейблкоин, привязанный к доллару: один DAI всегда стоит около $1. Это популярный инструмент для переводов и хранения средств в DeFi.

Адрес в Ethereum — это строка из 42 символов, например 0x085adc5a4a1227b1c8aab9a962c03676fa18f1dd. Запомнить такой адрес невозможно, поэтому пользователи часто копируют его из истории предыдущих транзакций или из адресной книги кошелька. Большинство интерфейсов показывают адрес в сокращённом виде — только первые и последние несколько символов: 0x085a...f1dd. Именно это поведение и использует атака Address Poisoning.

 

Ход инцидента

1. Создание поддельного адреса. Злоумышленник специально сгенерировал адрес, у которого первые и последние символы совпадали с адресом настоящего получателя жертвы:
   
   

— Настоящий адрес: 0x085adc5a4a1227b1c8aab9a962c03676fa18f1dd

— Адрес злоумышленника: 0x085Ccc21065C8c718FA0afCb4E842f247c18f1DD


В полном виде адреса отличаются — но в сокращённом отображении 0x085a...f1dd и 0x085C...1DD выглядят практически одинаково.

2. Внедрение в историю транзакций. Злоумышленник отправил с поддельного адреса несколько транзакций на адрес жертвы — нулевых или минимальных по сумме. Их цель не в деньгах: нужно, чтобы поддельный адрес появился в истории операций рядом с настоящим. Это называется «пылевая» транзакция — мусорный перевод ради засорения истории.
   
   
3. Ошибка жертвы. При следующем переводе владелец кошелька открыл историю транзакций, увидел знакомый адрес — 0x085...f1dd — и скопировал его. Это оказался адрес злоумышленника. 305 560 DAI ушли напрямую на него.

 

Почему это стало возможным

Атака не требует взлома кода или кражи ключей. Она эксплуатирует привычку пользователей копировать адреса из истории, не проверяя их полностью.

Большинство кошельков показывают адреса в сокращённом виде — только начало и конец. Именно эти символы злоумышленник и подбирает при генерации поддельного адреса. Средняя часть из 34 символов остаётся скрытой — и именно там сосредоточено всё различие между настоящим и поддельным адресом.

Несколько простых правил, которые защищают от этой атаки:

• Никогда не копировать адрес получателя из истории входящих транзакций — только из проверенного источника: официального сайта, переписки, сохранённой адресной книги.
• Перед отправкой крупной суммы сверять адрес целиком, а не только первые и последние символы.
• Использовать именованные контакты в кошельке — если адрес сохранён под именем, риск перепутать его с поддельным значительно ниже.
• При первом переводе на новый адрес отправлять небольшую тестовую сумму и убеждаться, что она дошла куда нужно.

 

Детали расследования: движение средств

С адреса жертвы 0xb6bce73e112e566cf04742f003e1d82fd7f6b7bf было отправлено 305 560 DAI на адрес злоумышленника 0x085ccc21065c8c718fa0afcb4e842f247c18f1dd.

На момент расследования все средства остаются на адресе злоумышленника без движения.

Транзакция: 0xaae85f2d7011454ce38a2024642daad54ea9ec81899782edc81dff7294e99739

 

Заключение

Этот случай — напоминание о том, что в крипте угроза не всегда исходит от сложных технических атак. Иногда достаточно одного невнимательного копирования адреса из истории транзакций.

Злоумышленник не взламывал кошелёк, не использовал уязвимости в смарт-контрактах и не получал доступ к приватным ключам. Он просто создал «ловушку» в истории операций жертвы — и дождался, пока та сама сделает перевод.

$305 тыс. в DAI по-прежнему лежат на известном адресе злоумышленника без движения.