Zatrucie adresu (address poisoning) to cichy sposób na wyczyszczenie portfela krypto: oszust podkłada w historii transakcji adres niemal identyczny z prawdziwym i czeka, aż ofiara skopiuje go z przyzwyczajenia. Dla zwykłego użytkownika to przykra, jednorazowa wpadka. Dla właściciela kantoru krypto to zgłoszenie do supportu, spór o zwrot pieniędzy i cios w reputację, którego dało się uniknąć.
Czym naprawdę jest zatrucie adresu
Ta sztuczka działa, bo większość ludzi nie bierze adresu płatności z kodu QR ani z książki adresowej — kopiuje ostatni podobny z własnej historii. Oszust wysyła na portfel ofiary znikomy lub wręcz zerowy przelew z adresu, którego pierwsze i ostatnie 4-6 znaków zgadzają się z prawdziwym, zaufanym adresem. Ta śmieciowa transakcja zostaje w historii — a przy następnej płatności ofiara kopiuje nie prawdziwą linię, a podrobioną.
Jak powstaje adres-bliźniak
Żadnej magii. Adresy oparte na krzywych eliptycznych można generować milionami na sekundę na zwykłej karcie graficznej, sprawdzając kombinacje, aż któraś zgodzi się na początku i na końcu z adresem celu. To jak zamiana tabliczki z numerem domu — jeśli listonosz sprawdza tylko pierwszą i ostatnią cyfrę, podmiany nie zauważy. Im więcej znaków zgadza się na pierwszy rzut oka, tym mniej powodów ma ofiara do podejrzeń.
Czemu to w praktyce problem kantoru, nie tylko klienta
Wyobraź sobie klienta, który miesiąc temu doładował saldo przez twój adres depozytowy w USDT, bez żadnych problemów. Dziś chce powtórzyć przelew, nie skanuje QR-kodu i kopiuje adres prosto z historii portfela — tylko ta linijka jest już zatruta zerowym przelewem z adresu-bliźniaka. 800 dolarów przepada w nicość, a klient otwiera zgłoszenie z żądaniem zwrotu pieniędzy, których kantor nigdy nie otrzymał. Technicznie nic nie zawiniłeś. W praktyce twój support traci godziny na tę sprawę, a twoja nazwa trafia do wściekłego posta na forum.
Jak rozpoznać zatruty adres w historii
- Sprawdzaj cały adres, nie tylko początek i koniec — ludzkie oko nie zrobi tego wiarygodnie, potrzebna jest książka adresowa albo kod QR.
- Każda nieoczekiwana zerowa albo "dust" transakcja w historii to czerwona flaga: nie kopiuj adresu z tej linii, nie wchodź z nim w żadną interakcję.
- Zapisuj zweryfikowane adresy w zakładkach lub książce adresowej, a nie w nawyku "weź ostatni z historii".
- Wybieraj portfele, które wizualnie odróżniają zapisane, zaufane adresy od nowych i nieznanych.
Co naprawdę chroni: checklista dla właściciela kantoru
- Dodaj do scenariusza supportu ostrzeżenie przy każdym nowym lub zmienionym adresie wypłaty klienta.
- Naucz support rozpoznawać zgłoszenie "pieniądze nie doszły" jako możliwy przypadek zatrucia adresu, a nie standardowy spór płatniczy.
- Daj klientom wbudowaną książkę adresową w portfelu kantoru, zamiast rady "skopiuj z ostatniej transakcji".
- Rejestruj transakcje typu dust na adresach klientów jako sygnał dla bezpieczeństwa, nie jako szum do zignorowania.
Wniosek
Dla oszusta ten atak kosztuje grosze — jeden zerowy przelew i odrobina mocy obliczeniowej karty graficznej. Dla kantoru wychodzi dużo drożej: utraconym zaufaniem klienta i godzinami pracy supportu nad problemem, za który nie odpowiada. Lekiem nie jest paranoja, a dyscyplina — zweryfikowane książki adresowe i odzwyczajenie się od ślepego kopiowania danych płatności z historii. Jeśli prowadzisz własny kantor, wbudowany portfel iEXWallet ze zweryfikowanymi adresami klientów ogranicza liczbę takich incydentów bez dodatkowego obciążania supportu.
