Отравление адресов: как похожие адреса крадут USDT

Отравление адресов (address poisoning) — это уловка, а не взлом. Мошенник создаёт адрес, который начинается и заканчивается так же, как ваш привычный, присылает с него крошечный или нулевой перевод и ждёт, что вы скопируете фальшивый адрес из истории. Защита простая: никогда не копируйте получателя из списка транзакций и каждый раз сверяйте адрес целиком.

Как устроена атака

Etherscan описывает схему так. Автоматические системы генерируют похожие адреса, у которых первые и последние символы совпадают с настоящими. Затем злоумышленник отправляет крошечные или нулевые переводы, чтобы фальшивый адрес появился в вашей истории, и надеется, что в следующий раз вы скопируете именно его.^[1]

Исследование Университета Карнеги — Меллон по Ethereum и BNB Smart Chain выделяет три вида «яда»: крошечные переводы, переводы на нулевую сумму и переводы поддельных токенов с похожих адресов.^[2] Цель всегда одна. История заполняется знакомыми на вид записями, и одна из них — ловушка.

Если кошелёк сокращает адрес на экране до нескольких первых и последних символов, то вы видите ровно ту часть, которую мошенник и подделал.

Перевод в блокчейне нельзя отменить. На ethereum.org прямо сказано, что транзакция в Ethereum необратима.^[3] Если USDT ушли на «отравленный» адрес, кнопки «вернуть» не существует.

Масштаб проблемы

Цифры дают исследователи и компании, которые изучают такие атаки. Они считают только то, что смогли обнаружить, поэтому это нижняя оценка.

Сеть	Что посчитали	Период	Источник
Ethereum	Около 17 млн попыток отравления против примерно 1,3 млн пользователей; потери не менее 79,3 млн долларов	июль 2022 – июнь 2024	Etherscan со ссылкой на исследование USENIX Security 2025 года^[1]
BNB Smart Chain	Более 252 млн «отравляющих» переводов, из них 141 млн нулевых и 108 млн переводов поддельных токенов	июль 2022 – июнь 2024	Исследование Карнеги — Меллон^[2]
BNB Smart Chain	4895 платежей от 4004 жертв, около 4,5 млн долларов; медианная потеря 85 долларов	июль 2022 – июнь 2024	Исследование Карнеги — Меллон^[2]

Авторы исследования называют свои данные о потерях консервативной нижней границей. Атак в BNB Smart Chain они нашли гораздо больше, чем в Ethereum, и связывают это с более низкими комиссиями. Некоторые группы использовали одни и те же похожие адреса в обеих сетях: один и тот же 0x-адрес работает во всех EVM-сетях.^[2]

Одна ошибка — 68 млн долларов

Отдельные потери бывают огромными. Chainalysis сообщает, что в мае 2024 года пользователь Ethereum отправил на похожий адрес около 68 млн долларов в wrapped bitcoin (WBTC). Позже средства вернули.^[4] Рассчитывать на такое не стоит: у блокчейн-перевода нет встроенного пути назад.

TRON: «пыль» приходит за секунды

USDT в сети TRON — частая цель. TRM Labs сообщает, что мошенники присылают крошечные суммы TRX, часто дешевле 0,01 доллара, с адресов, похожих на те, которыми вы пользовались. По словам TRM, бесплатная пропускная способность (bandwidth) для простых переводов TRX делает такую рассылку дешёвой в больших масштабах.^[5]

В одном случае, который разобрала TRM, «пыль» пришла примерно через 18 секунд после настоящего платежа в USDT. У адреса-отправителя совпадали первые и последние два символа с адресом настоящего получателя.^[5] Фальшивая запись оказалась в истории прямо рядом с настоящей.

TRM также предупреждает о ссылках в поле memo в TRON.^[5] Memo — это просто текст, который может приложить кто угодно. Не открывайте ссылки оттуда.

Что не защищает

Сверка только начала и конца. Именно их мошенник и подогнал. В случае из отчёта TRM хватило двух символов с каждой стороны.^[5]
Копирование из своей истории. «Отравляют» как раз историю.
Одна только AML-проверка. AML-оценка описывает прошлые связи адреса с рискованными источниками. Она не говорит, тот ли это адрес, на который вы хотели заплатить. У свежего похожего адреса может вообще не быть истории.
Предложения «вернуть средства». ФБР предупреждает, что поддельные фирмы по возврату средств берут предоплату и исчезают, а правоохранительные органы с пострадавших денег не берут.^[6] О похожих уловках — на странице про поддельные AML-проверки.

Что помогает

Функция Address Highlight в Etherscan подсвечивает совпадающие адреса в списке транзакций. Так легче заметить, что два похожих адреса на самом деле разные.^[1] Во многих кошельках есть адресная книга. Если один раз сохранить проверенный адрес и отправлять только из книги, копировать из истории больше не придётся.

Что делать: чек-лист перед каждой отправкой USDT

Берите адрес из первоисточника. Со страницы депозита биржи или от получателя по надёжному каналу. Не из списка транзакций.
Сверяйте адрес целиком. Читайте его частями, включая середину. Совпадение начала и конца ничего не доказывает.
Сохраните адрес в адресной книге, когда убедились, что он верный. В следующий раз отправляйте оттуда.
Сначала отправьте небольшую тестовую сумму, если адрес новый или сумма крупная, и попросите получателя подтвердить зачисление.
Игнорируйте неожиданные мелкие поступления. TRM советует считать подозрительными любые незапрошенные микропереводы.^[5] Не взаимодействуйте с ними и с «нулевыми переводами» от похожих адресов.
Не открывайте ссылки из memo и от токенов, которые вы не запрашивали.
Проверьте сеть. Адрес и сеть должны совпадать с тем, что дал получатель.

Если USDT приходят от нового контрагента, всё равно стоит проверить, откуда они. Подробнее — в гайде по проверке USDT TRC-20.

Это общая информация, а не юридическая или финансовая консультация. Правила зависят от страны и меняются; проверяйте источники.