Ekosystem kryptowalut został niedawno wstrząśnięty jednym z największych oszustw on-chain ostatnich lat. Prawie 50 milionów dolarów w USDT należących do jednego użytkownika zostało w ciągu kilku sekund wysłanych na niewłaściwy portfel za pomocą metody ataku znanej jako „address poisoning”. Incydent ten nie tylko uwypuklił błąd jednostki, ale także pokazał, jak architektura blockchain i zachowania użytkowników mogą niebezpiecznie się przecinać.
How the Address Poisoning Attack Occurred
W centrum tego incydentu znajduje się portfel, który był aktywny przez prawie dwa lata i był głównie wykorzystywany do transferów USDT. Po wypłacie środków z Binance, użytkownik otrzymał około 50 milionów dolarów w USDT. Uznając to za bezpieczną metodę, użytkownik najpierw wykonał mały transfer testowy. Kilka minut później dokonano głównego transferu, jednak nieświadomie użytkownik użył niewłaściwego adresu.
Zanim doszło do tego momentu, oszust już przygotował atak „address poisoning”. Stworzono portfel, którego adres był bardzo podobny do adresu często używanego przez ofiarę, i przesłano na niego minimalną ilość USDT, aby pojawił się w historii transakcji. Ponieważ adresy w interfejsie portfela wyświetlane są jako długie i złożone ciągi znaków, użytkownik przypadkowo skopiował ten fałszywy adres z historii transakcji podczas próby transferu środków, co skutkowało przesłaniem prawie 50 milionów dolarów do portfela atakującego jednym kliknięciem.
The UTXO Model Controversy and Charles Hoskinson’s Perspective
Charles Hoskinson, założyciel Cardano, zabrał głos w sprawie tego incydentu, argumentując, że taka strata jest znacznie trudniejsza do doświadczenia w niektórych architekturach blockchain. Zwrócił uwagę, że modele oparte na kontach, stosowane przez Ethereum i sieci oparte na EVM, strukturalnie umożliwiają oszustwa takie jak address poisoning. W tym modelu adresy są przechowywane jako stałe konta, a portfele często zachęcają użytkowników do kopiowania adresów z poprzednich transakcji, co jest wykorzystywane przez oszustów.
Według Hoskinsona, sieci wykorzystujące model UTXO, takie jak Bitcoin i Cardano, są pod tym względem bardziej odporne. W modelu UTXO każda transakcja generuje nowe wyjścia, konsumując stare, eliminując koncepcję stałego „salda konta”. W rezultacie nie istnieje trwała historia adresów, którą można by wizualnie zatruć. Podkreśla on, że ten incydent nie jest błędem protokołu ani smart contractu, lecz niebezpieczną interakcją pomiędzy projektem a ludzkim zachowaniem.
Podobne ryzyka zostały ostatnio podniesione także w innych raportach. W ciągu ostatnich kilku tygodni jeden z głównych dostawców portfeli wydał aktualizację bezpieczeństwa, ostrzegając użytkowników przed nawykiem kopiowania adresów oraz przebudował ekrany weryfikacji adresów. Te działania podkreślają znaczenie projektowania portfeli, obok indywidualnych środków ostrożności.
