Криптовалютная экосистема недавно была потрясена одной из крупнейших мошеннических схем на блокчейне за последние годы. Почти 50 миллионов долларов в USDT, принадлежащих одному пользователю, были отправлены не на тот кошелек всего за несколько секунд с помощью метода атаки, известного как «отравление адреса» (address poisoning). Этот инцидент не только подчеркнул индивидуальную ошибку, но и продемонстрировал, насколько опасно могут пересекаться архитектуры блокчейна и поведение пользователей.
Как произошла атака с отравлением адреса
В центре инцидента находится кошелек, который был активен почти два года и в основном использовался для переводов USDT. После вывода средств с Binance пользователь получил около 50 миллионов долларов в USDT. Считая этот способ безопасным, пользователь сначала сделал небольшой тестовый перевод. Через несколько минут был осуществлен основной перевод, но, не подозревая об этом, пользователь использовал неверный адрес.
До этого момента мошенник уже подготовил атаку «отравление адреса». Был создан кошелек, очень похожий на адрес, который жертва часто использовала, и на него была отправлена крошечная сумма USDT, чтобы добавить запись в историю транзакций. Поскольку адреса в интерфейсе кошелька отображаются как длинные и сложные строки, пользователь случайно скопировал этот поддельный адрес из истории транзакций, когда собирался перевести средства, в результате чего почти 50 миллионов долларов были отправлены на кошелек злоумышленника одним кликом.
Споры вокруг модели UTXO и мнение Charles Hoskinson
Charles Hoskinson, основатель Cardano, прокомментировал этот инцидент, заявив, что подобные потери гораздо сложнее реализовать в некоторых архитектурах блокчейна. Он отметил, что модели на основе аккаунтов, используемые в Ethereum и сетях на базе EVM, структурно позволяют мошенничествам вроде отравления адреса. В этой модели адреса сохраняются как постоянные аккаунты, а кошельки часто предлагают пользователям копировать адреса из предыдущих транзакций — привычка, на которую и нацелены мошенники.
По словам Hoskinson, сети, использующие модель UTXO, такие как Bitcoin и Cardano, более устойчивы в этом отношении. В модели UTXO каждая транзакция создает новые выходы, расходуя старые, что исключает понятие постоянного «баланса аккаунта». Соответственно, не существует постоянной истории адресов, которую можно было бы визуально отравить. Он подчеркивает, что этот инцидент не является ошибкой протокола или смарт-контракта, а представляет собой опасное взаимодействие между дизайном и человеческим поведением.
На аналогичные риски недавно обратили внимание и другие отчеты. За последние несколько недель крупный поставщик кошельков выпустил обновление безопасности, чтобы предупредить пользователей о привычке копировать адреса, а также обновил экраны проверки адресов. Эти события подчеркивают важность дизайна кошельков наряду с индивидуальными мерами предосторожности.
