Одна ошибка при копировании и вставке привела к потере 50 миллионов долларов США в USDT на кошельке

Адресное загрязнение: как легко украсть крупные суммы

События в области безопасности блокчейна вновь напоминают пользователям о необходимости осторожности при каждой транзакции. Согласно отслеживанию платформы анализа блокчейна Lookonchain, один криптоинвестор потерял 50 миллионов долларов США в USDT из кошелька из-за, казалось бы, незначительной ошибки. Этот инцидент ярко демонстрирует опасность мошенничества с адресным загрязнением (address poisoning).

Причина инцидента кажется безобидной — пользователь перед крупным переводом провёл обычное тестирование. Он сначала перевёл 50 долларов на свой кошелёк USDT 0xbaf4b…95F8b5 для проверки. Однако мошенники, используя особенности отображения адреса, создали поддельный адрес, в котором первые и последние четыре символа совпадали с настоящим, а средние символы были полностью иными.

Поскольку в браузере или интерфейсе кошелька обычно видно только начальные и конечные символы адреса, 50 миллионов USDT в итоге были ошибочно отправлены на кошелёк злоумышленников. Такой «визуальный обман» полностью использует ограниченные возможности человеческого восприятия длинных строк.

Отслеживание украденных средств и траектория их перемещения

Данные блокчейна показывают, что этот кошелёк оставался активным в течение последних двух лет, в основном для операций с USDT. Недавняя запись о выводе средств с крупной биржи свидетельствует о том, что пользователь активно управлял этим кошельком во время инцидента.

Получив средства, злоумышленники сразу начали их перевод. Они обменяли все 50 миллионов долларов USDT на эфир (ETH), по текущему курсу примерно на 2974 доллара, а затем разделили ETH и перевели на несколько различных адресов. Часть средств была отправлена в сервисы смешивания, что усложняет их отслеживание.

Аналитик блокчейна отметил: «Это суровая реальность атак с адресным загрязнением — они не требуют взлома системных уязвимостей, а используют хитроумные методы, основанные на человеческом поведении и визуальных ограничениях.»

Многочисленные случаи ошибок с адресами в криптовалютных транзакциях

Подобные ошибки с адресами не являются исключением. В апреле этого года одна из транзакций с биткоинами (цифровое искусство) была ошибочно отправлена на стандартный адрес пополнения биткоинов на бирже, что вызвало горячие споры о ответственности за управление средствами. Несмотря на рекомендации биржи отправлять обычные биткоины, этот инцидент вызвал широкую критику и обвинения в соцсетях.

Другой тревожный случай — недавнее обвинение со стороны правоохранительных органов: прокуратура Бруклина обвинила мошенника в выдаче себя за официального представителя известной криптоплатформы. Он убедил жертву в наличии угрозы безопасности её аккаунта, в результате чего жертва перевела около 160 миллионов долларов на кошелёк злоумышленника. Платформа заявила, что сотрудничает с правоохранительными органами для отслеживания средств и поддержки пострадавших.

Статистика краж криптоактивов

По данным аналитической компании Chainalysis, за последний год украдено криптоактивов на сумму 34,1 миллиарда долларов. Среди них — один крупный хакерский взлом биржи на 1,5 миллиарда долларов, что составляет 44% от общего ущерба. Три крупнейших инцидента составляют 69% всех потерь в криптосервисах, что свидетельствует о высокой концентрации крупных краж.

Основные рекомендации по защите USDT и других цифровых активов

В условиях растущих угроз безопасности пользователи должны соблюдать следующие меры предосторожности:

Тщательно проверяйте каждую деталь адреса. Перед любой транзакцией обязательно проверяйте полный адрес через блокчейн-обозреватель или несколько источников, а не полагайтесь только на первые и последние символы. Особенно важно это при крупных переводах.

Используйте небольшие тестовые транзакции. Подобно тому, как поступил пострадавший — сначала отправьте небольшую сумму для проверки — это остаётся эффективной практикой безопасности, но необходимо соблюдать осторожность при этом.

Избегайте быстрого копирования и вставки. Уменьшайте использование автоматизированных инструментов копирования адресов, лучше вручную проверяйте или используйте официальные функции адресной книги кошелька.

Включайте многоуровневую безопасность. Используйте аппаратные кошельки, мультиподписные кошельки или сервисы с многоэтапной аутентификацией для управления крупными суммами.

Эти случаи ясно показывают, что технические меры сами по себе не могут полностью предотвратить человеческие ошибки — безопасность в конечном итоге зависит от осведомлённости и привычек пользователя.