Address poisoning
Manipulacja historią transakcji portfela przez dodanie fałszywego, podobnie wyglądającego adresu, aby użytkownik później wysłał środki do atakującego.
Na czym polega address poisoning
Atakujący tworzy adres podobny do adresu, którego wcześniej używałeś. Najczęściej dopasowuje początek i koniec, bo wiele osób sprawdza tylko kilka pierwszych i ostatnich znaków.
Potem wysyła drobną transakcję, spam token albo pustą aktywność, żeby ten adres pojawił się w historii twojego portfela. Od tego momentu fałszywy adres wygląda jak jeden z niedawnych kontaktów.
Gdy później kopiujesz adres z historii zamiast z zaufanego źródła, możesz wkleić adres atakującego. Transakcja blockchain zwykle jest nieodwracalna, więc środki przepadają.
Jak wygląda typowy scenariusz
- Wysyłasz wcześniej środki na prawdziwy adres giełdy albo własnego portfela.
- Atakujący generuje podobny adres z tym samym początkiem i końcem.
- Wysyła małą transakcję, żeby jego adres pojawił się w twojej historii.
- Przy następnym przelewie kopiujesz adres z historii i trafiasz na fałszywy wpis.
- Środki idą do atakującego, a transakcji nie da się cofnąć.
Jak się chronić
Najważniejsza zasada: nie traktuj historii transakcji jako książki adresowej.
- Kopiuj adres z zaufanego źródła, nie z przypadkowego wpisu w historii portfela.
- Przy większych kwotach porównuj cały adres albo używaj zapisanych, sprawdzonych kontaktów.
- Zwracaj uwagę na nietypowe drobne transfery, spam tokeny i dziwne wpisy w historii.
- Używaj ENS lub książki adresowej portfela tylko wtedy, gdy sam wcześniej zweryfikowałeś wpis.
- Przy dużym przelewie rozważ małą transakcję testową, ale też na poprawny, zweryfikowany adres.
Co jest bezpieczne, a co ryzykowne
- Bezpieczniejsze
- Adres pobrany z oficjalnego panelu giełdy, własnej książki adresowej albo wcześniej zweryfikowanego źródła.
- Ryzykowne
- Adres skopiowany z historii transakcji bez pełnego sprawdzenia.
- Bardzo ryzykowne
- Adres z tokena spamowego, NFT, komentarza, fałszywej strony albo nieznanego wpisu w portfelu.
Najczęstsze błędne założenia
- Sprawdzenie tylko pierwszych i ostatnich znaków nie wystarcza, jeśli atakujący celowo dopasował adres.
- Historia portfela nie jest zaufaną listą kontaktów. Każdy może wysłać ci transakcję albo spam token.
- To, że adres pojawia się obok twoich wcześniejszych transakcji, nie znaczy, że już go używałeś świadomie.
- Mała kwota w transakcji przychodzącej nie oznacza, że wpis jest nieszkodliwy. Może służyć tylko do zatrucia historii.
Jedno złe kopiowanie wystarczy
Address poisoning nie wymaga przejęcia twojego portfela. Wystarczy, że sam podpiszesz transakcję na fałszywy adres. Dlatego przy wysyłce środków adres odbiorcy traktuj jak numer konta bankowego bez możliwości reklamacji.