Address Poisoning.

Beim Address Poisoning erzeugen Angreifer Vanity-Adressen, deren erste und letzte Zeichen mit einer Adresse übereinstimmen, mit der das Opfer kürzlich interagiert hat. Da Ethereum-Adressen 40 Hexadezimalzeichen haben und Wallets sie in der Oberfläche kürzen (z. B. 0x1a2b…f9e0), genügt es, nur die ersten und letzten 4–6 Zeichen nachzubilden, um jemanden zu täuschen, der seine Historie nur überfliegt. Angreifer erzwingen diese Lookalikes per GPU mit Werkzeugen, die von Vanity-Generatoren wie profanity abstammen.

Zwei Seeding-Techniken dominieren. Ein Null-Value-Transfer ruft die transferFrom-Funktion eines Tokens mit Betrag 0 auf – was viele ERC-20-Contracts ohne vorherige Freigabe erlauben – und erzeugt so ein Transfer-Event vom Opfer ins Leere, wodurch die Angreiferadresse in die Historie gelangt. Fake-Token-Transfers nutzen einen bösartigen Contract, der einen wertlosen Token etwa namens „USDT" prägt, damit der Eintrag echt wirkt.

Der bekannteste Fall ereignete sich am 3. Mai 2024, als ein Whale 1.155,28 WBTC (~68 Mio. USD) an eine vergiftete Lookalike-Adresse sandte; der Dieb gab die Mittel am 9. Mai unter dem Druck der On-Chain-Analyse zurück. Die Technik wurde 2022 bis 2024 auf Ethereum, BSC und Tron industrialisiert.

flowchart TD
  A[Angreifer erzwingt Vanity-Adresse<br/>passend zu Präfix+Suffix der Gegenseite] --> B[Historie seeden: Null-Value-<br/>oder Fake-Token-Transfer an das Opfer]
  B --> C[Vergifteter Eintrag erscheint<br/>in der Transaktionsliste]
  C --> D{Kopiert das Opfer die<br/>Adresse aus der Historie?}
  D -- Ja --> E[Geld geht an den Angreifer]
  D -- Nein, Kontaktbuch / ENS --> F[Sicherer Transfer]
  E --> G[Angreifer wäscht oder erpresst die Mittel]

Schutz: niemals Adressen aus der Transaktionshistorie kopieren; Kontaktbuch, verifizierten ENS-Namen oder QR-Codes nutzen; die vollständige Zeichenkette auf dem Display eines Hardware-Wallets prüfen; und jeden unerwarteten Null-Value- oder Unknown-Token-Eintrag als Poisoning-Versuch behandeln, nicht als echte Zahlung.