Отравление адресов (Address Poisoning).

При отравлении адресов атакующий генерирует vanity-адреса, у которых первые и последние символы совпадают с адресом, с которым жертва недавно взаимодействовала. Поскольку адреса Ethereum состоят из 40 шестнадцатеричных символов, а кошельки сокращают их в интерфейсе (например, 0x1a2b…f9e0), достаточно воспроизвести лишь первые и последние 4–6 символов, чтобы обмануть того, кто бегло просматривает историю. Похожие адреса подбираются на GPU с помощью инструментов, производных от генераторов vanity-адресов вроде profanity.

Преобладают две техники «засева». Перевод с нулевой стоимостью вызывает функцию токена transferFrom с суммой 0, что многие контракты ERC-20 разрешают без предварительного одобрения, порождая событие Transfer от имени жертвы в никуда и вставляя адрес атакующего в историю. Переводы фальшивого токена используют вредоносный контракт, который чеканит бесполезный токен с названием, например, «USDT», чтобы запись выглядела как настоящий платёж.

Самый известный случай произошёл 3 мая 2024 года, когда «кит» отправил 1155,28 WBTC (~68 млн долларов) на отравленный похожий адрес; под давлением ончейн-расследования вор вернул средства 9 мая. Приём был поставлен на поток в 2022–2024 годах в сетях Ethereum, BSC и Tron.

flowchart TD
  A[Атакующий подбирает vanity-адрес,<br/>совпадающий с префиксом+суффиксом контрагента] --> B[Засев истории: перевод нулевой<br/>стоимости или фальшивого токена жертве]
  B --> C[Отравленная запись появляется<br/>в списке транзакций]
  C --> D{Копирует ли жертва<br/>адрес из истории?}
  D -- Да --> E[Средства уходят атакующему]
  D -- Нет, адресная книга / ENS --> F[Безопасный перевод]
  E --> G[Атакующий отмывает или требует выкуп]

Защита: никогда не копировать адрес из истории транзакций; использовать адресную книгу, проверенное имя ENS или QR-коды; сверять полную строку на экране аппаратного кошелька; и любую неожиданную запись с нулевой стоимостью или неизвестным токеном воспринимать как попытку отравления, а не как настоящий платёж.