Útoky na otrávenie adresy: ako zostať v bezpečí

Chráňte svoje mince pred týmto novým zákerným krypto podvodom!

Začiatkom roka 2023 sa do popredia dostal nový typ útoku na kryptomeny, známy ako „otrávenie adresy“. Predpoklad tohto útoku je jednoduchý: oklamať cieľ, aby poslal finančné prostriedky na adresu útočníka, a to vytvorením transakcií, ktoré majú majiteľa peňaženky zmiasť.

Útok bol prvýkrát zaznamenaný v decembri 2022, ale odvtedy sa jeho frekvencia dramaticky zvýšila a používatelia prišli približne o 5 až 10 miliónov dolárov, pričom toto číslo dodnes stále rastie.

Používateľom reťazca BNB bolo odcudzených najmenej 2,8 milióna dolárov, z ktorých väčšina je vo forme USD Coin (USDC) alebo Tether (USDT). Obeťou útoku sa stalo už najmenej 1 000 unikátnych používateľov.

Na uskutočnenie útoku sa v súčasnosti používa väčšina hlavných blockchainov. Do dnešného dňa boli cieľom útokov desiatky miliónov aktívnych adries.

Tento podvod sa dá zorganizovať niekoľkými spôsobmi. Nižšie sa budeme venovať dvom najbežnejším.

Metóda 1: Falošné zmluvy

V prvom príklade útočník vytvorí inteligentnú zmluvu, ktorá posiela tokeny s nulovou hodnotou na adresu, ktorá je podobná adrese obete. Keď obeť prvýkrát uvidí túto transakciu, nemusí jej venovať veľkú pozornosť.

Pri ďalšom pokuse o legitímny prevod však môže obeť neúmyselne skopírovať podvodnú adresu z histórie transakcií v aplikácii Etherscan alebo v peňaženke namiesto zamýšľanej adresy príjemcu. Výsledkom tejto chyby je, že obeť prevedie svoje kryptomeny na adresu útočníka.

Táto adresa je navrhnutá tak, aby sa čo najvernejšie zhodovala s adresou obete, pričom prvých (a často aj posledných) niekoľko znakov sa presne zhoduje. Tieto znaky sú zvyčajne jediné, ktoré peňaženky a prieskumníci zobrazujú na účely stručnosti. Väčšina ľudí preto pozná len prvých a posledných niekoľko znakov svojej peňaženky.

V niektorých variantoch tohto podvodu útočník použije falošnú zmluvu s tokenom a prevedie na cieľ značnú sumu uvedeného tokenu. Zvyčajne ide o falošnú verziu populárneho tokenu, napríklad USDT alebo USDC. Útočník potom môže použiť transakciu, ktorá zavolá funkciu transferFrom tejto zmluvy o tokenoch, aby sa zdalo, že cieľová adresa prevedie 0 týchto tokenov na príjemcu (adresu útočníka).

Toto sa používa na zvýšenie pravdepodobnosti, že obeť skopíruje adresu posledného príjemcu v domnení, že s touto adresou už v minulosti uskutočnila transakciu.

Niektoré prieskumníky blokov teraz tieto transakcie predvolene skrývajú, ale mnohé denníky transakcií v aplikáciách a prieskumníci tieto transakcie stále zobrazujú.

Metóda 2: Breadcrumbing

V druhom príklade útočník vytvorí márnu adresu, ktorá je veľmi podobná adrese obete. Potom na adresu obete pošle veľmi malé množstvo krypta v nádeji, že obeť skontroluje zostatok v prieskumníku blokov a v histórii transakcií uvidí adresu útočníka.

Útočník dúfa, že keď v histórii transakcií uvidíte transakciu pre token, s ktorým zvyčajne komunikujete, skopírujete si adresu príjemcu (v domnení, že ide o vašu vlastnú adresu) a potom na ňu pošlete finančné prostriedky.

Ako sa dalo očakávať, posielanie malého množstva finančných prostriedkov na tisíce peňaženiek môže byť nákladné. Útočníci celkovo minuli milióny dolárov na transakčných poplatkoch pri uskutočňovaní útokov len na blockchain Ethereum.

Tieto útoky môže byť ťažké odhaliť, pretože transakcie sa javia ako legitímne a nemusia spúšťať žiadne varovania. Obete sa však môžu chrániť tým, že pred odoslaním akejkoľvek kryptomeny vždy dvakrát skontrolujú adresu príjemcu.

Ako sa chrániť pred útokmi na otravu adresy?

Bohužiaľ, nemôžete urobiť nič, aby ste sa nestali terčom útoku na otrávenie adresy. Útočníci sa zvyčajne zameriavajú na každého, kto pravidelne vykonáva transakcie a/alebo často posiela alebo prijíma veľké sumy.

Ak sa stanete obeťou útoku na otrávenie adresy, najlepšie bude, ak sa jednoducho oboznámite s tým, ako funguje, aby ste sa nestali jeho obeťou. Potom je najlepšie jednoducho ignorovať tieto transakcie.

Okrem toho môžete dodržiavať niekoľko zásad bezpečnosti transakcií, aby ste minimalizovali pravdepodobnosť, že budete oklamaní. Medzi ne patria:

• Nastavenie upozornení: Viaceré nástroje umožňujú nastaviť upozornenia, ktoré vás upozornia na transakcie na vašej adrese alebo na interakciu s konkrétnymi inteligentnými zmluvami. Tie môžete použiť na potvrdenie vašich bežných transakcií (čo vám umožní ignorovať čokoľvek iné) alebo na označenie podozrivých transakcií zahŕňajúcich vašu adresu.
• Vytvorte zoznam kontaktov: Útoky na otrávenie adresy fungujú tak, že vás oklamú, aby ste poslali finančné prostriedky do peňaženky, o ktorej si myslíte, že je vaša vlastná alebo niekoho, s kým pravidelne obchodujete. Riziko, že sa stanete obeťou tohto útoku, môžete úplne eliminovať pridaním peňaženiek, s ktorými pravidelne uskutočňujete transakcie, do zoznamu kontaktov. Zoznam kontaktov alebo adresár má v súčasnosti takmer každá významná peňaženka s kryptomenami.
• Použite dôveryhodný zdroj: Na získanie adresy príjemcu použite dôveryhodný zdroj. To môže zahŕňať použitie oficiálnej webovej stránky, účtu na sociálnych sieťach alebo iných overených komunikačných kanálov. Vyhnite sa klikaniu na odkazy alebo používaniu adries získaných z nedôveryhodných zdrojov a nikdy nepoužívajte predchádzajúce transakcie na identifikáciu adresy príjemcu bez toho, aby ste si ju najprv dvakrát overili.
• Použite name service: Adresy máme service služieb, ako sú adresy poskytované Ethereum Name Service(ENS) alebo BSC Name Service (BNS), môžu poskytnúť ďalšiu úroveň ochrany, pretože ich nie je možné duplikovať a vďaka ich krátkej dĺžke je oveľa ťažšie ich podvrhnúť.

Niektoré peňaženky Web3 umožňujú filtrovať transakcie podľa zmluvnej adresy alebo na bielej listine uvádzať len konkrétne zmluvné adresy. Oficiálnu adresu zmluvy pre cieľové tokeny potom nájdete na jej stránke s podrobnými informáciami o minciach CoinMarketCap. Medzi obľúbené možnosti patria MyEtherWallet (MEW) a Exodus.

Mnohé prehliadače blokov automaticky označia tieto transakcie ako podozrivé alebo ako pravdepodobné phishingové útoky, ale spravidla to chvíľu trvá. Nie je to teda spoľahlivý spôsob, ako určiť, či je transakcia útokom na otrávenie adresy – najmä ak je transakcia veľmi čerstvá.