Address poisoning: как не отправить криптовалюту не на тот кошелёк
Мошенничество address poisoning заставляет копировать похожий адрес кошелька из истории транзакций. Узнайте безопасные привычки переводов, которые предотвращают эту дорогую ошибку.
Address poisoning легко недооценить: внешне ничего не выглядит явно взломанным.
Баланс может быть на месте. Seed-фраза может оставаться в безопасности. Схема работает потому, что злоумышленник подбрасывает в историю транзакций похожий адрес и ждёт, пока вы позже скопируете не тот.
Для тех, кто выводит средства с биржи на самостоятельное хранение, отправляет стейблкоины между кошельками или управляет аппаратным кошельком, это практический риск, который стоит понимать.
Короткий ответ
Не копируйте адреса кошельков из истории транзакций.
Используйте свежий адрес получения, сохранённую запись адресной книги, allowlist вывода на бирже или проверенный контакт. Затем проверьте полный адрес назначения на доверенном экране перед отправкой.
| Если вы собираетесь... | Более безопасная привычка |
|---|---|
| Отправить криптовалюту на свой аппаратный кошелёк | Откройте получение в кошельке и проверьте адрес на устройстве |
| Вывести средства с биржи | Используйте allowlist вывода для доверенных адресов |
| Повторить прошлый перевод | Используйте сохранённый адрес с меткой, а не историю транзакций |
| Отправить крупную сумму | Сначала отправьте небольшой тест, затем проверьте сохранённого получателя перед полной суммой |
| Увидеть странный мелкий депозит или NFT | Игнорируйте; не копируйте оттуда адреса |
Как работает address poisoning
Ledger описывает address poisoning как схему, где мошенник отправляет небольшое количество криптовалюты или NFT на ваш аккаунт, чтобы в истории кошелька появилась «отравленная» транзакция. Адрес мошенника делают похожим на адрес, который вы уже использовали, часто совпадающим по первым или последним символам.
Trezor описывает тот же паттерн как подмену адреса: злоумышленник рассчитывает на спешку, публичную историю блокчейна и похожие адреса. Chainalysis также описывала крупные автоматизированные кампании, где создавались тысячи похожих адресов и ждали ошибки copy-paste.
Главная деталь: мошеннику обычно не нужна ваша seed-фраза. Он не взламывает аппаратный кошелёк. Он использует привычку людей применять историю транзакций как быстрый ярлык.
Как это выглядит на практике
Распространённые признаки:
- крошечный неожиданный депозит токена
- незнакомый NFT или транзакция на нулевую сумму
- транзакция в истории, которую вы не помните
- адрес, совпадающий с началом и концом настоящего адреса, но отличающийся в середине
- фальшивый перевод токена, визуально похожий на реальное движение USDC, USDT или другого стейблкоина
Это чаще встречается в сетях с низкими комиссиями, потому что атакующие могут дёшево «отравлять» множество кошельков. Ledger упоминает Polygon, Tron, Tezos, Solana и BNB Smart Chain, но проблема привычек применима везде: если вы скопируете не тот адрес, сеть вас не спасёт.
Ошибка, из-за которой теряют деньги
Большинство жертв не теряют средства в момент появления отравленной транзакции.
Они теряют их позже, когда делают примерно так:
- Открывают историю кошелька.
- Находят транзакцию, похожую на прошлую.
- Копируют адрес, который кажется знакомым.
- Проверяют только первые и последние символы.
- Отправляют средства на похожий адрес мошенника.
Последний шаг и стоит денег. Криптопереводы обычно необратимы, поэтому профилактика важнее последующей уборки.
Более безопасный процесс перевода
Используйте этот порядок для любого значимого перевода.
1. Начинайте с получателя, а не с истории
Если отправляете на свой кошелёк, откройте кошелёк-получатель и сгенерируйте или покажите адрес там.
Если используете аппаратный кошелёк, проверяйте адрес получения на экране устройства. Не доверяйте только приложению на компьютере или телефоне.
2. Проверяйте больше, чем первые и последние символы
Похожие адреса специально создают так, чтобы они проходили ленивую проверку. Не полагайтесь на «те же первые четыре и последние четыре».
Для крупных переводов сравнивайте полный адрес или используйте доверенный QR-процесс из кошелька-получателя. Если кошелёк поддерживает метки или контакты, сохраните проверенный адрес с понятным названием.
3. Используйте allowlist вывода на бирже
Coinbase рекомендует allowlisting вывода как привычку безопасности для on-chain переводов. Kraken, Coinbase и другие крупные биржи поддерживают адресную книгу или allowlist в зависимости от региона и настроек аккаунта.
Allowlist не идеален, но помогает: мошеннический адрес не должен становиться допустимой целью вывода только потому, что появился в истории кошелька.
4. Делайте тестовый перевод для крупных сумм
Для значимых сумм сначала отправьте небольшой тест.
Проверьте, что он пришёл в нужный кошелёк. Затем отправляйте полную сумму тому же сохранённому и проверенному получателю — не новому адресу, скопированному из истории.
5. Считайте неожиданные депозиты шумом
Случайный мелкий депозит или NFT не означает, что вы что-то выиграли. Он также не обязательно означает компрометацию кошелька.
Игнорируйте его. Не переходите по прикреплённым ссылкам, фальшивым сайтам токенов или подозрительным NFT. И не используйте эту транзакцию как источник адресов в будущем.
Аппаратные кошельки помогают, но только если не спешить
Аппаратный кошелёк защищает приватные ключи от компьютера или телефона. Он не знает магически, что вставленный вами адрес — именно тот, который вы имели в виду.
Поэтому важен доверенный экран.
Если вы выбираете кошелёк главным образом для снижения ошибок переводов, сравнивайте реальный опыт подтверждения, читаемость экрана, мобильный процесс и модель восстановления, а не только бренд. Начните с нашего гайда лучший аппаратный кошелёк для начинающих, затем прочитайте обзор Ledger, обзор Trezor или обзор Tangem в зависимости от рассматриваемой настройки.
Address poisoning и другие мошенничества с кошельками
Address poisoning отличается от approval scams и кражи seed-фразы.
| Тип мошенничества | Что нужно атакующему | Лучшая защита |
|---|---|---|
| Address poisoning | Заставить отправить на неверный адрес | Проверять адрес назначения из доверенного источника |
| Approval scam | Получить разрешение позже переместить токены | Понимать каждое разрешение перед подписью |
| Фальшивое приложение кошелька | Украсть seed-фразу или приватные ключи | Устанавливать только из официальных источников |
| Имитация поддержки | Заставить переместить средства или раскрыть секреты | Никогда не выполнять инструкции по переводу от якобы поддержки |
Для более широкой модели угроз прочитайте распространённые криптомошенничества и как их избежать. О рисках подписи читайте в wallet approval scams и опасных разрешениях.
Итог
Address poisoning не сложен потому, что взламывает криптовалюту. Он сложен потому, что злоупотребляет удобством.
Решение скучное, но эффективное: никогда не копируйте из истории транзакций, проверяйте полный адрес получателя на доверенном экране, используйте allowlists, где возможно, и тестируйте перед переводом серьёзных сумм.
Если это кажется медленным, вспомните смысл самостоятельного хранения: вы — последний слой подтверждения.
Получайте дайджест Coin Buyer Guide
Практичное еженедельное письмо с новыми гайдами по кошелькам, биржам, картам, налогам и безопасности крипто, а также полезными заметками индустрии. Без хайпа.