Οδηγός · Κίνδυνος διευθύνσεων · · Stefan Tsezarov
Η διεύθυνση που μοιάζει με τη δική σου
Ξεκινά όπως η δική σου. Τελειώνει όπως η δική σου. Δεν είναι η δική σου.
Αυτή είναι η δηλητηρίαση διευθύνσεων.
Κάποιος βάζει μια διεύθυνση-σωσία στο ιστορικό συναλλαγών σου και περιμένει. Αργότερα ανοίγεις το ιστορικό, βλέπεις μια γραμμή που μοιάζει γνώριμη, την αντιγράφεις και στέλνεις κεφάλαια σε λάθος μέρος.
Καμία παραβίαση πορτοφολιού. Κανένας κλεμμένος κωδικός. Κανένα χαλασμένο blockchain.
Μόνο μία κακή αντιγραφή-επικόλληση.
Μην αντιγράφεις ποτέ διεύθυνση από το ιστορικό συναλλαγών σου.
Αυτός ο οδηγός δείχνει πώς λειτουργεί το κόλπο, γιατί το να ελέγχεις μόνο την αρχή και το τέλος μιας διεύθυνσης είναι ακριβώς αυτό που θέλει ο απατεώνας, και πώς να το νικήσεις.
01Η παγίδα είναι στο ιστορικό σου
Οι περισσότεροι στέλνουν χρήματα στα ίδια λίγα μέρη ξανά και ξανά.
Ένα χρηματιστήριο. Έναν φίλο. Το δεύτερο δικό τους πορτοφόλι. Μια επιχείρηση που χρησιμοποιούν τακτικά.
Οι διευθύνσεις blockchain είναι δημόσιες, οπότε οι επιτιθέμενοι μπορούν να παρακολουθούν αυτά τα μοτίβα.
Μετά δημιουργούν μια νέα διεύθυνση σχεδιασμένη να μοιάζει με μια που ήδη χρησιμοποιείς.
Η αρχή ταιριάζει.
Το τέλος ταιριάζει.
Η μέση είναι διαφορετική.
Τώρα ο επιτιθέμενος πρέπει να βάλει αυτή τη διεύθυνση κάπου όπου θα τη δεις αργότερα.
Το ιστορικό συναλλαγών σου είναι τέλειο γι' αυτό.
Μπορεί να σου στείλει μια μικροσκοπική πληρωμή, να δημιουργήσει μεταφορά token μηδενικής αξίας ή να στείλει ένα άχρηστο token με γνώριμο όνομα όπως «USDT».
Δεν ζήτησες τίποτα από αυτά.
Αυτό ακριβώς είναι το θέμα.
Ο επιτιθέμενος δεν προσπαθεί να σε κλέψει τώρα.
Φυτεύει μια ψεύτικη διεύθυνση για αργότερα.
02Γιατί ο έλεγχος των άκρων δεν λειτουργεί
Τα πορτοφόλια και οι block explorers συντομεύουν τις μεγάλες διευθύνσεις, επειδή κανείς δεν θέλει να κοιτάζει μια σειρά 42 χαρακτήρων σε κινητό.
Έτσι μπορεί να δεις 0x7a3F…9E2c αντί για ολόκληρη τη διεύθυνση.
Και φυσικά ελέγχεις αυτό που βλέπεις.
«Ναι. Ξεκινά με 7a3F.»
«Ναι. Τελειώνει σε 9E2c.»
«Πρέπει να είναι η ίδια διεύθυνση.»
Αυτή ακριβώς είναι η παγίδα.
Ο επιτιθέμενος χρειάζεται μόνο να κάνει το ορατό μέρος να ταιριάζει.
Η δημιουργία διευθύνσεων είναι φθηνή και αυτόματη. Ένα λογισμικό μπορεί να παράγει τεράστιο αριθμό υποψηφίων μέχρι να βρει μία με την αρχή και το τέλος που θέλει.
Η μέση είναι εκεί όπου βρίσκεται η πραγματική διαφορά.
Και η μέση είναι το κομμάτι που κανείς δεν ελέγχει.
03Τρεις τρόποι να εμφανιστεί η ψεύτικη
Το κόλπο δεν χρειάζεται την έγκρισή σου ούτε την υπογραφή σου.
Μια μικροσκοπική πληρωμή
Ο επιτιθέμενος σου στέλνει ένα μικροσκοπικό ποσό.
Εμφανίζεται στην πρόσφατη δραστηριότητά σου, ακριβώς εκεί όπου αργότερα μπορεί να ψάξεις για μια γνώριμη διεύθυνση.
Μια μεταφορά μηδενικής αξίας
Ορισμένα συμβόλαια token επιτρέπουν να καταγράφονται στην αλυσίδα μεταφορές μηδέν tokens.
Αυτό μπορεί να κάνει το ιστορικό σου να φαίνεται ότι περιέχει μεταφορά με τη διεύθυνση-σωσία του επιτιθέμενου, παρότι δεν την ξεκίνησες ποτέ εσύ.
Ένα ψεύτικο token
Ο επιτιθέμενος στέλνει ένα άχρηστο token με γνώριμο όνομα ή σύμβολο.
Το πορτοφόλι σου μπορεί να δείξει κάτι που μοιάζει με κανονικό περιουσιακό στοιχείο.
Είναι δόλωμα.
Αυτές οι συναλλαγές δεν δίνουν μαγικά στον επιτιθέμενο τον έλεγχο του πορτοφολιού σου.
Είναι εκεί για να κάνουν τη λάθος διεύθυνση να φαίνεται γνώριμη.
04Ένα λάθος 68 εκατομμυρίων δολαρίων
Δεν είναι απλώς ένα θεωρητικό κόλπο.
Στις 3 Μαΐου 2024, κάποιος έστειλε 1.155 wrapped bitcoin, αξίας περίπου 68 εκατομμυρίων δολαρίων εκείνη την εποχή, σε μια διεύθυνση-σωσία.
Η διεύθυνση είχε φτιαχτεί ώστε να μοιάζει με την επιθυμητή και είχε φυτευτεί στο ιστορικό συναλλαγών του θύματος.
Περίπου μία εβδομάδα αργότερα, αφού το θύμα πρόσφερε δημόσια στον επιτιθέμενο το 10% για να επιστρέψει τα κεφάλαια, ο επιτιθέμενος έστειλε πίσω την αξία σε ETH.
Μια αξιοσημείωτη ανάκτηση.
Αλλά μη χτίζεις τη στρατηγική ασφαλείας σου πάνω στην τύχη.
Η Chainalysis ανίχνευσε αργότερα την ευρύτερη εκστρατεία και βρήκε περισσότερες από 80.000 διευθύνσεις-σωσίες σπαρμένες σε ιστορικά συναλλαγών.
Μόνο ένα μικροσκοπικό ποσοστό από αυτές έπιασε ποτέ πραγματική πληρωμή.
Και αυτό ακριβώς κάνει την απάτη να λειτουργεί.
Ο επιτιθέμενος μπορεί να στήσει χιλιάδες παγίδες με πολύ μικρό κόστος.
Χρειάζεται μόνο έναν άνθρωπο να αντιγράψει τη λάθος διεύθυνση μία φορά.
05Πέντε συνήθειες που το νικούν
1. Αντίγραφε από την αρχική πηγή.
Χρησιμοποίησε τη σελίδα κατάθεσης του χρηματιστηρίου, το τιμολόγιο, τον παραλήπτη ή άλλη αξιόπιστη πηγή. Όχι το ιστορικό συναλλαγών σου.
2. Αποθήκευσε τις συχνές διευθύνσεις.
Το βιβλίο διευθύνσεων του πορτοφολιού σου είναι ασφαλέστερο από το ψάξιμο σε παλιές συναλλαγές.
3. Σύγκρινε ολόκληρη τη διεύθυνση.
Όχι μόνο τους πρώτους τέσσερις χαρακτήρες. Όχι μόνο τους τελευταίους τέσσερις. Σύγκρινέ τα όλα.
4. Για μεγάλες μεταφορές, κάνε πρώτα δοκιμή.
Στείλε ένα μικρό ποσό και ζήτησε από τον παραλήπτη να επιβεβαιώσει ότι έφτασε μέσω ξεχωριστού καναλιού. Η δοκιμή βοηθά μόνο όταν κάποιος την επιβεβαιώνει πραγματικά.
5. Θεώρησε τις απρόσμενες μεταφορές θόρυβο.
Μικροσκοπικές πληρωμές, μεταφορές μηδενικής αξίας και παράξενα tokens μπορεί να είναι δόλωμα. Μην αλληλεπιδράς μαζί τους μόνο επειδή εμφανίστηκαν στο πορτοφόλι σου.
06Δοκίμασέ το μόνος σου
Ορίστε δύο επινοημένες διευθύνσεις.
Επινοημένο παράδειγμα · η διεύθυνση που εννοούσες
Επινοημένο παράδειγμα · ο σωσίας
Τώρα συντόμευσε και τις δύο όπως κάνει συνήθως ένα πορτοφόλι: 0x7a3F…9E2c
Φαίνονται ίδιες.
Δεν είναι.
Άνοιξε το Σύγκρινε δύο διευθύνσεις στον σαρωτή και επικόλλησε μία διεύθυνση σε κάθε πλαίσιο.
Θα δεις ότι είναι διαφορετικές, παρότι η αρχή και το τέλος ταιριάζουν.
Αυτή είναι η δηλητηρίαση διευθύνσεων σε μία οθόνη.
Και κάθε χαρακτήρας που διαφέρει αποκαλύπτεται.
07Τι μπορεί και τι δεν μπορεί να σου πει το εργαλείο σύγκρισης
Το εργαλείο σύγκρισης απαντά σε ένα ερώτημα:
Είναι αυτές οι δύο διευθύνσεις πράγματι ίδιες;
Αυτό είναι όλο.
Δεν μπορεί να σου πει ποια διεύθυνση είναι η σωστή.
Αυτό είναι σημαντικό.
Αν δύο διευθύνσεις προήλθαν από το ιστορικό συναλλαγών σου, μπορεί να είναι και οι δύο λάθος.
Η αρχική αξιόπιστη πηγή είναι αυτή που σου λέει ποια διεύθυνση πρέπει να χρησιμοποιήσεις.
Το εργαλείο επίσης δεν σου λέει σε ποιον ανήκει μια διεύθυνση ούτε αν έχει επισημανθεί για κίνδυνο. Αυτό είναι διαφορετικός έλεγχος.
Μια τεχνική λεπτομέρεια: στις διευθύνσεις τύπου Ethereum τα κεφαλαία είναι μέρος του checksum, οπότε εκεί το εργαλείο σύγκρισης αγνοεί τη διαφορά κεφαλαίων-πεζών. Σε δίκτυα όπου τα κεφαλαία έχουν σημασία, συγκρίνει τους χαρακτήρες ακριβώς.
Η σύγκριση εκτελείται στον browser σου.
Τίποτα από όσα επικολλάς δεν αποστέλλεται πουθενά.
Ο κανόνας
Αντίγραφε από την πηγή, όχι από το ιστορικό σου. Σύγκρινε ολόκληρη τη διεύθυνση, όχι τα άκρα.
Αυτό είναι όλο.
Μια διεύθυνση που φαίνεται γνώριμη μπορεί να είναι εντελώς διαφορετική.
Πριν στείλεις, βεβαιώσου ότι η διεύθυνση που αντέγραψες είναι η διεύθυνση που πραγματικά ήθελες να χρησιμοποιήσεις.
Και οι δύο διευθύνσεις του παραδείγματος σε αυτόν τον οδηγό είναι επινοημένες. Μη στείλεις κεφάλαια σε καμία από αυτές. Αυτός ο οδηγός είναι γενική πληροφόρηση, όχι χρηματοοικονομική συμβουλή.