Przewodnik · Adresowanie ryzyka · wrzesień 2026 · autor: Stefan Tsezarov

Adres, który wygląda jak Twój

Zaczyna się tak jak u Ciebie. Skończy się tak jak twoje. To nie jest twoje.

Czyli zatruwanie adresu .

Ktoś umieszcza w Twojej historii transakcji podobny adres i czeka. Później otwierasz swoją historię, widzisz znajomo wyglądającą linię, kopiujesz ją i wysyłasz środki w niewłaściwe miejsce.

Żadnego hackowania portfela. Żadnego skradzionego hasła. Żadnych zepsutych bloków blockchain.

Tylko jedno błędne skopiowanie i wklejenie.

01 Pułapka jest w Twojej historii

Większość ludzi wysyła pieniądze w kółko do tych samych kilku miejsc.

Wymiana. Przyjaciel. Ich własny drugi portfel. Firma, z której regularnie korzystają.

Adresy Blockchain są publiczne, więc osoby atakujące mogą obserwować te wzorce.

Następnie tworzą nowy adres zaprojektowany tak, aby wyglądał tak, jak ten, którego już używasz .

Początek pasuje.
Mecze końcowe.
Środek jest inny.

Teraz atakujący musi zdobyć ten adres w miejscu, w którym zobaczysz go później.

Twoja historia transakcji jest idealna.

Mogą wysłać niewielką płatność, utworzyć transfer tokena o zerowej wartości lub wysłać bezwartościowy token, używając znanej nazwy, takiej jak „USDT”.

Nie prosiłeś o nic takiego.

O to właśnie chodzi.

Osoba atakująca nie próbuje teraz ukraść Ci .

Podkładają fałszywy adres na później.

02 Dlaczego sprawdzanie końcówek nie działa

Portfele i eksploratory bloków skracają długie adresy, ponieważ nikt nie chce patrzeć na 42-znakowy ciąg w telefonie.

Możesz więc zobaczyć 0x7a3F…9E2c zamiast pełnego adresu.

Ludzie w naturalny sposób sprawdzają to, co widzą.

„Tak. Zaczyna się od 7a3F”.
„Tak. Kończy się na 9E2c.”
„Musi być ten sam adres.”

To jest właśnie pułapka.

Atakujący musi jedynie dopasować widoczną część.

Generowanie adresów jest tanie i automatyczne. Oprogramowanie może tworzyć ogromną liczbę kandydatów, dopóki nie znajdzie takiego, który ma pożądany początek i koniec.

W środku jest prawdziwa różnica.

A środek to część, której nikt nie sprawdza.

03 Podróbka na trzy sposoby

Sztuczka nie wymaga Twojej zgody ani podpisu.

Mała płatność

Osoba atakująca wysyła do Ciebie niewielką kwotę.

Pojawia się w Twojej ostatniej aktywności, dokładnie tam, gdzie możesz później szukać znajomego adresu.

Transfer o wartości zerowej

Niektóre umowy dotyczące tokenów umożliwiają rejestrowanie w łańcuchu transferów zerowych tokenów.

Może to sprawić, że Twoja historia będzie wyglądać na zawierającą transfer obejmujący adres podobny do atakującego, nawet jeśli nigdy go nie zainicjowałeś.

Fałszywy token

Osoba atakująca wysyła bezwartościowy token, używając znanej nazwy lub symbolu.

Twój portfel może zawierać coś, co wygląda jak zwykły zasób.

To przynęta.

Transakcje te w magiczny sposób nie dają atakującemu kontroli nad Twoim portfelem.

Są po to, aby błędny adres wyglądał znajomo .

04 Błąd 68 milionów dolarów

To nie jest tylko teoretyczna sztuczka.

W dniu 3 maja 2024 r. ktoś wysłał 1155 opakowanych bitcoinów, wartych wówczas około 68 milionów dolarów, na podobny adres .

Adres został zmieniony tak, aby przypominał zamierzony i został umieszczony w historii transakcji ofiary.

Około tydzień później, po tym jak ofiara publicznie zaoferowała atakującemu 10% zwrotu środków, atakujący odesłał tę wartość z powrotem w ETH.

Niezwykły powrót do zdrowia.

Ale nie buduj swojej strategii bezpieczeństwa na szczęściu.

Analiza łańcuchowa prześledziła później szerszą kampanię i odkryła, że ​​ zawiera ponad 80 000 podobnych adresów umieszczonych w historiach transakcji.

Tylko niewielka część z nich kiedykolwiek otrzymała prawdziwą płatność.

I to właśnie sprawia, że ​​oszustwo działa.

Osoba atakująca może zastawić tysiące pułapek bardzo niewielkim kosztem.

Wystarczy, że jedna osoba raz skopiuje zły adres.

05 Pięć nawyków, które to pokonują

1. Skopiuj z oryginalnego źródła.
Skorzystaj ze strony wpłaty na giełdzie, faktury, odbiorcy lub innego zaufanego źródła. Nie Twoja historia transakcji.

2. Zapisz częste adresy.
Książka adresowa Twojego portfela jest bezpieczniejsza niż przeszukiwanie starych transakcji.

3. Porównaj cały adres.
Nie tylko pierwsze cztery znaki. Nie tylko cztery ostatnie. Porównaj to wszystko.

4. W przypadku dużych transferów najpierw przetestuj.
Wyślij niewielką kwotę i poproś odbiorcę o potwierdzenie jej dostarczenia osobnym kanałem. Test pomaga tylko wtedy, gdy ktoś go rzeczywiście potwierdzi.

5. Traktuj nieoczekiwane transfery jako szum.
Drobne płatności, przelewy o zerowej wartości i dziwne tokeny mogą być przynętą. Nie wchodź z nimi w interakcję tylko dlatego, że pojawiły się w Twoim portfelu.

06 Spróbuj sam

Oto dwa fikcyjne adresy.

Fikcyjny przykład · adres, który miałeś na myśli

Przykład fikcyjny · sobowtór

Teraz skróć oba, tak jak zwykle robi to portfel: 0x7a3F…9E2c

Wygląda identycznie.

Nie jest.

Otwórz Porównaj dwa adresy w skanerze i wklej jeden adres w każde pole.

Zobaczysz, że są to różne , mimo że początek i koniec są zgodne.

To jest zatruwanie adresów na jednym ekranie.

I każda inna postać zostaje ujawniona.

07 Co porównywarka może, a czego nie może powiedzieć

Narzędzie porównawcze odpowiada na jedno pytanie:

Czy te dwa adresy rzeczywiście są takie same?

To wszystko.

Nie może powiedzieć, który adres jest właściwy.

To ważne.

Jeśli z Twojej historii transakcji pochodzą dwa adresy, oba mogą być błędne. .

Oryginalne zaufane źródło podpowie Ci, jakiego adresu powinieneś użyć.

Narzędzie nie informuje również, kto jest właścicielem adresu ani czy adres został oznaczony jako niebezpieczny. To inna kontrola.

Jeden szczegół techniczny: w adresach w stylu Ethereum wielkie litery są częścią sumy kontrolnej, więc narzędzie porównujące ignoruje tam wielkość liter. W łańcuchach, w których liczy się wielkość liter, dokładnie porównuje znaki.

Porównanie odbywa się w przeglądarce.

Nic, co do niego wkleisz, nie jest nigdzie wysyłane.

Zasada

Skopiuj ze źródła, a nie ze swojej historii. Porównaj cały adres, a nie końcówki.

To wszystko.

Znajomy adres może jednak być zupełnie inny.

Zanim wyślesz, upewnij się, że skopiowany adres jest adresem, którego faktycznie miałeś używać.

Oba przykładowe adresy w tym przewodniku są fikcyjne. Nie wysyłaj środków do żadnego z nich. Ten przewodnik zawiera informacje ogólne, a nie porady finansowe.