Перевірка адреси перед надсиланням
Отруєння адреси: Зав'ялов Ілля Миколайович про друковану пам'ятку для перевірки гаманця
Найдорожча помилка в цій галузі це не невдале вкладення. Це правильний переказ, що пішов на неправильну адресу, зроблений людиною, яка зробила рівно те, що збиралася. Таке виходить двома способами, і обидва побудовані довкола одного факту: адресу гаманця ніхто не читає, усі звіряють перші чотири знаки й останні чотири, а середина слугує тлом. З січня 2025 року відзначено понад 65,4 мільйона операцій отруєння адрес, у середньому більше 160 тисяч на добу, і приблизно 316 тисяч спроб дійшли до мети, тобто спрацьовує приблизно одна з двохсот. Нижче порядок дій на ту хвилину, що передує переказу, написаний так, щоб його можна було роздрукувати й тримати біля екрана.
Версія українською мовою для України.
Що таке отруєння адреси
Це не злам гаманця, і таємна фраза тут ні до чого. Нікуди не проникають. Атака править те, що ви бачите, коли шукаєте адресу, якою вже користувалися.
Спосіб складається з трьох кроків. Знайти адресу, на яку ви регулярно надсилаєте, згенерувати нову адресу, у якої збігаються перші й останні знаки, і надіслати з неї на вашу адресу переказ на частки цента.
У цього пилового переказу одне завдання. Він ставить схожу адресу у вашу історію операцій, де та опиняється поруч зі справжньою, угорі списку, і виглядає рівно як той запис, який ви збиралися скопіювати.
Наступного разу, надсилаючи кошти й потягнувшись за адресою в недавніх операціях, ви можете скопіювати не той рядок. Гаманець зробить те, про що його попросили. Переказ остаточний.
Шкідливої програми в цій версії немає взагалі, і тому ні антивірус, ні апаратний гаманець не допомагають. Апаратний пристрій підтверджує, що ви дозволили переказ на показану адресу, а показана адреса це та, яку обрали ви.
Наскільки це масово
Отруєння адрес поставлено на потік. З січня 2025 року відзначено понад 65,4 мільйона таких операцій, у середньому більше 160 тисяч щодоби, і кожна з них це маленький навмисний переказ, зроблений у розрахунку бути скопійованим пізніше.
Частка успіху виглядає низькою і такою не є. Приблизно 316 тисяч спроб досягли мети, близько однієї з двохсот, а оскільки спроба коштує частки цента, влучання одне на двісті це прибуткова модель.
Обсяг зростає, а не скорочується. Спроб було 628 тисяч у листопаді 2025 року і 3,4 мільйона в січні 2026 року, зростання в 5,5 раза за два місяці.
У зростання є технічне пояснення, яке варто знати. Оновлення мережі Ethereum 3 грудня 2025 року знизило комісії приблизно вшестеро, а дешеві операції означають, що на той самий бюджет можна розіслати більше пилу.
Цей зв'язок варто проговорити прямо, бо він задає напрямок. Усе, що здешевлює операції, рівно тією ж мірою здешевлює саме цю атаку, і ніщо в її будові не спирається на неуважність чи недосвідченість постраждалого.
Два задокументовані випадки
У грудні 2025 року власник зробив пробний переказ на 50 доларів перед великим, що зазвичай є чудовою практикою. Той, хто спостерігав за мережею, побачив його, згенерував схожу на отримувача адресу й підставив її негайно.
За 26 хвилин власник надіслав на підставлену адресу близько 49 999 950 USDT. Пробний переказ, задуманий запобіжним заходом, і підказав нападникові, яку саме адресу підробляти і в яку саме мить.
Другий випадок ішов повільно. 30 січня 2026 року власник втратив 4 556 ETH, близько 12,4 мільйона доларів, на переказі, що виглядав звичайним поповненням своєї позабіржової адреси.
Цьому передувала засипка тієї самої адреси пиловими переказами, яка тривала два місяці. Терпіння коштує дешево, коли спроба обходиться в частки цента, а ціль, яка переказує регулярно, варта очікування.
В обох випадків є спільна деталь, яку легко проминути. Жоден із постраждалих не був новачком, нікого не квапив незнайомець і нікого ні в чому не переконували. Вони виконали звичайну операцію, яку виконували багато разів, і змінився тільки один рядок у списку на їхньому власному екрані.
Другий спосіб: буфер обміну
Другий шлях потребує шкідливої програми, але описується простіше. Програма на пристрої стежить за буфером обміну, упізнає форму адреси гаманця, коли її копіюють, і замінює її на власну до вставляння.
На екрані в мить копіювання ніщо не виглядає неправильно, бо підміна стається між копіюванням і вставлянням. Адреса в полі отримувача це та, яку туди поклала програма.
Ця версія обходить звичку копіювати з надійного джерела, бо джерело було надійне і скопійовано було правильно. Псування стається дорогою всередині вашої ж машини.
Звідси ж зрозуміло, чому набір руками, якого всі уникають через довжину, зовсім не слабкий варіант, яким його вважають. Набрана адреса через буфер обміну не проходить узагалі.
Два способи до того ж розрізнювані заднім числом, і це важливо для подальших дій. Отруєна адреса видна у вашій власній історії як вхідна операція майже ні на що. Підміна в буфері такого сліду не лишає, тому отримувач, якого ви взагалі не можете пояснити, указує на пристрій, а не на мережу.
Чому око цього не ловить
Адреса гаманця це довгий рядок знаків без змісту, без ритму і без вимовної форми. Памʼяті немає за що зачепитися, тому всі стискають її до початку й кінця.
Нападники точно знають, яку частину звіряють, і генерують схожу адресу під цю частину. Збіг перших чотирьох і останніх чотирьох знаків обчислювально дешевий, а саме ці знаки майже всі й перевіряють.
Інтерфейси гаманців становище погіршують, показуючи адресу в скороченому вигляді з крапками замість середини. Скорочення показує рівно ті знаки, які нападник підігнав, і ховає рівно ті, що різняться.
Отже, річ не в недбалості. Той, хто звіряє видиму частину скороченої адреси, робить рівно ту перевірку, до якої його запросив інтерфейс, а атаку побудовано саме проти цієї перевірки.
Тому заклик бути уважнішим нічого вимірного не змінює. Увагу вже прикладено, до не тих чотирьох знаків, у тому порядку, який підказав екран. Працює памʼятка, що називає, які саме знаки звіряти, бо вона замінює звичку вказівкою.
Порядок перевірки, який працює
Ніколи не беріть адресу зі своєї історії операцій. Це єдине правило, яке обнуляє отруєння цілком, бо вся атака й полягає в тому, щоб покласти дещо в цю історію.
Беріть адресу з джерела: зі сторінки поповнення на біржі, зі збереженого контакту у власній адресній книзі або з повідомлення отримувача, підтвердженого другим каналом.
Звіряйте середину, а не лише кінці. Порівнюйте відтинок знаків із центру рядка, бо саме його генератор схожих адрес не підганяє і саме його ховає скорочення.
Користуйтеся збереженими контактами. Більшість гаманців дозволяє вести адресну книгу, а запис, збережений один раз і використовуваний повторно, не вразливий ні до чого покладеного в історію після.
Якщо гаманець пропонує попередження про отруєння, лишіть його ввімкненим. Частина гаманців звіряє вставлену адресу з попередньою активністю і попереджає про близький збіг, що ловить рівно цей випадок, і те саме стосується будь-якого непоясненного вхідного переказу на мізерну суму: пил з адреси, схожої на вашу, це оголошення атаки про початок роботи, і правильна відповідь це перестати брати адреси з історії за цим рахунком.
Пробний переказ, зроблений правильно
Невеликий пробний переказ перед великим це добра практика, і, як показує грудневий випадок, її можна обернути проти вас. Лікування не в тому, щоб перестати так робити, а в тому, щоб змінити порядок дій.
Надішліть пробний. Потім підтвердьте отримання в отримувача каналом, який був у вас раніше, наприклад дзвінком на номер, який уже був у вас, а не відповіддю в тому самому листуванні.
Потім надішліть решту, узявши ту саму адресу з того самого джерела, а не з історії операцій і не зі свіжого повідомлення. На цю мить саме в історії й лежатиме схожа адреса.
Не лишайте великого проміжку між пробним і основним переказом. Двомісячна кампанія і випадок на 26 хвилин це та сама тактика на різній швидкості, а пауза дає нападникові місце для роботи.
Для сум, які боляче втратити, варто зробити ще один крок: попросіть отримувача назвати пʼять знаків із середини адреси голосом. Це займає пів хвилини, не потребує жодних інструментів і закриває саме ту частину рядка, яку підганяє схожа адреса і ховає скорочення в інтерфейсі.
Друкована памʼятка
Одна сторінка біля екрана б'є добре зрозумілий принцип, бо мить переказу це мить легкого поспіху, а в поспіху звичка перемагає знання.
Рядок перший: адреса береться з джерела, ніколи з історії. Рядок другий: звіряти пʼять знаків із середини нарівні з кінцями. Рядок третій: якщо отримувач новий, надіслати пробний і підтвердити другим каналом.
Рядок четвертий: для великої суми набрати адресу руками або взяти збережений контакт, а не буфер обміну. Рядок пʼятий: якщо гаманець попередив про схожу адресу, зупинитися й почати перевірку заново.
Додайте рядок для всіх інших, хто в родині чи в компанії рухає кошти, бо памʼятка працює лише тоді, коли вона однакова для всіх. Виняток для однієї людини це і є те місце, де стається втрата.
Тримайте сторінку достатньо короткою, щоб її прочитали в ту хвилину, коли вона потрібна. Список із пʼятнадцяти пунктів це документ, який підшивають, а список із пʼяти рядків це те, на що людина справді дивиться, поки перед нею відкрито вікно переказу.
Якщо переказ уже пішов
Одразу подивіться отримувача в публічному оглядачі й збережіть номер операції. Номер і адреса отримувача це ті два відомості, з якими може працювати будь-яка біржа.
Повідомте кожну біржу, що трапляється в подальшому ланцюжку, у першу годину. Кошти, що лежать на впізнаному рахунку, іноді вдається заморозити, а те саме повідомлення за тиждень приходить на порожній рахунок.
Якщо підозрюєте підміну в буфері, виведіть пристрій з роботи й перевірте його з іншої машини. Повторний переказ замість утраченого з того самого пристрою повторює втрату із завидною надійністю.
Заявіть у поліцію, додавши хеші й адреси, а не опис словами. Саме вони пов'язують окремі випадки в одне розслідування.
Відмовте пропозиції повернути кошти, яка прийде слідом. З тими, хто щойно втратив переказ у такий спосіб, зв'язуються швидко, а оплата наперед на прохання того, хто написав першим, це друга половина того самого бізнесу.
Кожен спосіб отримати адресу, від чого він захищає і чого не ловить
| Звідки взято адресу | Від чого захищає | Чого не ловить |
|---|---|---|
| Скопійовано з історії операцій | Ні від чого | Це рівно ціль отруєння адреси |
| Скопійовано з повідомлення в листуванні | Від отруєння історії | Зламаний або підроблений акаунт |
| Скопійовано зі сторінки поповнення біржі | Від отруєння і підробки | Підміну в буфері між копіюванням і вставлянням |
| Набрано руками з джерела | Від отруєння і підміни в буфері | Друкарську помилку, що дає безпечну відмову |
| Збережений контакт в адресній книзі | Від усього доданого пізніше | Запис, збережений хибно від самого початку |
| Зчитано з QR-коду | Від друкарських помилок | Код, надісланий не тією стороною |
| Звірено за першими й останніми знаками | Майже ні від чого | Це та частина, яку схожа адреса підганяє |
| Звірено за знаками із середини | Від схожих адрес | Нічого про те, хто саме отримувач |
Питання і відповіді
- Чи захищає від цього апаратний гаманець?
- Ні. Апаратний пристрій підтверджує, що ви дозволили переказ на показану адресу, а при отруєнні показана адреса це та, яку обрали ви. Пристрій працює правильно, а вибір було зроблено до того, як він вступив у справу.
- Мій гаманець зламали?
- При отруєнні ні. Нікуди не проникали, і таємна фраза ні до чого. Атака поклала схожу адресу у вашу видиму історію і дочекалася, коли її скопіюють.
- Як вони роблять адресу, схожу на мою?
- Генерують адреси, поки одна не збіжиться за першими й останніми знаками з тією, якою ви користуєтеся. Це дешево, а саме ці знаки майже всі й звіряють, тому збігу за ними досить.
- Чи пробний переказ усе ще добра ідея?
- Так, з однією поправкою. Пробний переказ видно в мережі, і в одному випадку в грудні 2025 року нападник використав його, щоб підставити схожу адресу, на яку за 26 хвилин пішло близько 49 999 950 USDT. Підтверджуйте отримання другим каналом і надсилайте решту з початкового джерела, а не з історії.
- Чому набрати адресу руками буває безпечніше, ніж скопіювати?
- Бо набрана адреса взагалі не проходить через буфер обміну, а саме там працює підмінна програма. Помилка при наборі дає недійсну адресу або переказ, що не відбувся, і це значно дешевший результат.
- Як швидко повідомлення ще має сенс?
- У межах першої години. Кошти дроблять і відводять далі швидко, а заморозити біржа може тільки те, що ще лежить на підконтрольному їй рахунку, тому номер операції та адреса отримувача першого дня вартують незрівнянно більше, ніж за тиждень.
Автор: Зав'ялов Ілля Миколайович, консультант з цифрової безпеки. Усі памʼятки