Ядовитая «пыль»: как крадут миллионы по неосторожности

Вы открываете MetaMask, Rabby или Etherscan и замечаете необычную активность: на ваш кошелёк поступают микроскопические суммы USDT, USDC или ETH. Иногда это $0,01, иногда $0,0001, а иногда вообще 0 USDT. При этом адреса отправителей подозрительно напоминают те, с которыми вы уже совершали операции.

В некоторых случаях появляются даже исходящие переводы, которых вы никогда не подписывали.

Первая мысль — кошелёк взломали. Но часто причина совершенно другая: Address Poisoning, или «отравление адреса».

Это мошенническая схема, при которой злоумышленники подбрасывают поддельные адреса в историю транзакций, рассчитывая, что пользователь однажды скопирует неправильный адрес и самостоятельно отправит им деньги.

В 2026 году такие атаки стали массовыми и автоматизированными. Зафиксированы случаи потери десятков миллионов долларов из-за одной ошибки при копировании адреса.

Что такое Address Poisoning?

Address Poisoning — это атака на доверие пользователя к истории транзакций криптокошелька.

Представим, что вы регулярно переводите USDT между двумя собственными кошельками или на депозитный адрес биржи.

Вы уже запомнили, что нужный адрес начинается с 0x6d90 и заканчивается на 2e48. Когда потребуется повторить перевод, вы откроете историю операций, найдёте знакомый адрес и скопируете его.

Именно на это рассчитывает мошенник.

Он создаёт собственный криптовалютный адрес, у которого совпадают первые и последние символы с адресом вашего настоящего получателя. После этого отправляет вам ничтожно маленькое количество криптовалюты либо создаёт нулевой или поддельный токеновый перевод.

Теперь мошеннический адрес появляется среди ваших операций.

Главная опасность: деньги не исчезают в момент получения микротранзакции. Кража происходит позднее, когда пользователь сам отправляет средства на поддельный адрес.

Как выглядит отравленный адрес: реальный пример из 2026 года

30 января 2026 года на Ethereum произошла атака, в результате которой пользователь отправил злоумышленнику 4 556 ETH. Аналитическая компания Bitquery оценила перевод примерно в $12,4 млн по цене ETH на дату происшествия.

Исследователи установили следующие адреса:

Настоящий адрес получателя:
0x6d90cc8ce83b6d0acf634ed45d4bcc37eddd2e48

Адрес злоумышленника:
0x6d9052b2df589de00324127fe2707eb34e592e48

Оба адреса начинаются с 0x6d90 и заканчиваются на 2e48.

Посмотрим, как они выглядят в интерфейсе кошелька, который сокращает середину адреса:

В таком сокращённом формате адреса визуально идентичны. Их средние части совершенно разные, но пользователь может этого не увидеть.

Перед кражей злоумышленник неоднократно отправлял микроскопические суммы ETH на кошелёк жертвы. Первый такой перевод зафиксирован ещё 3 октября 2025 года. Спустя несколько месяцев жертва перевела 4 556 ETH на поддельный адрес.

Почему мошенники подбирают именно последние 4–5 букв и цифр?

Для понимания механики важно знать, как устроены адреса Ethereum и других EVM-сетей.

Ethereum-адрес состоит из 40 шестнадцатеричных символов после 0x. Используются цифры от 0 до 9 и буквы от a до f.

Всего у каждого символа 16 возможных значений.

Злоумышленник не может произвольно изменить несколько символов своего адреса, сохранив соответствующий приватный ключ. Вместо этого он массово генерирует новые приватные ключи и адреса до тех пор, пока не найдёт подходящую комбинацию.

Такие адреса называют vanity addresses — адресами с заранее подобранным рисунком символов.

Сложность подбора растёт экспоненциально: каждый дополнительный совпадающий шестнадцатеричный символ увеличивает среднее число попыток в 16 раз.

Значения представляют собой математические ожидания для равномерно распределённых адресов при сравнении без учёта регистра букв. Реальное время подбора зависит от оборудования и реализации генератора.

Здесь важно различать две ситуации.

Совпадение исключительно последних 4–5 символов требует относительно небольшого количества вычислений. Подобрать такие адреса довольно просто.

Совпадение первых и последних 4–5 символов одновременно значительно сложнее: речь уже о миллиардах или триллионах кандидатов. Однако с использованием оптимизированного программного обеспечения, GPU и параллельных вычислений подобные задачи остаются технически реализуемыми.

Мошенникам не нужен идеальный двойник. Им достаточно, чтобы совпадали именно те части адреса, которые показывает кошелёк или проверяет человек.

Поэтому 4–5 символов с каждого края — распространённый компромисс между вычислительными затратами и визуальным сходством.

Именно интерфейсы, скрывающие середину адреса за многоточием, делают подобные атаки эффективными.

При этом генерация адреса-двойника не является взломом криптографии Ethereum. Приватный ключ настоящего адреса остаётся неизвестным злоумышленнику.

Зачем отправлять $0,0001, 0 USDT и другие микросуммы?

Цель микроперевода — не передать стоимость, а разместить нужный адрес в истории операций.

Технически мошенники используют несколько вариантов.

1. Dust transfers — пылевые переводы

Злоумышленник действительно отправляет на кошелёк крошечное количество ETH, USDT или другого токена со своего похожего адреса.

В результате адрес появляется как отправитель входящей транзакции.

Стоимость отправленных активов может быть ничтожной относительно потенциальной прибыли. При этом мошенник всё равно оплачивает необходимые комиссии сети.

Важно не путать единицы: 0,01 цента — это $0,0001, а $0,01 — один цент. В интерфейсе может отображаться округлённая стоимость, поэтому фактический перевод может быть ещё меньше.

2. Zero-value transfers — нулевые переводы

В некоторых ERC-20-контрактах возможны вызовы transferFrom на нулевую сумму без положительного разрешения на расходование токенов.

Это позволяет создать событие Transfer с суммой 0, которое может выглядеть как операция с кошельком жертвы.

Такой перевод сам по себе не означает, что злоумышленник получил доступ к приватному ключу или возможность распоряжаться активами.

3. Event spoofing — подделка событий

Мошенники разворачивают собственные токеновые контракты и генерируют события Transfer, имитирующие реальные операции.

Например, создаётся поддельный токен с символом USDT. Его контракт сообщает блокчейну о переводе, внешне похожем на операцию с настоящим Tether.

Некоторые интерфейсы могут показать его среди операций пользователя, если недостаточно тщательно различают настоящие и поддельные токеновые контракты.

В результате можно увидеть якобы исходящий перевод, который пользователь никогда не подписывал.

Именно поэтому необходимо проверять не только название токена, но и адрес его контракта, а также инициатора транзакции.

Подробнее: официальное руководство Etherscan по Address Poisoning .

Насколько массовыми стали атаки к 2026 году?

Address Poisoning давно перестал быть редкой ручной схемой.

В исследовании Blockchain Address Poisoning, опубликованном на конференции USENIX Security 2025, учёные Carnegie Mellon University и их соавторы проанализировали Ethereum и BNB Smart Chain за период с 1 июля 2022 года по 30 июня 2024 года.

Исследователи выявили:

• Около 270 миллионов попыток отравления адресов.
• Более 17 миллионов адресов, подвергавшихся атакам.
• 6 633 выявленных случая успешного перенаправления средств.
• Переводы пострадавших на общую сумму не менее $83,8 млн.

Последнюю сумму нельзя автоматически считать окончательным невозмещённым ущербом: часть переводов в отдельных известных эпизодах была возвращена.

Источник: USENIX Security 2025 — Blockchain Address Poisoning .

В марте 2026 года Etherscan опубликовал дополнительные данные о росте активности.

В течение 90 дней после обновления Ethereum Fusaka, состоявшегося 3 декабря 2025 года, количество USDT-переводов стоимостью менее $0,01 выросло с 4,2 млн до 29,9 млн по сравнению с предыдущими 90 днями.

Рост составил 612%.

Это не означает, что все 29,9 млн операций были мошенническими: Etherscan прямо отмечает, что не каждый пылевой перевод является атакой. Но массовые кампании отравления адресов вносят вклад в такую активность.

Дополнительно MetaMask сообщил в июне 2026 года, что его партнёр Blockaid пометил 65,4 млн транзакций как address poisoning за период с января 2025 по февраль 2026 года.

Это количество обнаружений системой, а не число успешных краж.

Реальные случаи: как пользователи теряли миллионы долларов

Май 2024 года — около $68–71 млн в WBTC

3 мая 2024 года пользователь Ethereum отправил 1 155 WBTC на адрес злоумышленника, который имитировал ранее использованный адрес.

На момент первоначальной транзакции стоимость активов оценивалась примерно в $68 млн. В других публикациях фигурирует сумма около $71 млн в связи с изменением оценки активов.

Chainalysis реконструировала последовательность операций и подтвердила механизм отравления адреса.

После публичных переговоров злоумышленник вернул основную сумму пострадавшему.

Важная деталь: хотя крупный перевод удалось вернуть, Chainalysis оценила прибыль злоумышленника от более широкой кампании приблизительно в $1,49 млн даже с учётом возврата средств основной жертве.

Источник: Chainalysis — Anatomy of an Address Poisoning Scam .

Декабрь 2025 года — почти $50 млн в USDT

20 декабря 2025 года произошёл один из наиболее показательных инцидентов.

Пользователь планировал перевести крупную сумму USDT между своими кошельками.

Сначала он выполнил тестовый перевод на 50 USDT по настоящему адресу. Затем автоматизированная система злоумышленника подготовила адрес-двойник, совпадавший с адресом получателя по первым пяти и последним четырём символам.

Поддельный адрес был внедрён в историю операций с помощью небольших переводов.

Примерно через 26 минут после теста пользователь отправил 49 999 950 USDT уже на мошеннический адрес.

По данным The Block и SlowMist, злоумышленник быстро обменял USDT на DAI, затем на ETH. Существенная часть активов была переведена через Tornado Cash.

Пострадавший предложил вознаграждение в $1 млн за возврат основной суммы. В проверенной публикации предложение о вознаграждении подтверждено, но возврат средств в этом случае не установлен.

Этот эпизод демонстрирует ещё одну проблему: тестовый перевод защищает от некоторых ошибок, но не гарантирует безопасность, если после теста пользователь заново копирует адрес из уже отравленной истории.

Источник: The Block, 20 декабря 2025 .

Январь 2026 года — 4 556 ETH, примерно $12,4 млн

30 января 2026 года произошла атака на кошелёк, который ранее неоднократно переводил ETH одному и тому же контрагенту.

Мошеннический адрес совпадал с настоящим по первым четырём и последним четырём символам.

Злоумышленник начал отправлять пылевые переводы ещё в октябре 2025 года. После очередного такого перевода в январе 2026-го пользователь перечислил 4 556 ETH поддельному получателю.

Спустя примерно 33 минуты средства были выведены на другой адрес.

Bitquery опубликовала адреса участников и хеши соответствующих транзакций, что позволяет независимо исследовать цепочку операций.

Источник: Bitquery, анализ августа 2026 .

Август 2026 года — около $39 890 после поддельного тестового перевода

В опубликованном Bitquery разборе также приведён эпизод 9 августа 2026 года.

Пользователь отправил тестовый перевод в размере 115,147641 USDT.

Через 12 секунд мошеннический контракт создал поддельное событие, имитирующее перевод на адрес-двойник.

Примерно через 13 минут пользователь направил на ошибочный адрес около 39 890 USDT.

Этот случай особенно нагляден: атака может копировать не только внешний вид адреса, но и сумму только что совершённой операции.

Источник: Bitquery — Address Poisoning on Ethereum .

Какие средства защиты существуют в 2026 году?

В последние годы защитные механизмы появились не только в инструментах блокчейн-аналитики, но и непосредственно в пользовательских кошельках.

1. Публичные метки Etherscan — Poisoning Address

Etherscan помечает часть выявленных мошеннических адресов специальными публичными метками.

На странице подозрительного кошелька могут появляться обозначения:

• Poisoning Address
• Fake_Phishing...
• Phish / Hack

Для некоторых адресов Etherscan также показывает предупреждение о причастности к атакам отравления адресов.

Например, этот адрес в Etherscan был отмечен как используемый злоумышленником для address poisoning.

Такие публичные метки появляются без необходимости создавать пользовательскую отметку вручную. Etherscan подтверждает, что активно размечает мошеннические адреса и поддельные токены.

Однако отсутствие метки не доказывает безопасность. Новые адреса могут появиться раньше, чем система успеет их распознать. Публичные предупреждения — дополнительный индикатор, а не гарантия защиты.

2. Сокрытие нулевых переводов и подозрительных токенов в Etherscan

Etherscan скрывает нулевые токеновые переводы по умолчанию и использует механизмы фильтрации транзакций с токенами низкой репутации.

Пользователь также может применять список игнорируемых токенов — Token Ignore List.

В результате часть мошеннических операций перестаёт засорять интерфейс.

Это снижает вероятность ошибочного копирования адреса, но не уничтожает записи в блокчейне.

3. Address Highlight и личные метки Etherscan

Функция Address Highlight позволяет визуально выделять одинаковые адреса в интерфейсе обозревателя.

Её можно включить через Site Settings, если она отключена.

Кроме того, Etherscan поддерживает Private Name Tags — личные метки адресов.

Например, проверенному получателю можно присвоить обозначение «Мой кошелёк для USDT» или «Биржа — депозитный адрес».

Эти метки доступны в авторизованном аккаунте Etherscan и помогают отличать знакомые адреса от случайных двойников.

Важно: личная метка не заменяет первоначальную проверку адреса. Её необходимо назначать только после подтверждения правильного получателя.

4. Автоматическое обнаружение Address Poisoning в MetaMask

17 июня 2026 года MetaMask объявил о внедрении Address Poisoning Detection.

Механизм сравнивает адрес, который пользователь вставляет перед отправкой, с адресами, использованными ранее.

Если адрес выглядит как знакомый — например, совпадают первые и последние символы, но середина другая, — кошелёк показывает предупреждение перед выполнением операции.

Также отображается отдельное предупреждение при отправке на ранее не использовавшийся адрес.

Согласно MetaMask, на момент запуска функция стала доступна в мобильном приложении и браузерном расширении для EVM-сетей.

Новые предупреждения не делают ошибочную отправку технически невозможной: пользователь сохраняет возможность самостоятельно подтвердить операцию.

Официальный источник: MetaMask — Address Poisoning Detection, июнь 2026 .

5. Адресная книга и списки доверенных получателей

Самый надёжный организационный метод для регулярных переводов — заранее сохранить проверенные адреса.

Например, в MetaMask можно использовать раздел Contacts. Аналогичные функции адресных книг или доверенных получателей есть и в других кошельках и сервисах.

Принцип простой: адрес получателя добавляется один раз после проверки по достоверному источнику, а последующие переводы выполняются именно на сохранённый адрес, а не на адрес из истории входящих транзакций.

Для корпоративных операций полезны дополнительные меры: разрешённые адреса, отдельное подтверждение нового получателя и многосторонняя авторизация крупных платежей.

6. Полная проверка адреса, в том числе на аппаратном кошельке

Аппаратный кошелёк защищает приватный ключ, но сам по себе не гарантирует защиту от address poisoning.

Если пользователь подтверждает перевод на неправильный адрес, аппаратное устройство добросовестно подпишет именно эту операцию.

Поэтому перед подтверждением необходимо сверять адрес получателя с независимым доверенным источником, включая его среднюю часть.

Для крупных сумм особенно важно убедиться, что адрес подтверждается и интерфейсом отправки, и устройством подписи.

Что делать, если на кошелёк уже пришли странные транзакции?

Само получение пылевого перевода ещё не является доказательством взлома.

Если вы заметили подозрительную операцию:

1. Не копируйте адрес отправителя. Даже если он совпадает с ранее использованным адресом по нескольким символам.
2. Проверьте операцию в блокчейн-обозревателе. Обратите внимание на токеновый контракт, сумму, реального инициатора транзакции и метки риска.
3. Не взаимодействуйте с неизвестными токенами. Не переходите по рекламируемым ими сайтам и не подписывайте предлагаемые операции.
4. Используйте фильтры кошелька и Etherscan. Подозрительные токены и нулевые переводы можно скрыть из интерфейса.
5. Перед отправкой используйте только проверенный адрес. Не полагайтесь на последние записи в истории и сокращённые обозначения.
6. Если деньги уже отправлены мошеннику, сохраните хеш транзакции и адреса. Незамедлительно обратитесь в используемый сервис, к эмитенту токена при наличии такой процедуры и в правоохранительные органы. Возврат не гарантирован.

При этом не нужно автоматически менять seed-фразу, переводить все активы на новый кошелёк или отзывать все разрешения только из-за входящей микротранзакции.

Но если проверка показывает настоящие несанкционированные исходящие транзакции, это уже отдельный признак возможной компрометации и требует немедленной оценки безопасности кошелька.

Можно ли полностью избавиться от таких атак?

Полностью запретить посторонним отправлять переводы на публичный блокчейн-адрес обычно невозможно.

Любой участник сети может отправить вам активы. В ряде случаев он также может создать токеновое событие, затрагивающее отображение вашего адреса в обозревателе.

Поэтому основная задача систем защиты — не обязательно предотвращать появление спам-транзакций в блокчейне, а предотвращать их использование в качестве источника доверенных адресов.

К 2026 году наиболее практичная защита строится на нескольких уровнях: фильтрация подозрительных операций, маркировка мошеннических адресов, обнаружение двойников в момент отправки и использование заранее проверенных адресных книг.

Заключение

Странные переводы по $0,01, $0,0001 или 0 USDT могут быть частью масштабной атаки Address Poisoning.

Мошенникам необязательно взламывать кошелёк, получать приватный ключ или эксплуатировать уязвимость смарт-контракта.

В некоторых случаях достаточно сгенерировать похожий адрес, отправить минимальную сумму и дождаться, пока пользователь скопирует его из истории операций.

Совпадение последних четырёх или пяти символов не является доказательством подлинности адреса. Даже совпадение нескольких символов с обоих концов может быть результатом целенаправленного подбора.

Главное правило безопасности в 2026 году: история транзакций — это журнал событий, а не доверенная адресная книга.

Проверяйте полный адрес получателя, используйте защитные предупреждения MetaMask и метки Etherscan, а для повторяющихся переводов храните адреса в заранее проверенном списке контактов.

Одна незамеченная разница в середине адреса может стоить значительно дороже всех микротранзакций, которыми мошенники заполняют ваш кошелёк.