Отруйний «пил»: як крадуть мільйони через необережність

Ви відкриваєте MetaMask, Rabby або Etherscan і помічаєте незвичайну активність: на ваш гаманець надходять мікроскопічні суми в USDT, USDC або ETH. Іноді це $0,01, іноді $0,0001, а іноді взагалі 0 USDT. При цьому адреси відправників підозріло нагадують ті, з якими ви вже здійснювали операції.

У деяких випадках з’являються навіть вихідні перекази, яких ви ніколи не підписували.

Перша думка — гаманець зламали. Але часто причина зовсім інша: Address Poisoning, або «отруєння адреси».

Це шахрайська схема, за якої зловмисники підкидають підроблені адреси в історію транзакцій, розраховуючи, що користувач одного разу скопіює неправильну адресу й самостійно надішле їм гроші.

У 2026 році такі атаки стали масовими й автоматизованими. Зафіксовано випадки втрати десятків мільйонів доларів через одну помилку під час копіювання адреси.

Що таке Address Poisoning?

Address Poisoning — це атака на довіру користувача до історії транзакцій криптогаманця.

Уявімо, що ви регулярно переказуєте USDT між двома власними гаманцями або на депозитну адресу біржі.

Ви вже запам’ятали, що потрібна адреса починається з 0x6d90 і закінчується на 2e48. Коли знадобиться повторити переказ, ви відкриєте історію операцій, знайдете знайому адресу та скопіюєте її.

Саме на це розраховує шахрай.

Він створює власну криптовалютну адресу, у якої перші та останні символи збігаються з адресою вашого справжнього одержувача. Після цього надсилає вам мізерну кількість криптовалюти або створює нульовий чи підроблений токенний переказ.

Тепер шахрайська адреса з’являється серед ваших операцій.

Головна небезпека: гроші не зникають у момент отримання мікротранзакції. Крадіжка відбувається пізніше, коли користувач сам надсилає кошти на підроблену адресу.

Як виглядає «отруєна» адреса: реальний приклад із 2026 року

30 січня 2026 року на Ethereum сталася атака, в результаті якої користувач переказав зловмиснику 4 556 ETH. Аналітична компанія Bitquery оцінила переказ приблизно в $12,4 млн за ціною ETH на дату події.

Дослідники встановили такі адреси:

Справжня адреса одержувача:
0x6d90cc8ce83b6d0acf634ed45d4bcc37eddd2e48

Адреса зловмисника:
0x6d9052b2df589de00324127fe2707eb34e592e48

Обидві адреси починаються з 0x6d90 і закінчуються на 2e48.

Подивимося, як вони виглядають в інтерфейсі гаманця, який скорочує середину адреси:

У такому скороченому форматі адреси візуально ідентичні. Їхні середні частини абсолютно різні, але користувач може цього не помітити.

Перед крадіжкою зловмисник неодноразово надсилав мікроскопічні суми ETH на гаманець жертви. Перший такий переказ зафіксовано ще 3 жовтня 2025 року. Через кілька місяців жертва переказала 4 556 ETH на підроблену адресу.

Чому шахраї підбирають саме останні 4–5 літер і цифр?

Для розуміння механізму важливо знати, як влаштовані адреси Ethereum та інших EVM-мереж.

Адреса Ethereum складається з 40 шістнадцяткових символів після 0x. Використовуються цифри від 0 до 9 та літери від a до f.

Загалом кожен символ має 16 можливих значень.

Зловмисник не може довільно змінити кілька символів своєї адреси, зберігши відповідний приватний ключ. Натомість він масово генерує нові приватні ключі та адреси, доки не знайде відповідну комбінацію.

Такі адреси називають vanity addresses — адресами із заздалегідь підібраним набором символів.

Складність підбору зростає експоненціально: кожен додатковий шістнадцятковий символ, що збігається, збільшує середню кількість спроб у 16 разів.

Значення є математичними очікуваннями для рівномірно розподілених адрес при порівнянні без урахування регістру літер. Реальний час підбору залежить від обладнання та реалізації генератора.

Тут важливо розрізняти дві ситуації.

Збіг виключно останніх 4–5 символів вимагає відносно невеликої кількості обчислень. Підібрати такі адреси досить просто.

Збіг перших і останніх 4–5 символів одночасно значно складніший: мова вже йде про мільярди або трильйони варіантів. Однак із використанням оптимізованого програмного забезпечення, GPU та паралельних обчислень подібні завдання залишаються технічно здійсненними.

Шахраям не потрібен ідеальний двійник. Їм достатньо, щоб збігалися саме ті частини адреси, які показує гаманець або перевіряє людина.

Тому 4–5 символів з кожного краю — поширений компроміс між обчислювальними витратами та візуальною схожістю.

Саме інтерфейси, що приховують середину адреси за крапками, роблять подібні атаки ефективними.

При цьому генерація адреси-двійника не є зломом криптографії Ethereum. Приватний ключ справжньої адреси залишається невідомим зловмиснику.

Навіщо надсилати $0,0001, 0 USDT та інші мікросуми?

Мета мікропереказу — не передати кошти, а розмістити потрібну адресу в історії операцій.

Технічно шахраї використовують кілька варіантів.

1. Dust transfers — пилові перекази

Зловмисник дійсно надсилає на гаманець крихітну кількість ETH, USDT або іншого токена зі своєї схожої адреси.

У результаті адреса з’являється як відправник вхідної транзакції.

Вартість надісланих активів може бути незначною порівняно з потенційним прибутком. При цьому шахрай все одно сплачує необхідні комісії мережі.

Важливо не плутати одиниці: 0,01 цента — це $0,0001, а $0,01 — один цент. В інтерфейсі може відображатися округлена вартість, тому фактичний переказ може бути ще меншим.

2. Zero-value transfers — нульові перекази

У деяких ERC-20-контрактах можливі виклики transferFrom на нульову суму без позитивного дозволу на витрачання токенів.

Це дозволяє створити подію Transfer зі сумою 0, яка може виглядати як операція з гаманцем жертви.

Такий переказ сам по собі не означає, що зловмисник отримав доступ до приватного ключа або можливість розпоряджатися активами.

3. Event spoofing — підробка подій

Шахраї розгортають власні токен-контракти та генерують події Transfer, що імітують реальні операції.

Наприклад, створюється підроблений токен із символом USDT. Його контракт повідомляє блокчейну про переказ, зовні схожий на операцію зі справжнім Tether.

Деякі інтерфейси можуть відобразити його серед операцій користувача, якщо недостатньо ретельно розрізняють справжні та підроблені токен-контракти.

У результаті можна побачити нібито вихідний переказ, який користувач ніколи не підписував.

Саме тому необхідно перевіряти не тільки назву токена, але й адресу його контракту, а також ініціатора транзакції.

Детальніше: офіційний посібник Etherscan щодо Address Poisoning .

Наскільки масовими стали атаки до 2026 року?

Address Poisoning давно перестав бути рідкісною ручною схемою.

У дослідженні Blockchain Address Poisoning, опублікованому на конференції USENIX Security 2025, вчені Carnegie Mellon University та їхні співавтори проаналізували Ethereum і BNB Smart Chain за період з 1 липня 2022 року по 30 червня 2024 року.

Дослідники виявили:

• Близько 270 мільйонів спроб отруєння адрес.
• Понад 17 мільйонів адрес, що зазнали атак.
• 6 633 виявлених випадків успішного перенаправлення коштів.
• Перекази потерпілих на загальну суму не менше $83,8 млн.

Останню суму не можна автоматично вважати остаточним неповернутим збитком: частина переказів у окремих відомих випадках була повернута.

Джерело: USENIX Security 2025 — Blockchain Address Poisoning .

У березні 2026 року Etherscan опублікував додаткові дані про зростання активності.

Протягом 90 днів після оновлення Ethereum Fusaka, що відбулося 3 грудня 2025 року, кількість переказів у USDT вартістю менше $0,01 зросла з 4,2 млн до 29,9 млн порівняно з попередніми 90 днями.

Зростання склало 612%.

Це не означає, що всі 29,9 млн операцій були шахрайськими: Etherscan прямо зазначає, що не кожен переказ на незначну суму є атакою. Але масові кампанії «отруєння» адрес сприяють такій активності.

Крім того, MetaMask повідомив у червні 2026 року, що його партнер Blockaid позначив 65,4 млн транзакцій як «address poisoning» за період із січня 2025 року по лютий 2026 року.

Це кількість виявлених системою випадків, а не кількість успішних крадіжок.

Реальні випадки: як користувачі втрачали мільйони доларів

Травень 2024 року — близько $68–71 млн у WBTC

3 травня 2024 року користувач Ethereum надіслав 1 155 WBTC на адресу зловмисника, який імітував раніше використану адресу.

На момент первісної транзакції вартість активів оцінювалася приблизно в $68 млн. В інших публікаціях фігурує сума близько $71 млн у зв’язку зі зміною оцінки активів.

Chainalysis реконструювала послідовність операцій і підтвердила механізм підробки адреси.

Після публічних переговорів зловмисник повернув основну суму потерпілому.

Важлива деталь: хоча великий переказ вдалося повернути, Chainalysis оцінила прибуток зловмисника від ширшої кампанії приблизно в $1,49 млн навіть з урахуванням повернення коштів основній жертві.

Джерело: Chainalysis — Anatomy of an Address Poisoning Scam .

Грудень 2025 року — майже $50 млн у USDT

20 грудня 2025 року стався один із найбільш показових інцидентів.

Користувач планував переказати значну суму USDT між своїми гаманцями.

Спочатку він здійснив тестовий переказ на 50 USDT на справжню адресу. Потім автоматизована система зловмисника підготувала адресу-двійник, яка збігалася з адресою одержувача за першими п’ятьма та останніми чотирма символами.

Підроблену адресу було введено в історію операцій за допомогою невеликих переказів.

Приблизно через 26 хвилин після тесту користувач надіслав 49 999 950 USDT уже на шахрайську адресу.

За даними The Block і SlowMist, зловмисник швидко обміняв USDT на DAI, а потім на ETH. Значна частина активів була переведена через Tornado Cash.

Потерпілий запропонував винагороду в розмірі $1 млн за повернення основної суми. У перевіреній публікації пропозиція щодо винагороди підтверджена, але повернення коштів у цьому випадку не встановлено.

Цей епізод демонструє ще одну проблему: тестовий переказ захищає від деяких помилок, але не гарантує безпеку, якщо після тесту користувач знову копіює адресу з уже скомпрометованої історії.

Джерело: The Block, 20 грудня 2025 року.

Січень 2026 року — 4 556 ETH, приблизно $12,4 млн

30 січня 2026 року сталася атака на гаманець, який раніше неодноразово переказував ETH одному й тому ж контрагенту.

Шахрайська адреса збігалася зі справжньою за першими чотирма та останніми чотирма символами.

Зловмисник почав надсилати перекази з мінімальною сумою ще в жовтні 2025 року. Після чергового такого переказу в січні 2026-го користувач перерахував 4 556 ETH підробленому одержувачу.

Приблизно через 33 хвилини кошти були виведені на іншу адресу.

Bitquery опублікувала адреси учасників та хеші відповідних транзакцій, що дозволяє незалежно дослідити ланцюжок операцій.

Джерело: Bitquery, аналіз за серпень 2026 року.

Серпень 2026 року — близько $39 890 після підробленого тестового переказу

У опублікованому Bitquery аналізі також наведено епізод від 9 серпня 2026 року.

Користувач надіслав тестовий переказ у розмірі 115,147641 USDT.

Через 12 секунд шахрайський контракт створив фальшиву подію, що імітувала переказ на адресу-двійник.

Приблизно через 13 хвилин користувач переказав на помилкову адресу близько 39 890 USDT.

Цей випадок є особливо наочним: атака може копіювати не лише зовнішній вигляд адреси, а й суму щойно здійсненої операції.

Джерело: Bitquery — Address Poisoning on Ethereum .

Які засоби захисту існують у 2026 році?

В останні роки захисні механізми з’явилися не тільки в інструментах блокчейн-аналітики, але й безпосередньо в гаманцях користувачів.

1. Публічні мітки Etherscan — Poisoning Address

Etherscan позначає частину виявлених шахрайських адрес спеціальними публічними мітками.

На сторінці підозрілого гаманця можуть з’являтися такі позначки:

• Poisoning Address
• Fake_Phishing...
• Phish / Hack

Для деяких адрес Etherscan також показує попередження про причетність до атак отруєння адрес.

Наприклад, ця адреса в Etherscan була позначена як така, що використовується зловмисником для «отруєння» адрес.

Такі публічні мітки з’являються без необхідності створювати користувацьку позначку вручну. Etherscan підтверджує, що активно позначає шахрайські адреси та підроблені токени.

Однак відсутність мітки не свідчить про безпеку. Нові адреси можуть з’явитися раніше, ніж система встигне їх розпізнати. Публічні попередження — це додатковий індикатор, а не гарантія захисту.

2. Приховування нульових переказів і підозрілих токенів у Etherscan

Etherscan за замовчуванням приховує нульові перекази токенів і використовує механізми фільтрації транзакцій із токенами з низькою репутацією.

Користувач також може застосовувати список токенів, які ігноруються, — Token Ignore List.

У результаті частина шахрайських операцій перестає захаращувати інтерфейс.

Це знижує ймовірність помилкового копіювання адреси, але не знищує записи в блокчейні.

3. Address Highlight та особисті мітки Etherscan

Функція Address Highlight дозволяє візуально виділяти однакові адреси в інтерфейсі браузера.

Її можна увімкнути через Site Settings, якщо вона вимкнена.

Крім того, Etherscan підтримує Private Name Tags — особисті мітки адрес.

Наприклад, перевіреному одержувачу можна присвоїти позначку «Мій гаманець для USDT» або «Біржа — депозитна адреса».

Ці мітки доступні в авторизованому обліковому записі Etherscan і допомагають відрізняти знайомі адреси від випадкових двійників.

Важливо: особиста мітка не замінює початкову перевірку адреси. Її необхідно призначати лише після підтвердження правильного одержувача.

4. Автоматичне виявлення Address Poisoning у MetaMask

17 червня 2026 року MetaMask оголосив про впровадження Address Poisoning Detection.

Цей механізм порівнює адресу, яку користувач вводить перед відправленням, з адресами, що використовувалися раніше.

Якщо адреса виглядає знайомою — наприклад, збігаються перші та останні символи, але середина інша, — гаманець показує попередження перед виконанням операції.

Також відображається окреме попередження під час відправлення на адресу, яка раніше не використовувалася.

Згідно з MetaMask, на момент запуску функція стала доступною в мобільному додатку та браузерному розширенні для EVM-мереж.

Нові попередження не унеможливлюють помилкове надсилання з технічної точки зору: користувач зберігає можливість самостійно підтвердити операцію.

Офіційне джерело: MetaMask — Address Poisoning Detection, червень 2026 року.

5. Адресна книга та списки довірених одержувачів

Найбільш надійний організаційний метод для регулярних переказів — заздалегідь зберегти перевірені адреси.

Наприклад, у MetaMask можна використовувати розділ Contacts. Аналогічні функції адресних книг або довірених одержувачів є й в інших гаманцях та сервісах.

Принцип простий: адреса одержувача додається один раз після перевірки за достовірним джерелом, а подальші перекази здійснюються саме на збережену адресу, а не на адресу з історії вхідних транзакцій.

Для корпоративних операцій корисні додаткові заходи: дозволені адреси, окреме підтвердження нового одержувача та багатостороння авторизація великих платежів.

6. Повна перевірка адреси, зокрема на апаратному гаманці

Апаратний гаманець захищає приватний ключ, але сам по собі не гарантує захист від address poisoning.

Якщо користувач підтверджує переказ на неправильну адресу, апаратний пристрій сумлінно підпише саме цю операцію.

Тому перед підтвердженням необхідно звіряти адресу одержувача з незалежним надійним джерелом, включаючи її середню частину.

Для великих сум особливо важливо переконатися, що адреса підтверджується як інтерфейсом відправлення, так і пристроєм підпису.

Що робити, якщо на гаманець уже надійшли дивні транзакції?

Саме отримання підозрілого переказу ще не є доказом злому.

Якщо ви помітили підозрілу операцію:

1. Не копіюйте адресу відправника. Навіть якщо вона збігається з раніше використаною адресою за кількома символами.
2. Перевірте операцію в блокчейн-переглядачі. Зверніть увагу на токен-контракт, суму, реального ініціатора транзакції та мітки ризику.
3. Не взаємодійте з невідомими токенами. Не переходьте на сайти, які вони рекламують, і не підписуйте запропоновані операції.
4. Використовуйте фільтри гаманця та Etherscan. Підозрілі токени та перекази з нульовою сумою можна приховати в інтерфейсі.
5. Перед відправленням використовуйте лише перевірену адресу. Не покладайтеся на останні записи в історії та скорочені позначення.
6. Якщо гроші вже відправлені шахраєві, збережіть хеш транзакції та адреси. Негайно зверніться до сервісу, яким ви користуєтеся, до емітента токена, якщо така процедура передбачена, та до правоохоронних органів. Повернення коштів не гарантується.

При цьому не потрібно автоматично змінювати seed-фразу, переводити всі активи на новий гаманець або відкликати всі дозволи лише через вхідну мікротранзакцію.

Але якщо перевірка виявляє справжні несанкціоновані вихідні транзакції, це вже окрема ознака можливої компрометації та вимагає негайної оцінки безпеки гаманця.

Чи можна повністю позбутися таких атак?

Повністю заборонити стороннім надсилати перекази на публічну блокчейн-адресу зазвичай неможливо.

Будь-який учасник мережі може надіслати вам активи. У деяких випадках він також може створити токен-подію, що впливає на відображення вашої адреси в браузері.

Тому основне завдання систем захисту — не обов’язково запобігати появі спам-транзакцій у блокчейні, а запобігати їх використанню як джерела довірених адрес.

До 2026 року найбільш практичний захист базується на кількох рівнях: фільтрація підозрілих операцій, маркування шахрайських адрес, виявлення двійників у момент відправлення та використання заздалегідь перевірених адресних книг.

Висновок

Дивні перекази на суму $0,01, $0,0001 або 0 USDT можуть бути частиною масштабної атаки Address Poisoning.

Шахраям не обов’язково зламувати гаманець, отримувати приватний ключ або експлуатувати вразливість смарт-контракту.

У деяких випадках достатньо згенерувати схожу адресу, надіслати мінімальну суму та дочекатися, поки користувач скопіює її з історії операцій.

Збіг останніх чотирьох або п’яти символів не є доказом автентичності адреси. Навіть збіг кількох символів з обох кінців може бути результатом цілеспрямованого підбору.

Головне правило безпеки у 2026 році: історія транзакцій — це журнал подій, а не надійна адресна книга.

Перевіряйте повну адресу одержувача, використовуйте захисні попередження MetaMask та мітки Etherscan, а для повторюваних переказів зберігайте адреси у заздалегідь перевіреному списку контактів.

Одна непомічена відмінність у середині адреси може коштувати значно дорожче, ніж усі мікротранзакції, якими шахраї наповнюють ваш гаманець.