Представим ситуацию. Вы уже отправляли USDT контрагенту, деньги дошли. Через несколько дней нужно повторить перевод. Вы открываете историю, находите знакомое начало и окончание адреса, копируете его и подтверждаете операцию. Но получатель сообщает, что денег нет.
При проверке выясняется, что адрес принадлежит другому человеку. В историю попала операция, которую вы приняли за знакомый перевод.
Так работает address poisoning. Это подмена адреса через историю операций. Мошенники рассчитывают на привычку брать реквизиты из недавних переводов. Они создают похожий адрес и добиваются появления записи с ним в истории потенциальной жертвы. Например, отправляют небольшую сумму.
В некоторых вариантах используется перевод нулевого количества токенов. При следующей оплате человек может скопировать адрес мошенника.
Предыдущая успешная операция при этом остается прежней. Рядом с ней появляется новая запись, которая выглядит знакомо.
Сама запись не дает злоумышленнику доступа к кошельку и не разрешает списывать средства. Потеря происходит позже, когда владелец сам отправляет криптовалюту на подставленный адрес.
Но начало и конец адреса совпадают?
В приложениях пользователь видит несколько первых и последних символов, а середина скрыта. Мошенник подбирает адрес именно под эти заметные фрагменты. Поэтому мысль “начало знакомое, конец тоже” может подтвердить ложное впечатление.
Чтобы заметить подмену, нужно раскрыть адрес целиком и сравнить всю последовательность с подтвержденными реквизитами. Проверка только нескольких символов из середины тоже оставляет часть адреса без внимания.
Для следующего перевода лучше заранее определить, откуда вы возьмете адрес.
Если отправляете деньги на собственный кошелек, откройте раздел получения средств. Если пополняете биржевой счет, получите актуальный адрес в своем аккаунте для нужного актива и сети.
При оплате другому человеку или компании запросите полный адрес через уже проверенный канал связи. Если реквизиты неожиданно изменились, подтвердите изменение через прежний контакт.
Постоянного получателя можно сохранить в адресной книге после проверки. Само название контакта еще ничего не подтверждает. Сначала нужно убедиться, что под ним сохранен правильный адрес.
Перед подтверждением платежа:
- Раскройте адрес полностью. Сравните его с проверенным источником символ за символом. Удобнее двигаться небольшими группами слева направо.
- Проверьте адрес после вставки. Сверять нужно то, что оказалось в форме отправки и показано перед подтверждением.
- Уточните актив и сеть. Получатель должен поддерживать выбранный вариант перевода. Совпадение адреса само по себе этого не подтверждает.
- При использовании аппаратного кошелька проверьте адрес на его экране. Подтверждение на устройстве имеет смысл, когда вы действительно сверяете показанные данные.
Для крупного перевода после проверки реквизитов можно согласовать небольшую тестовую отправку. Если получатель использует биржу или другой сервис, предварительно уточните минимальную сумму зачисления.
Дождитесь подтверждения от самого получателя, что тест дошел. Статус успешной транзакции в блокчейне показывает выполнение перевода, но сам по себе не доказывает, что деньги получил нужный человек.
Основную сумму отправляйте на тот же проверенный адрес, заново сверив его перед подтверждением.
Повторное копирование из истории после теста снова создает возможность ошибиться.