اشتباه کپی‌پیست ۵۰ میلیون دلار دود شد! تریدر کریپتو قربانی کلاهبرداری آدرس سمی شد

یک تریدر کریپتو در یکی از تلخ‌ترین اشتباهات سال، نزدیک به ۵۰ میلیون دلار USDT را در یک تراکنش از دست داد؛ آن هم نه به‌خاطر هک پیچیده، بلکه به‌دلیل یک ترفند ساده اما مرگبار به نام Address Poisoning (مسموم‌سازی آدرس).

ماجرا از این قرار بود که این تریدر در تاریخ ۲۰ دسامبر قصد داشت دارایی‌اش را از صرافی به کیف پول شخصی منتقل کند. طبق عادت، اول یک تراکنش تست ۵۰ دلاری USDT انجام داد. همین حرکت ساده، زنگ خطر را برای اسکمری که شبکه را زیر نظر داشت به صدا درآورد.

طبق گزارش تحلیلگر آنچین Specter، مهاجم بلافاصله یک آدرس جعلی ساخت که ابتدا و انتهای آن دقیقاً شبیه آدرس واقعی قربانی بود. بعد هم با ارسال مقدار بسیار ناچیزی کریپتو از این آدرس جعلی به کیف پول قربانی، تاریخچه تراکنش‌های او را «مسموم» کرد.

چند دقیقه بعد، قربانی برای انتقال اصلی، طبق یک عادت رایج و خطرناک، آدرس مقصد را از تاریخچه تراکنش‌ها کپی کرد؛ غافل از اینکه این آدرس، جعلی است. نتیجه؟

انتقال مستقیم 49,999,950 دلار USDT به کیف پول کلاهبردار.

مشکل اصلی اینجاست که اکثر کیف پول‌ها و بلاک‌اکسپلوررها آدرس‌های طولانی را به‌شکل خلاصه (مثلاً 0xABCD…1234) نمایش می‌دهند. همین موضوع باعث شد آدرس جعلی و واقعی، در نگاه اول کاملاً یکسان به نظر برسند.

مهاجم در کمتر از ۳۰ دقیقه، کل USDT را به DAI تبدیل کرد، سپس آن را به حدود 16,690 اتریوم (ETH) تبدیل و از طریق Tornado Cash شستشو داد. قربانی حتی یک پیام آنچین برای اسکمـر فرستاد و پیشنهاد ۱ میلیون دلار جایزه وایت‌هت برای بازگرداندن ۹۸٪ پول داد، اما تا این لحظه خبری از بازگشت دارایی نیست.

کارشناسان امنیتی هشدار می‌دهند با رشد قیمت‌ها در بازار کریپتو، این نوع کلاهبرداری‌های «کم‌زحمت و پُربازده» به‌شدت در حال افزایش‌اند و تنها راه نجات، رعایت وسواس‌گونه نکات امنیتی است.