Фахівці з безпеки зафіксували два окремі випадки крадіжки криптовалюти на загальну суму понад $472 000 — зловмисники скористалися підробленими адресами та шкідливим підписом протоколу Permit2.
Про першу атаку розповіли в GoPlus Security: власник криптокоштів втратив приблизно $305 000 у стейблкоїні DAI через так зване «отруєння адреси» (address poisoning).
https://x.com/GoPlusSecurity/status/2106715903274684681?ref_src=twsrc%5Etfw
Механізм шахрайства простий: зловмисник заздалегідь надсилає жертві мізерний переказ («пил») з адреси, у якої початок і кінець символів збігаються з адресою справжнього отримувача. Шахраї розраховують, що згодом користувач скопіює адресу прямо з історії операцій, не перевіривши її до кінця.
У цій історії справжньою адресою отримувача мала бути 0x085adc…18f1dd, тоді як зловмисники підставили майже ідентичну 0x085ccc…18f1dd.
У GoPlus Security наголосили, що такі схеми нерідко повністю автоматизовані: програми самі шукають потенційних жертв, створюють токени-клони з однаковими назвами, розсилають «пилові» транзакції, а потім виводять вкрадені кошти через міксери.
Компанія порадила ніколи не копіювати адреси з історії переказів і завжди перевіряти їх повністю перед відправленням коштів. Також варто спершу зробити тестовий переказ на невелику суму, перш ніж надсилати значні активи.
Ще $167 000 зникли через Permit2
Другий випадок описала команда Scam Sniffer. Користувач втратив $167 342 у токенах LINK, підписавши шкідливий дозвіл за протоколом Permit2 у мережі Ethereum.
За інформацією сервісу, сам підпис з'явився ще 18 серпня 2025 року, однак зловмисники скористалися доступом до активів лише 3 жовтня наступного року.
В Onchain Matrix зауважили, що цей приклад добре ілюструє небезпеку підписання Permit2: користувач фактично надає шкідливому запиту доступ до своїх коштів, не розуміючи реальних наслідків такої дії.
Аналітики вважають, що чіткіші попередження під час підтвердження транзакцій та підписання повідомлень могли би запобігти подібним втратам.
Разом сума збитків у двох описаних випадках перевищила $472 000.
Нагадаємо, що у березні 2026 року Trust Wallet запровадив окрему функцію захисту від атак address poisoning саме для боротьби з таким видом шахрайства.
