Атака address poisoning: як 50 мільйонів доларів USDT зникли через дизайн облікової моделі

Як виглядала крадіжка в реальності

На початку грудня сталася одна з найбільших втрат коштів через он-чейн шахрайство. Користувач, який вивів 50 мільйонів доларів USDT з Binance, став жертвою спеціально спланованої атаки. Гаманець, активний впродовж двох років, був використаний для звичайних операцій. Проте одна дія змінила всю ситуацію.

Шахрай попередньо здійснив атаку за допомогою address poisoning — техніки, коли до історії транзакцій користувача потрапляють липові адреси, які виглядають автентичними. Жертва, копіюючи адресу з попередніх переказів для повторного використання, вибрала “отруєну” адресу замість справжньої. Через кілька хвилин 50 мільйонів доларів опинилися на рахунку зловмисника.

Чому це сталося саме з Ethereum та EVM-ланцюгами

Аналізуючи інцидент, Чарльз Хоскінсон, засновник Cardano, звернув увагу на архітектурну уразливість. На блокчейнах з обліковою моделлю — таких як Ethereum та інші EVM-ланцюги — адреси існують як постійні точки контакту в історії транзакцій. Гаманці за своєю природою підштовхують користувачів копіювати адреси з попередніх операцій для зручності. Саме на цій звичці базується атака.

“Це ще одна причина, чому UTXO чудовий. Bitcoin та Cardano не постраждали”, — написав Хоскінсон у реакції на событие.

Навіщо купити рацію і розібратися в архітектурі блокчейна

Ланцюги на основі UTXO моделі (Unspent Transaction Output), як Bitcoin та Cardano, працюють за іншим принципом. Кожна транзакція генерує нові виходи, а гаманці формують операції через явні вибори UTXO без повторного використання адрес як кінцевих точок. Постійного стану облікового запису, який можна було б “отруїти” для зловмисного використання, не існує.

Користувачам, які хочуть купити рацію у питаннях безпеки, варто розуміти: дизайн UTXO принципово запобігає такого роду атакам через структуру самого протоколу. На блокчейнах Ethereum класу адреси залишаються видимими точками у всій історії, що створює дополнительный вектор атаки.

Людський фактор як корінь проблеми

Це не була помилка протоколу або експлойт розумного контракту. Проблема виникла з взаємодії дизайну системи з людською поведінкою. Користувачі природно намагаються спростити свої операції, копіюючи адреси з історії. Архітектура облікової моделі цей процес не лише дозволяє, але й активно залучає. Результат — одна помилка в хронометрі менш ніж за годину коштувала 50 мільйонів доларів.

Наразі вкрадені кошти все ще знаходяться на адресі зловмисника. Таке рішення архітектури блокчейна демонструє, що навіть найсучасніші платформи можуть мати вразливості, вбудовані в їх фундамент, а не додані через помилку розробників.