Криптоперекази здаються простими: скопіював адресу — відправив — готово. Але саме звичка «копіювати/вставляти» створила ґрунт для атаки address poisoning — підміни адрес у транзакціях, коли шахрай розсилає в історію вашого гаманця схожі адреси (з тим самим початком і кінцем), щоб ви помилково обрали «знайомий» рядок і відправили кошти не туди. Це не теорія: за даними Chainalysis, у 2025 році криптошахрайства принесли щонайменше $9,9 млрд, а реальна сума може зрости після доатрибуції платежів. Далі розберемо, як працює підміна адрес, які сигнали її видають і які практичні кроки зменшують ризик втрати коштів.
Address poisoning: що це та як захистити криптогаманець
Що таке address poisoning і чому це стало проблемою
Address poisoning — це вид crypto scam, коли шахрай навмисно «засмічує» історію ваших транзакцій у блокчейні так, щоб ви випадково скопіювали й використали його адресу замість потрібної. Технічно це не злам гаманця і не крадіжка ключів: користувач сам відправляє кошти, але на неправильний реквізит.
Важливо розуміти контекст: більшість людей копіюють адресу отримувача з історії переказів або з «останніх» адрес у гаманці. На це й розрахована підміна адреси — шахрай створює в історії транзакцій візуально схожий запис, який легко сплутати з реальним.
Як працює підміна адреси в історії транзакцій
Механіка атаки проста й водночас підступна. Шахраї відстежують публічні адреси (вони відкриті у blockchain) і ініціюють дрібні транзакції на вашу адресу або поруч із вашими взаємодіями (залежно від мережі та типу токенів). Мета — зробити так, щоб у списку «останніх операцій» з’явився запис із адресою, яка:
- має однаковий початок (перші 4–6 символів) і/або кінець (останні 4–6 символів);
- виглядає як знайомий контрагент (біржа, власний інший гаманець, партнер);
- спонукає вас скопіювати її під час наступного переказу.
Після цього сценарій типовий: ви відкриваєте історію, натискаєте «надіслати ще раз» або копіюєте адресу з попереднього переказу, не звіряючи її повністю — і відправляєте кошти не туди.
Чому адреси так легко сплутати
Більшість криптоадрес — це довгі рядки символів. Люди природно звіряють лише перші й останні знаки, бо так радять інтерфейси гаманців і так зручніше. Шахраї це знають і підбирають адреси, схожі саме за цими ділянками.
Додатковий фактор — UX гаманців: деякі додатки показують скорочену адресу, а повний рядок ховають за кліком. Це підвищує ризик помилки.
Чи означає це, що гаманець зламано
Ні. У більшості випадків address poisoning не дає шахраєві доступу до вашої seed-фрази, приватних ключів чи підпису транзакцій. Це соціально-технічна атака, яка експлуатує людську неуважність і звичку копіювати адреси з історії.
Але наслідок такий самий, як і при зломі: кошти йдуть на адресу шахрая, а повернути їх зазвичай неможливо.
Життєві сценарії: як люди потрапляють у пастку
Найпоширеніші ситуації виглядають дуже буденно:
- Ви регулярно виводите криптовалюту з біржі на свій холодний гаманець. Одного разу копіюєте адресу з «останніх» і не помічаєте, що це схожа адреса зі стороннього запису.
- Ви платите підряднику в стейблкоїнах. Шахрай «підсаджує» адресу з тим самим початком/кінцем, і наступного разу ви повторюєте платіж не тому отримувачу.
- Ви перекидаєте активи між власними гаманцями. Саме такі звичні перекази найбільш ризикові: мозок «на автопілоті», перевірка мінімальна.
Ключова особливість: шахрайство часто спрацьовує не одразу, а через деякий час — коли ви вже забули деталі попередніх переказів і довіряєте історії.
Ризики та наслідки для користувача
Головний ризик — безповоротна втрата коштів. Блокчейн-транзакції зазвичай незворотні: якщо ви підтвердили переказ і він потрапив у мережу, «відкликати» його не можна (винятки — рідкісні й залежать від конкретних механізмів та сервісів, але на них не варто розраховувати).
Додаткові ризики:
- помилкове відчуття безпеки: «я ж нічого не натискав підозрілого»;
- повторні втрати: якщо не змінити звичку, можна ще раз скопіювати ту саму отруєну адресу;
- складність розслідування: адреса шахрая виглядає як звичайний рядок, а «доказ» у вигляді історії транзакцій часто не переконує сервіс підтримки.
Як захистити безпеку гаманця від address poisoning
Найкращий захист — дисципліна та правильні інструменти. Нижче — практичні підходи, які реально знижують ризик підміни адреси.
Звіряйте адресу повністю, а не лише початок і кінець
Якщо сума відчутна — перевіряйте весь рядок адреси, або принаймні значно більший фрагмент, ніж 4–6 символів. Для регулярних переказів краще один раз надійно зафіксувати реквізит (наприклад, у білому списку), ніж щоразу копіювати з історії.
Використовуйте адресну книгу та білий список
Багато гаманців і бірж підтримують address book/whitelist. Сенс у тому, що ви зберігаєте перевірену адресу під назвою (наприклад, «Мій холодний гаманець»), а нові адреси додаються лише після додаткового підтвердження.
Це корисно для navigational-інтенту користувача: замість пошуку «де я вже відправляв» ви переходите до конкретного збереженого контакту.
Перевіряйте адресу на екрані апаратного гаманця
Якщо ви користуєтесь hardware wallet, звіряйте адресу саме на його екрані під час підтвердження. Це зменшує ризик того, що ви скопіювали «не те» з історії в мобільному додатку.
Робіть тестову транзакцію для великих сум
Для великих переказів відправте спочатку мінімальну суму, переконайтеся, що отримувач підтвердив надходження, і лише потім — основну частину. Так, це комісії й час, але це страховка від людської помилки.
Слідкуйте за «дивними» дрібними операціями в історії
Одна з ознак address poisoning — невідомі мікротранзакції або незрозумілі токени/перекази, які ви не ініціювали. Це не завжди атака, але це сигнал: не використовуйте адреси з історії без перевірки.
Порівняння: address poisoning та інші схеми crypto scam
Різні види шахрайства в крипті часто плутають між собою. Нижче — коротке порівняння, щоб розуміти, що саме відбувається і якому захисту надавати пріоритет.
| Схема | Що атакують | Як відбувається крадіжка | Типовий захист |
|---|---|---|---|
| address poisoning | вашу звичку копіювати адресу з історії | ви самі надсилаєте кошти на адресу шахрая | звірка адреси, whitelist, тест-транзакції |
| фішинг | ваші облікові дані/seed-фразу | підробний сайт/додаток виманює доступ | перевірка доменів, 2FA, ніколи не вводити seed онлайн |
| malware/clipboard hijacking | буфер обміну або пристрій | вірус підміняє адресу під час копіювання | антивірус, оновлення, звірка адреси на пристрої підпису |
| соціальна інженерія | вашу довіру | «підтримка» просить переказ/доступ | верифікація контактів, правило «нікому не давати seed» |
Кому що підходить: якщо ви рідко переказуєте кошти і кожного разу копіюєте адресу вручну — ваш головний ризик саме підміна адреси та буфер обміну. Якщо активно користуєтесь DeFi і підключаєте гаманці до сайтів — зростає роль фішингу та шкідливих підписів, але address poisoning все одно лишається актуальним через історію транзакцій.
Практичний чек-лист: як не стати жертвою address poisoning
- Не копіюйте адресу отримувача з історії транзакцій, якщо не впевнені на 100%, що це той самий контрагент.
- Увімкніть whitelist (білий список адрес) на біржі та у гаманці, якщо функція доступна.
- Для регулярних переказів користуйтеся address book із зрозумілими назвами контактів.
- Звіряйте більше символів адреси або всю адресу, особливо перед великим переказом.
- Підтверджуйте адресу на екрані апаратного гаманця (за наявності).
- Перед великою сумою зробіть тестову транзакцію.
- Якщо бачите невідомі дрібні перекази/токени — сприймайте це як попередження й посильте перевірки.
- Підтримуйте гігієну пристрою: оновлення ОС, антивірус, обережність із розширеннями браузера (це зменшує і ризик суміжних атак).
Висновок
Address poisoning — це шахрайство, яке грає не на «зломі», а на звичках: копіюванні адрес із історії та поверхневій перевірці. Захист будується на простих діях — whitelist, адресна книга, уважна звірка та тестові перекази для великих сум. Якщо зробити ці кроки рутиною, ризик підміни адреси в історії транзакцій різко падає.
Програмні гаманці частіше вразливі до візуальних маніпуляцій через особливості інтерфейсу мобільних додатків. Апаратні рішення пропонують вищий рівень захисту, оскільки змушують вас бачити повну адресу на фізичному екрані перед підписом. Огляд одного з таких рішень дивіться тут: «Огляд апаратного гаманця Tangem: плюси та мінуси форм-фактору картки».