Что такое подмена адреса и как от неё защититься

История переводов в публичном блокчейне доступна для наблюдения. Злоумышленник находит используемый адрес и создаёт другой, у которого совпадает часть начальных или конечных символов.

Затем он отправляет с похожего адреса перевод с нулевой или незначительной суммой. Запись попадает в историю и начинает выглядеть знакомой.

При следующей отправке пользователь может скопировать этот адрес из недавней активности. Если кошелёк сокращает длинные адреса, различие в середине строки легко пропустить.

MetaMask описывает именно такую последовательность и рекомендует проверять середину адреса, а не только начало и конец.

Подмена адреса не ломает криптографию кошелька. Она использует привычку копировать адрес из истории и воспринимать повторяющуюся запись как доверенную.

Для подмены адреса злоумышленнику важно поместить похожий адрес в историю. Неожиданный токен или NFT может использовать другую схему: заманить на фишинговый сайт либо предложить подписать опасную операцию.

Получение неизвестного актива само по себе обычно не раскрывает секреты кошелька. Риск возрастает, когда пользователь переходит по ссылке, пытается получить награду, обменять актив или подтверждает запрос.

Не переходите по ссылкам из названия или описания неизвестного токена и не взаимодействуйте с ним.

MetaMask рекомендует игнорировать неожиданные NFT и их инструкции.

История транзакций подтверждает, что операция произошла. Она не подтверждает, что показанный адрес принадлежит нужному человеку или сервису.

Перед переводом:

1. Получите адрес из доверенного источника, а не из истории кошелька.
2. Сверьте всю строку, включая символы в середине.
3. После вставки проверьте адрес ещё раз: буфер обмена тоже может быть подменён вредоносной программой.
4. Для постоянного получателя сохраните адрес только после первой полной проверки.
5. Если аппаратный кошелёк показывает адрес назначения, сравните его с исходным адресом на экране устройства.

Адресная книга снижает риск повторного копирования, но не исправляет ошибку, допущенную при сохранении. Название контакта также не заменяет проверку самого адреса.

Небольшой тестовый перевод — дополнительная проверка, а не способ установить личность получателя. Сначала подтвердите адрес через доверенный источник и оцените комиссию сети.

После теста попросите получателя подтвердить поступление по независимому каналу. Для основного перевода используйте уже проверенный адрес, а не копируйте его заново из истории тестовой транзакции.

Coinbase также рекомендует тестовый перевод, но предупреждает, что подтверждённые переводы в блокчейне нельзя отменить обычным способом.

Не отправляйте повторную транзакцию на тот же адрес.

Сохраните адрес назначения, хэш транзакции, сеть, актив, сумму и время отправки. Эти данные понадобятся при обращении в кошелёк, биржу, сервис получателя или при сообщении о мошенничестве.

Если адрес принадлежит известному сервису, обратитесь только через его официальный канал поддержки. Если владелец адреса неизвестен, вернуть подтверждённый перевод обычно невозможно.

Запускайте действия ElyxS из официального интерфейса и проверяйте запрос перед подтверждением в подключённом кошельке. Не заменяйте адрес назначения строкой из истории только потому, что она выглядит знакомо.

Ссылки ElyxS на SupraScan открывают запись об уже созданной транзакции. По ней можно проверить сеть, адрес, хэш и статус, но такая запись не подтверждает владельца адреса для будущего перевода.

Подробнее о сетевой записи рассказано в руководстве Как читать SupraScan для ElyxS. Основные правила работы с кошельком собраны в руководстве Как настроить StarKey Wallet.

• MetaMask: подмена адреса — механизм атаки и проверка адреса назначения.
• MetaMask: подмена данных в буфере обмена — проверка адреса после копирования и вставки.
• MetaMask: мошенничество с неожиданными NFT — риски ссылок и действий с незапрошенными активами.
• Coinbase: перевод на неверный адрес — необратимость подтверждённых переводов.
• Coinbase: адресная книга и список разрешённых адресов — повторное использование заранее проверенных адресов.