Majdnem 700 ezer dollár veszett el egy kriptocsalás (address poisoning) miatt

Majdnem 700 ezer dollár veszett el egy kriptocsalás miatt — és te is könnyen áldozat lehetsz

Egy Ethereum-felhasználó közel 700 ezer dollárnyi USDT stabilcoint veszített el egy úgynevezett címfertőzéses (address poisoning) csalás miatt. A módszer egyszerű, de annál alattomosabb — és sajnos egyre szélesebb körben terjed. Nem csak az Ethereum-hálózaton, hanem a Bitcoin ökoszisztémában is egyre több hasonló eset bukkan fel.

A dolog azért különösen bosszantó, mert nem valami szofisztikált hackertámadásról van szó. Nem kellett feltörni semmit. A felhasználó saját maga küldte el a pénzét a rossz helyre — csak éppen egy trükkös manipuláció hatására.

Mi az a címfertőzés?

A támadó létrehoz egy olyan kriptotárca-címet, amely nagyon hasonlít egy olyanra, amellyel az áldozat korábban már kapcsolatba lépett. A csaló ezután küld egy apró összeget az áldozatnak, hogy a hamis cím megjelenjen a tranzakciós előzmények között. Ha a felhasználó innen másolja ki a címet — mert azt hiszi, hogy az a valódi — és nagyobb összeget küld rá, az már a csaló zsebében landol.

Egy konkrét példa: ha a valódi cím így néz ki: 0x112233...9900, a csaló létrehoz egy hasonlót: 0x1122aaaa...9900. A legtöbb tárca csak a cím elejét és végét mutatja, a közepét pontokkal helyettesíti. Ez az egyszerű megjelenítési döntés teszi lehetővé az egész átverést.

Bitcoinnál ugyanez a mechanizmus működik — ott a címek jellemzően bc1q... vagy 3... előtaggal kezdődnek, és szintén könnyen összetéveszthetők, ha valaki nem ellenőrzi az egész karaktersort.

Hogyan történt most?

A megtévesztett felhasználó először egy kis teszttranzakciót — 10 USDT-t — küldött egy valódi Binance-tárcára. Néhány másodperccel később a csaló küldött neki egy 0 USDT értékű tranzakciót egy nagyon hasonló címről. Az áldozat valószínűleg a tranzakciós előzmények közül másolta ki a következő utaláshoz a címet, de véletlenül a hamisat választotta.

Az eredmény: közel 700 000 dollár eltűnt. A visszaszerzésre minimális esély van — a blokklánc-tranzakciók visszafordíthatatlanok.

A támadó nem volt lassú: a pénzt szinte azonnal szétterítette több tárcán keresztül, ami megnehezíti a nyomon követést. Az on-chain elemzők ugyan azonosítják az összegek útját, de a tényleges visszaszerzés egyelőre kérdéses.

Miért működik ez újra és újra?

Mert az emberek bíznak a saját előzményeikben. Ha valaki rendszeresen utal ugyanarra a Binance-betéti címre, természetes, hogy az előzményekből másolja ki — nem gépeli be minden alkalommal. Ez kényelmes, érthető, és a legtöbbször biztonságos is. A trükk éppen azt használja ki, hogy a felhasználó nem számít arra, hogy valaki beférkőzött a listájára.

A támadás skálázható is: egy script automatikusan figyeli az összes nagyobb tranzakciót a hálózaton, és szinte valós időben hozza létre a hasonló címeket, majd küldi el a „mérgező” tranzakciót. Ez nem manuális munka, hanem ipari méretű csalás.

2025-ben és 2026-ban is több tízmillió dollár kárt okoztak ilyen módszerrel — az egyik ismert eset során egyetlen nap alatt több tucat felhasználót érintett ugyanaz a csoport, összesen több millió dolláros kárral.

Bitcoin-felhasználókat is érinti?

Igen, bár az Ethereum és az EVM-kompatibilis hálózatok jelenleg jobban ki vannak téve ennek, mert ott a 0 értékű tranzakciók küldése triviálisan olcsó. Bitcoinnál minden tranzakciónak van tranzakciós díja, ami valamivel drágábbá teszi a tömeges „mérgezési” kampányokat — de nem teszi lehetetlenné.

Bitcoin-felhasználók körében a leggyakoribb variáns az, amikor valaki egy exchange-ről való kifizetéshez hasonló címet generálnak, majd megvárják, hogy az áldozat egy nagyobb összeget utaljon oda. A Bitcoin-tárcák szintén csak az első és utolsó néhány karaktert mutatják alapértelmezetten.

A lényeg: ha bitcoint vagy bármilyen kriptót mozogsz, ne bízz vakon a tranzakciós előzményekben.

Mit tehet a felhasználó?

Néhány egyszerű szabály, amelyek betartásával drasztikusan csökkenthető a kockázat:

• Soha ne másolj ki címet a tranzakciós előzményekből. Mindig az eredeti forrásból — exchange felülete, QR-kód, saját jegyzet — másold a célcímet.
• Ellenőrizd az egész címet, ne csak az elejét és végét. Igen, hosszú és unalmas, de ez az egyetlen biztos módszer.
• Küldj először kis összeget tesztként — de az eredményt ne a tárca előzményeiből ellenőrizd, hanem a blokklánckeresőn (pl. Etherscan, Mempool.space).
• Mentsd el a megbízható címeket a tárcád névjegyzékébe, és onnan használd őket. Sok hardveres tárca és szoftveres megoldás is kínál ilyen funkciót.
• Légy gyanús minden ismeretlen kis összegű bejövő tranzakcióval szemben, különösen ha a küldő cím hasonlít valamelyik ismerősödre vagy saját tárcádra.

Mit tesznek ellene a fejlesztők?

Egyes tárcák — például a MetaMask újabb verziói — már jelzik a gyanús, hasonló címeket, és figyelmeztetnek, ha egy cím csak minimális összeget küldött korábban. Az Ethereum közösségben is folynak viták arról, hogy a 0 értékű ERC-20 transfer eseményeket kellene-e valamilyen szinten korlátozni vagy szűrni.

Ugyanakkor a blokklánc cenzúramentessége éppen azt jelenti, hogy nehéz protokollszinten tiltani bármilyen tranzakciót. A védekezés tehát egyelőre elsősorban a felhasználón múlik — ami nem egy megnyugtató helyzet.

Összefoglalás

A 700 ezer dolláros eset nem egy különleges, bonyolult hackertámadás eredménye. Egy figyelmetlenséget kihasználó, automatizált, ipari méretű átverésről van szó — és ez pontosan az, ami a legveszélyesebb benne. Nincs szükség semmilyen technikai tudásra az áldozat részéről, elég egyetlen gondatlan kattintás.

Bitcoin és egyéb kriptók esetén az alapszabály változatlan: a saját biztonságodért te vagy a felelős. Nincs bank, nincs ügyfélszolgálat, nincs visszatérítés. Ha kiment a pénz a rossz címre, az ott is marad.

A tranzakciós előzmények praktikusak — de ebben az esetben csapdát rejtenek. Érdemes megszokni, hogy a fontos pénzmozgásokat mindig ellenőrzött forrásból indítsd, és soha ne siess, ha nagy összeget mozdítasz.