- Egy automatizált kereskedési bot 30 750 dollárt küldött el egy fake Solana-tárcacímre egy elírás miatt – a bot egy apró kimenő tranzakciót registrált és azonnal átutalt minden egyenleget.
- Az address poisoning (tárcacím-mérgezés) lényege: a támadó olyan hamis tárcacímet generál, amely az első és utolsó karakterekben megegyezik a valódi címmel, majd apró tranzakcióval csapdát állít.
- Az ellenszert csak a 44 karakteres teljes Solana-cím alapos ellenőrzése, a bot parancsainak gondos felülvizsgálata és a 'kis összeg először' módszer fokozottabb alkalmazása jelenti.
Harmincezer dollárt elveszíteni egy elírás miatt — ez nem filmforgatókönyv, hanem egy Solana-felhasználó 2026-os valósága. A történet rövid, de a tanulság hosszú.
Mi történt pontosan?
A felhasználó egy ismeretlen tárcacímet akart tesztelni, mielőtt komolyabb összeget küld rá. Ez önmagában helyes gondolkodás — a „kis összeg először” módszer bevett gyakorlat a kripto-világban. Elküldött tehát 10 dollárt egy hamis, azaz nem a saját célcímére.
Eddig a pontig még visszafordítható lett volna a helyzet. Az igazi katasztrófa ezután jött.
Egy automatizált kereskedési bot — amelyet korábban maga a felhasználó állított be — azt az utasítást kapta, hogy ha egy adott tárcacímen tranzakció jelenik meg, azonnal küldje oda az egyenleg teljes összegét. A bot érzékelte a 10 dolláros kimenő tranzakciót, és végrehajtotta a feladatát: automatikusan átutalt 30 750 dollárt a fake-címre. Egy automatikus, visszavonhatatlan Solana-tranzakcióval.
A pénz elment. A phishing-cím tulajdonosa — aki feltehetően szándékosan készítette elő a csapdát — egy percen belül gazdagabb lett harmincezer dollárral.
Hogyan működik az address poisoning?
Ez a támadástípus nem véletlenszerű. Az úgynevezett address poisoning (tárcacím-mérgezés) lényege: a támadó olyan Solana-tárcát generál, amelynek első és utolsó néhány karaktere megegyezik egy általad már használt, legitim tárcacímmel. Aztán elküld neked — vagy a te tárcáidtól egy ismert célcímre — egy apró, akár 0 dolláros tranzakciót.
Miért? Mert a legtöbb tárca-alkalmazás és bot a tranzakciós előzményekből dolgozik. Ha a felhasználó nem ellenőrzi a teljes 44 karakteres Solana-tárcacímet — csak az elejét és a végét nézi meg —, könnyen összekeveri az eredetit a hamisítvánnyal.
- Eredeti cím példa:
7xKp...mN3Q - Fake (mérgezett) cím:
7xKp...mN3Q— látszólag azonos, de a közepe teljesen más
Ez az emberi szem számára szinte észrevehetetlen különbség. A bot számára azonban egyáltalán nem az — ő pontosan azt csinálja, amire programozták.
A bot-automatika, mint kétélű kard
Az automatizált kereskedési és küldési botok rendkívül hasznosak lehetnek: gyorsabbak az embernél, nem fáradnak el, és kihasználják az arbitrázs-lehetőségeket, mielőtt az ember egyáltalán észrevenné azokat. A Solana hálózata különösen kedvelt terep az ilyen megoldásoknak, részben az alacsony tranzakciós díjak és a gyors blokkidők miatt.
Csakhogy az automatizmus nem gondolkodik. Ha rosszul konfiguráljuk, pontosan ugyanolyan hatékonyan hajtja végre a káros utasítást, mint a hasznosat.
Mik a leggyakoribb bot-konfigurációs hibák, amelyek hasonló helyzethez vezethetnek?
- Nincs maximális összeghatár beállítva — a bot „teljes egyenleg” utasítást kap, nem egy rögzített felső határt
- Nincs megerősítési lépés — a bot azonnal végrehajt, emberi jóváhagyás nélkül
- A trigger-feltétel túl általános — „ha erről a címről tranzakció indul” helyett pontosabb szabályok kellenének
- Whitelist hiánya — nincs meghatározva, hogy mely célcímekre szabad küldeni
Miért különösen veszélyes ez Solanán?
A Solana tranzakciói véglegesek és visszavonhatatlanok — csakúgy, mint a Bitcoinéi, vagy bármely más blokkláncon. Nincs „visszavonás” gomb, nincs ügyfélszolgálat, nincs banki szintű visszaterhelési lehetőség.
Ráadásul a Solana-hálózat sebessége — ami egyébként az egyik fő vonzereje — ebben az esetben hátrány: a tranzakció szinte azonnal véglegesítődik, nincs idő beavatkozni. Egy Ethereum-tranzakciónál esetleg van néhány másodperced, ha nagyon alacsony gas-díjat adtál meg. Solanán ez az ablak lényegében nem létezik.
Mit kellett volna másképp csinálni?
A tanulság nem az, hogy ne használj botokat, és ne tesztelj kis összeggel — ezek jó szokások. A probléma az, hogy a „teszt” és az „automatikus küldés” logikája összekapcsolódott, amit soha nem lett volna szabad megengedni.
Néhány konkrét védekezési lépés:
- Mindig ellenőrizd a teljes tárcacímet — ne csak az első 4 és az utolsó 4 karaktert. Solana-cím 44 karakter hosszú; ha másoláskor eltér egyetlen betű is, más helyre megy a pénzed.
- Állíts be whitelist-et a botjaidban — csak előre jóváhagyott tárcacímekre legyen engedélye küldeni.
- Maximális összeghatár minden automatikus küldési szabályban — ne „teljes egyenleg”, hanem egy fix felső határ.
- Kétlépéses megerősítés nagyobb összegnél — ha a bot 1000 dollárnál többet akarna mozgatni, kérjen emberi jóváhagyást.
- Ne keverd a teszt-tárca logikát az éles bottal — a tesztelésre használt cím soha ne legyen azonos azzal, amelyből a bot dolgozik.
- Tranzakciós előzmény helyett manuálisan másolt cím — ha a tranzakciós előzményből másolsz, pontosan erre az esetre vagy sebezhető.
Egy iparági probléma, nem csak egyéni hiba
Az address poisoning nem új jelenség, és nem Solana-specifikus — Ethereumon és más hálózatokon is dokumentáltak hasonló támadásokat. Ami változott: az automatizált eszközök elterjedésével a potenciális kár nagyságrendje megnőtt. Egy rosszul beállított bot esetén a támadónak elég egyetlen mérgezett tranzakciót küldeni, és a többit elvégzi az áldozat saját szoftvere.
A tárca-alkalmazások egy részénél már megjelent valamilyen figyelmeztetés ismeretlen vagy új tárcacímekre küldés esetén — de ez korántsem általános, és botokra szinte soha nem vonatkozik.
Összefoglalás
A 30 750 dolláros eset nem technikai hiba volt — hanem egy emberi feltételezés következménye: „ha teszteltem, akkor biztonságos.” Csakhogy a bot nem tudta, hogy te éppen tesztelsel. Ő csak végrehajtotta az utasítást.
A kriptovilágban az automatizálás erő — de csak addig, amíg pontosan érted, mit engedsz meg az automatizmusnak. Ha nem vagy biztos a konfiguráció minden részletében, az alapértelmezett beállítás legyen a manuális jóváhagyás. Különösen igaz ez olyan összegekre, amelyek elvesztését nem tudod könnyen kiheverni.
A blokklánc nem téveszt meg — de a phishing-támadók pontosan arra építenek, hogy mi magunk megtévesztjük magunkat.
🧭 Nem tudod, hol kezdd? Beszéljük át.
A Befektetői Iránytű egy 60 perces, alapos beszélgetés arról, hol tartasz és merre indulj — plusz egy személyre szabott tanulási terv.
29 900 Ft, beszámítható egy nagyobb programba, ha úgy döntesz.
Ez nem befektetési tanácsadás.
Gyakori kérdések
Az address poisoning egy olyan támadási módszer, ahol a támadó olyan tárcacímet generál, amely az első és utolsó néhány karakterben megegyezik egy legitim Solana-tárcacímmel. Ezután apró vagy nulla értékű tranzakciót küld, hogy az megjelenjen az áldozat tranzakciós előzményeiben, és könnyen összetéveszthető legyen az eredeti címmel.
A felhasználó úgy konfigurálta a botot, hogy ha egy adott tárcacímre kimenő tranzakció jelenik meg, azonnal küldje el a teljes egyenleget arra a címre. A hamis cím detektálása után a bot automatikusan 30 750 dollárt utalt át, amit már nem lehetett visszavonni.
Mindig ellenőrizd a teljes 44 karakteres Solana-tárcacímet, ne csak az elején és végén pár karaktert. Használd a kis összeg tesztelés módszerét még szigorúbban, és ha automatikus botokat használsz, gondosan konfigurálj szűrőket és biztonsági korlátokat.
A Solana tranzakciók visszavonhatatlanok. Ha egy támadó egyszer megkapta az összeget, a pénz véglegesen az ő tárcájában van. Az egyetlen lehetőség a támadó azonosítása és civil vagy büntetőjogi úton történő jogorvoslat, ami általában sikertelen marad.
A legtöbb tárca-alkalmazás és bot a tranzakciós előzményekből dolgozik, és a felhasználók általában csak az első pár és utolsó pár karaktert ellenőrzik egy tárcacímből. Az address poisoning ezt az emberi figyelmetlenséget és a szoftverek felületes ellenőrzését használja ki.
Mielőtt bármibe pénzt teszel: 12 kérdés
Kétoldalas ellenőrzőlista, amit egy ajánlat vagy egy kiszemelt befektetés mellé tehetsz: költség, kockázat, adózás, és az a kérdés, amit szinte senki nem tesz fel magának. E-mailben küldöm.
