Crypto ziet $62M verliezen door adresvergiftiging die gebruikers misleidt

Hoe portemonneefouten en phishing leidden tot $62M cryptoverliezen

Twee cryptogebruikers verloren $12,25 miljoen en $50 miljoen na het kopiëren van onjuiste portemonneeadressen, zoals gerapporteerd door CryptoPotato. Het gecombineerde bedrag van $62 miljoen toont aan hoe een enkele kopieer-plak fout kan escaleren tot een permanent on-chain verlies. In elk geval verplaatste een verkeerd geadresseerde overdracht geld naar een onbedoelde bestemming zonder praktische verhaalsmogelijkheden.

Adresvergiftiging, een tactiek waarbij een op het oog gelijkend adres in de recente activiteit van een slachtoffer wordt geplaatst zodat het later per ongeluk wordt gekopieerd, komt volgens Invezz naar voren als één van de duurste oplichting in crypto. Aanvallers maken misbruik van routinegedrag, niet per se van softwarekwetsbaarheden.

Operationele fouten bij exchanges vormen een aparte risicocategorie ten opzichte van phishing aan gebruikerszijde. Zuid-Koreaanse toezichthouders openden onderzoeken naar Bithumb nadat de exchange per ongeluk ongeveer $43 miljard aan Bitcoin had verstuurd vanwege een interne fout, zoals gerapporteerd door Decrypt. Dat incident weerspiegelt institutioneel verwerkingsfalen, terwijl adresvergiftiging en kopieer-plak fouten door gebruikers geïnitieerde routes zijn.

Waarom het nu belangrijk is en directe stappen om verliezen te voorkomen

Deze incidenten zijn nu belangrijk omdat verliezen voortkomen uit alledaagse werkstromen zoals het kopiëren van een ontvanger uit een chat of een recente activiteitenlijst. Het versterken van basisverificatie rond bestemmingsadressen kan de blootstelling significant verlagen.

Risicoverkleinde praktijken omvatten het valideren van de volledige bestemmingsreeks vanuit een onafhankelijke, vertrouwde bron en het vermijden van afhankelijkheid van recent geziene adressen. Veel platforms bieden adres-whitelists en transactiewaarschuwingen, en een kleine testoverdracht kan bevestigen dat een nieuw adres zich gedraagt zoals verwacht. Private keys en seed phrases mogen nooit worden gedeeld, en ongevraagde "support"-contacten verdienen extreme scepsis.

Platformrichtlijnen weerspiegelen deze waarborgen en waarschuwen tegen social engineering-lokmiddelen die zich voordoen als dringende accountproblemen. "Coinbase zal u nooit vragen om uw inloggegevens, API-sleutel of tweefactorauthenticatiecodes. We zullen u ook niet vragen om geld over te maken," zei Jaclyn Sales, Director of Communications bij Coinbase. De nadruk ligt op het verifiëren van verzoeken en kanalen voordat u actie onderneemt die activa kan verplaatsen.

Op het moment van schrijven gaven uitgestelde koersgegevens van NasdaqGS aan dat aandelenticker COIN sloot rond $165,12 op 6 februari, met niveaus buiten kantooruren rond $165,86. Cijfers werden gemarkeerd als uitgesteld en worden verstrekt voor context in plaats van transactierichtlijnen. Marktniveaus veranderen niets aan de mechanica van adresverificatie, maar ze kaderen de omgeving waarin operationele en phishing-risico's zich manifesteren.

Adresvergiftiging uitgelegd: hoe op het oog gelijke adressen afzenders misleiden

In een adresvergiftigingsopstelling genereert een aanvaller een adres dat visueel lijkt op een legitieme begunstigde en stuurt vervolgens een kleine of nulwaarde-transactie zodat het lokaas verschijnt in de geschiedenis van het slachtoffer. Later, wanneer het slachtoffer een adres kopieert uit eerdere activiteit, wordt het op het oog gelijke adres geselecteerd in plaats van het beoogde adres. Omdat blockchains overdrachten voltooien zonder naamcontroles, volgt het geld de vervalste reeks exact.

Eenvoudige mitigaties richten zich op bronintegriteit en end-to-end vergelijking. Verkrijg het ontvangersadres rechtstreeks van de beoogde tegenpartij via een geverifieerd kanaal, vergelijk vervolgens elk karakter voordat u de transactie bevestigt; gebruik waar beschikbaar opgeslagen whitelists en voer een nominale testoverdracht uit voordat u het hoofdbedrag verstuurt.