Address poisoning: jak działa oszustwo i jak się chronić

Address poisoning (zatruwanie adresów) to oszustwo kryptowalutowe, w którym atakujący umieszcza w historii transakcji ofiary łudząco podobny adres portfela, licząc, że zostanie on skopiowany, a środki trafią do niego przez pomyłkę. Fałszywy adres ma takie same kilka pierwszych i ostatnich znaków jak adres, którego rzeczywiście Państwo używają, i zwykle pojawia się jako transfer o zerowej lub znikomej wartości kilka minut po prawdziwej transakcji. Nie dochodzi do włamania do portfela: to Państwo sami podpisują transakcję, na której tracą.

Brzmi to prymitywnie, ale działa na masową skalę. Recenzowane badanie naliczyło około 270 milionów prób zatrucia adresów na dwóch blockchainach w ciągu dwóch lat, a pojedyncze ofiary traciły 50 milionów dolarów lub więcej. Ten przewodnik wyjaśnia, jak działa atak, jakie są jego główne odmiany, jakie są największe znane przypadki i jakie nawyki go powstrzymują.

Jak działa atak address poisoning

Atak wykorzystuje ludzki skrót myślowy: sprawdza się początek i koniec adresu, a środek pomija. Adresy kryptowalutowe są długie. Adres Ethereum ma 40 znaków szesnastkowych po 0x, a adres Sui to 32-bajtowy identyfikator zapisywany jako 64 znaki szesnastkowe. Jak ujął to jeden z badaczy CMU, autorów największego badania, adresy portfeli „to długie ciągi szesnastkowe, których nie da się zapamiętać” (CMU CyLab, styczeń 2026).

Typowy atak przebiega tak:

1. Atakujący obserwuje blockchain. Boty monitorują transfery, często stablecoinów, między ofiarą a stałym kontrahentem, takim jak adres depozytowy giełdy.
2. Generuje podobny adres. Oprogramowanie metodą brute force tworzy nowy adres, którego początkowe i końcowe znaki pokrywają się z adresem kontrahenta. Badanie USENIX wykazało, że jedna zaawansowana grupa najprawdopodobniej używała do tego GPU, a inne korzystały z CPU.
3. Umieszcza go w historii ofiary. Atakujący wysyła transakcję, która łączy adres ofiary z podobnym adresem, zwykle w ciągu kilku minut. Badacze ustalili, że transfery zatruwające docierają „w większości w ciągu 20 minut” od pierwotnego transferu.
4. Ofiara kopiuje niewłaściwy adres. Przy następnej płatności dla tego kontrahenta otwiera portfel lub eksplorator bloków, widzi na górze historii coś, co wygląda na znajomy adres, kopiuje go i wysyła środki.

Ponieważ transfer jest ważny i zapisany on-chain, nie da się go cofnąć. Na tym opiera się cały model biznesowy.

Trzy główne odmiany

Artykuł „Blockchain Address Poisoning” z USENIX Security 2025 autorstwa Taro Tsuchiyi i Nicolasa Christina oraz wskazówki Etherscan opisują trzy popularne formy.

Transfery o zerowej wartości

Atakujący rejestruje transfer zera tokenów z adresu ofiary na podobny adres. W wielu popularnych implementacjach ERC-20 publiczna funkcja transferFrom pozwala każdemu wskazać dowolnego nadawcę, gdy kwota wynosi zero — wyjaśnia artykuł. W efekcie w historii pojawia się wpis sugerujący, że ofiara już wcześniej wysłała pieniądze atakującemu. Artykuł uznaje tę odmianę za potencjalnie groźniejszą od pozostałych, ponieważ podobny adres wygląda jak wybrany wcześniej odbiorca.

Znikome transfery („dust”)

Podobny adres wysyła bardzo małą ilość używanego przez ofiarę tokena, dzięki czemu pojawia się w historii transakcji przychodzących. Etherscan traktuje jako dust transfery poniżej 0,01 USD w USDT, USDC lub DAI albo poniżej 0,00001 ETH, zaznaczając jednak, że niektóre transfery typu dust są legalne.

Transfery podrobionych tokenów

Atakujący tworzy fałszywy token i przesyła go między adresem ofiary a podobnym adresem, często w dokładnie takiej kwocie, jaką ofiara właśnie wysłała. Ponieważ tokeny ERC-20 nie mają ograniczeń co do nazw i symboli, podróbka może bardzo przypominać oryginał — zauważa artykuł.

Jak duży jest problem?

Badanie USENIX, obejmujące Ethereum i BNB Smart Chain od 1 lipca 2022 r. do 30 czerwca 2024 r., wykazało około 270 milionów prób zatrucia skierowanych do około 17 milionów ofiar. Potwierdziło 6 633 udane incydenty ze stratami co najmniej 83,8 miliona dolarów, a liczba ataków jest w nim 13 razy wyższa niż we wcześniejszych szacunkach (CMU CyLab).

Sukces jest rzadki — według pomiaru z artykułu około 0,01% prób na Ethereum — ale ataki można tanio zautomatyzować. „To gra liczb” — powiedział współautor Nicolas Christin, a CMU podaje, że niektóre zorganizowane grupy zarabiają 10–20 razy więcej, niż wydają na opłaty i infrastrukturę.

Badacze twierdzą, że rzeczywiste straty są prawdopodobnie wyższe, ponieważ wiele ofiar nigdy ich nie zgłasza. Suma 83,8 miliona dolarów nie obejmuje też dwóch największych pojedynczych przypadków opisanych poniżej: artykuł odnotował transfer WBTC, ale nie zaliczył go do potwierdzonych strat, a przypadek USDT miał miejsce później.

Głośne straty z powodu address poisoning

1 155 WBTC, maj 2024 r. (około 68 milionów dolarów)

Na początku maja 2024 r. ofiara wysłała 1 155 wrapped bitcoinów, wartych wówczas około 68 milionów dolarów, na zatruty, podobny adres. Po negocjacjach on-chain, w których ofiara zaproponowała, że atakujący może zatrzymać 10%, ten 10 maja 2024 r. zaczął zwracać środki i odesłał około 22 960 ETH o wartości 65,7 miliona dolarów, czyli ponad 96% pierwotnej wartości w dolarach, podał Cointelegraph. Taki zwrot to wyjątek. Więcej o tym tokenie przeczytają Państwo w artykule czym jest wrapped bitcoin (WBTC).

49 999 950 USDT, grudzień 2025 r. (około 50 milionów dolarów)

W grudniu 2025 r. ofiara wysłała 49 999 950 USDT po skopiowaniu złośliwego adresu z historii transakcji, podał Cointelegraph 20 grudnia 2025 r. Ofiara najpierw wysłała niewielką transakcję testową na właściwy adres. Atakujący zatruł wtedy historię, a cała kwota kilka minut później trafiła na podobny adres. Skradzione USDT zamieniono na ether, rozdzielono między portfele i częściowo przeniesiono do Tornado Cash.

Dlaczego transakcja testowa nie chroni

Przypadek z grudnia 2025 r. pokazuje częste nieporozumienie. Transakcja testowa dowodzi, że działa adres użyty do testu. Nie mówi nic o adresie, który wkleja się w następnej kolejności.

Test może wręcz pogorszyć sytuację. Tworzy dokładnie to zdarzenie on-chain, na które reagują boty zatruwające, i umieszcza nowy wpis na górze historii tuż przed tym, jak wraca się do niej po adres do głównego transferu. Wykonując test, należy wkleić drugi adres z tego samego zaufanego źródła co za pierwszym razem, nigdy z historii, i ponownie sprawdzić każdy znak.

Jak chronić się przed address poisoning

• Nigdy nie kopiuj adresów z historii transakcji. Wskazówki MetaMask mówią to samo. Kopiuj ze źródła pierwotnego, np. ze strony depozytu na giełdzie.
• Korzystaj z książki adresowej portfela. Zapisuj adresy raz zweryfikowane i wysyłaj środki tylko do zapisanych kontaktów.
• Sprawdzaj cały adres, zwłaszcza środek. Atakujący dopasowują końcówki, więc różnica ujawnia się w środkowych znakach. Porównuj fragmentami.
• Potwierdzaj na ekranie portfela sprzętowego. Portfel sprzętowy zwykle wymaga potwierdzenia adresu docelowego na samym urządzeniu, co daje drugą, niezależną kontrolę przed podpisaniem. Zob. hot wallet a cold wallet.
• Zwracaj uwagę na ostrzeżenia portfela. MetaMask informuje, że wykrywa teraz, gdy adres docelowy jest bardzo podobny do adresu używanego wcześniej, np. gdy zgadzają się cztery pierwsze i cztery ostatnie znaki, i wyświetla blokujące ostrzeżenie. Ostrzega też przy pierwszej wysyłce na dany adres.
• Ignoruj nieoczekiwane transfery o zerowej lub znikomej wartości. Nie wchodź w interakcję ani z nimi, ani z nieznanymi tokenami. Etherscan domyślnie ukrywa transfery o zerowej wartości i wyświetla okno ostrzeżenia przy kopiowaniu adresu powiązanego z podejrzaną aktywnością.
• Używaj nazw tam, gdzie to możliwe. Czytelne nazwy, takie jak ENS na Ethereum czy SuiNS na Sui, ograniczają błędy przy kopiowaniu i wklejaniu, choć nadal warto sprawdzić, czy nazwa wskazuje właściwy adres.

Nic z tego nie dotyczy tylko jednego blockchaina. Adresy MultiversX to na przykład klucze publiczne zakodowane w bech32, zaczynające się od erd1, i obowiązuje ta sama zasada sprawdzania pełnego adresu. Niezależnie od tego, czy przesyłają Państwo EGLD do stakingu w celu uzyskania JWLEGLD, czy SUI do stakingu w celu uzyskania JWLSUI, należy zweryfikować adres docelowy przed podpisaniem.

Co zrobić po wysłaniu środków na zatruty adres

Należy działać szybko, ale zakładać, że środki przepadły, chyba że wydarzy się coś nietypowego.

1. Zapisz wszystko. Zachowaj hash transakcji, adres atakującego i godzinę.
2. Skontaktuj się z emitentem tokena i każdą zaangażowaną giełdą. Niektórzy emitenci stablecoinów mogą zamrozić tokeny na konkretnym adresie, więc liczy się szybkość.
3. Zgłoś sprawę na policję i do krajowego punktu zgłaszania oszustw. Zgłoszenia pomagają śledczym łączyć portfele.
4. Uważaj na oferty odzyskania środków. Ofiary dużych, nagłośnionych strat są celem fałszywych usług „odzyskiwania funduszy”. Przed zapłaceniem komukolwiek przeczytaj nasz przewodnik o oszustwach na odzyskiwanie kryptowalut.

Zatrucie adresu nie narusza bezpieczeństwa samego portfela, więc nie jest potrzebna nowa seed phrase. Jeśli podpisano zgodę na wydatkowanie tokenów lub połączono się z nieznaną stroną, to inny rodzaj ataku: zob. wallet drainery i phishing na zgody.

Najczęściej zadawane pytania

Czym jest atak address poisoning?

To oszustwo, w którym atakujący wysyła transfer o zerowej wartości, znikomej kwocie lub z fałszywym tokenem, aby w historii transakcji pojawił się podobny adres. Jeśli później skopiują Państwo ten adres zamiast prawdziwego, środki trafią do atakującego.

Czy address poisoning może ukraść środki bez mojego podpisu?

Nie. Transfer zatruwający nie może przenieść Państwa tokenów. Straty powstają tylko wtedy, gdy samodzielnie podpiszą Państwo transfer na podobny adres, dlatego sprawdzenie pełnego adresu zapobiega atakowi.

Dlaczego otrzymałem transfer o zerowej wartości z własnego adresu?

Niektóre tokeny ERC-20 pozwalają każdemu zarejestrować transfer zerowej kwoty z dowolnym nadawcą. Atakujący wykorzystują to, aby wyglądało na to, że wysłali Państwo środki na ich podobny adres. Należy to zignorować i nigdy nie kopiować z niego adresów.

Czy transakcja testowa wystarczy, by uniknąć address poisoning?

Nie. Test potwierdza tylko adres użyty do testu. W przypadku z grudnia 2025 r. ofiara wysłała test, a następnie skopiowała zatruty adres z historii i straciła prawie 50 milionów dolarów w USDT.

Ile stracono przez address poisoning?

Badanie USENIX Security 2025 potwierdziło straty w wysokości co najmniej 83,8 miliona dolarów na Ethereum i BNB Smart Chain między lipcem 2022 r. a czerwcem 2024 r. Pojedyncze przypadki to m.in. strata 68 milionów dolarów w WBTC w 2024 r., w większości zwrócona, oraz strata 50 milionów dolarów w USDT w 2025 r.

Czy można odzyskać kryptowaluty po address poisoning?

Zazwyczaj nie, ponieważ transfery na blockchainie są ostateczne. Należy szybko skontaktować się z emitentem tokena i każdą zaangażowaną giełdą oraz zgłosić sprawę na policję, ale uważać na każdego, kto oferuje płatne usługi odzyskiwania środków.

Czytaj dalej

• Wallet drainery i phishing na zgody
• Oszustwa z fałszywymi portfelami w 2026 r.
• Oszustwa kryptowalutowe w 2026 r.
• Czym jest seed phrase?
• Audyt smart kontraktów — wyjaśnienie

Ten artykuł ma charakter edukacyjny i nie stanowi porady finansowej ani prawnej. Dane i szczegóły przypadków są aktualne na 17 października 2026 r. i pochodzą z podlinkowanych powyżej badań i publikacji; funkcje portfeli zmieniają się z czasem.