Fałszywe adresy – cicha groźba: Jak oszuści ukradli ponad 500 milionów dolarów w krypto

Pamiętam jeszcze dzień, kiedy kolega opowiadał mi o swoim „najgorszym błędzie w krypto”: przypadkowo wysłał 20 etherów na adres BSC – i pieniądze zniknęły. Żadnej zwrotki, żadnego wsparcia, które mogłoby pomóc. Tylko pusta portfel i głupie uczucie, że coś przeoczył.
Świat kryptowalut ma teraz nowe, podstępne zagrożenie bezpieczeństwa: „błędne użycie adresu” (ang. *address misuse*). Według badania renomowanego *USENIX Security Symposium*, w ubiegłym roku przez tę metodę skradziono aż 574,8 miliona dolarów w etherze (ETH) i binance coinie (BNB). Ale jak dokładnie działa ten oszustwo i dlaczego nawet doświadczeni użytkownicy na nie wpadają?

### Jak działa ten proceder: prosty błąd z fatalnymi konsekwencjami
Wyobraź sobie, że stoisz przed tablicą z dwoma drzwiami: jedne prowadzą na bezpieczną ulicę, drugie do zaułka, z którego nie ma wyjścia. Tak właśnie wygląda błąd adresu międzyłańcuchowego. Używasz portfela A na Ethereum i chcesz wysłać coś do portfela B na Binance Smart Chain (BSC). Zamiast poprawnego adresu BSC kopiujesz jednak przypadkowo adres Ethereum portfela B. Transakcja zostaje wykonana – a twoje pieniądze trafiają do łańcucha bloków, w którym są bezwartościowe.

Podstępność polega na tym, że oba adresy wyglądają identycznie. Oba zaczynają się od „0x”, oba mają 42 znaki. Różnica tkwi tylko w sieci, a ta informacja często nie jest wystarczająco wyraźnie wyświetlana. Wiele portfeli i giełd „ukrywa” te dane gdzieś w ustawieniach – i już popełniono błąd.

### Badanie ujawnia: oszuści wykorzystują celowe oszustwo
Badacze z USENIX przeanalizowali 1,2 miliona transakcji i odkryli kilka szokujących faktów. Oszuści celowo polują na użytkowników, którzy przełączają się między łańcuchami bloków – szczególnie w takich sytuacjach:
- **Protokół DeFi**, gdzie użytkownicy codziennie przeskakują między Ethereum, Polygonem czy Arbitrum. W ferworze handlu łatwo wybrać złą sieć.
- **Giełdy** takie jak Binance czy Coinbase, gdzie można przełączać się między różnymi sieciami. Jeden klik za dużo – i pieniądze znikają.
- **Fałszywe aplikacje portfelowe**, które wprowadzają użytkowników w błąd fałszywymi adresami. Szczególnie bezczelne są strony phishingowe oferujące „zoptymalizowany” interfejs portfela, ale manipulujące adresami w tle.

To, co mnie szczególnie szokuje, to fakt, że nawet doświadczeni traderzy na to wpadają. Różnice między sieciami są często tak subtelne, że umykają uwadze w stresie lub pod presją czasu.

### Kto jest główną ofiarą?
Badanie pokazuje, że najczęściej tracą duże kwoty – średnio ofiary tracą ponad 5 000 dolarów w jednym ataku. Ale nie tylko osoby prywatne padają ofiarą:
- **Protokół DeFi** tracą środki z powodu błędnych adresów, które miały być trzymane w pulach. To



może destabilizować całe projekty.
- **Giełdy** muszą czasem zamrażać środki, gdy użytkownicy wysyłają je na złe sieci. To prowadzi do niepotrzebnych opóźnień i frustracji.
- **Inwestorzy instytucjonalni**, jak fundusze hedgingowe czy family office, są szczególnie narażeni, gdyż często poruszają dużymi sumami. Tu szybko mowa o milionach.

### Dlaczego problem jest tak trudny do rozwiązania?
1. **Brak standaryzacji**: Nie wszystkie łańcuchy bloków używają tego samego formatu adresów. Nawet jeśli portfel wyświetla ostrzeżenie, użytkownicy je często ignorują – czy to z lenistwa, stresu, czy braku zaufania do technologii.
2. **Błąd ludzki**: Większość ataków działa, ponieważ użytkownicy w pośpiechu lub pod presją czasu pomijają wybór sieci. Kto ma czas wpatrywać się przez 20 sekund w komunikat ostrzegawczy, gdy chce szybko działać?
3. **Bariery techniczne**: Automatyczne blokowanie błędów międzyłańcuchowych wymagałoby głębokich zmian w oprogramowaniu portfeli. Wielu dostawców obawia się tego wysiłku – dopóki jakiś duży skandal ich do tego nie zmusi.

### Jak użytkownicy mogą się chronić?
Badanie przedstawia jasne zalecenia – a ja mogę potwierdzić z własnego doświadczenia, że działają.
- **Zawsze sprawdzaj łańcuch bloków** – przed zatwierdzeniem transakcji sieć (np. „Ethereum Mainnet” czy „BSC”) powinna być wyraźnie i nie do przeoczenia wyświetlana. Żadnego drobnego druku, żadnych ukrytych ustawień.
- **Wykonuj transakcje testowe** – zanim wyślesz większą kwotę, najpierw przetestuj małą sumę. Tak, to trochę czasu i kosztuje opłaty, ale lepiej stracić kilka dolarów niż wszystko.
- **Używaj portfeli sprzętowych** – wyświetlają pełny adres i sieć przed zatwierdzeniem transakcji. To daje tę małą dodatkową warstwę bezpieczeństwa.
- **Uważaj na phishing** – nigdy nie kopiuj adresów z nieznanych stron czy aplikacji. Jeśli coś wydaje się zbyt dobre, by było prawdziwe, to najprawdopodobniej tak jest.
- **Portfele wielopodpisowe** – przy dużych kwotach wymagaj kilku potwierdzeń. To więcej pracy, ale także więcej bezpieczeństwa.

### Wnioski: Społeczność krypto musi działać
Badanie USENIX jasno pokazuje jedno: błędne użycie adresu to jedna z największych nierozwiązanych luk w systemie bezpieczeństwa krypto. Podczas gdy oszuści stają się coraz bardziej pomysłowi, regulacje i rozwiązania techniczne pozostają w tyle. Dostawcy portfeli muszą przemyśleć swoje systemy – np. wprowadzając wyraźne ostrzeżenia w jaskrawoczerwonym kolorze, które jeszcze wyraźniej wyróżnią wybraną sieć.

Dla nas, użytkowników, najważniejsza pozostaje zasada: dokładność zamiast szybkości. Lepiej sprawdzić raz więcej niż raz za mało. Jak pokazują liczby, czasem jeden klik na „Wyślij” kończy się stratą setek tysięcy dolarów.