Отравление адреса в TRON: как двойник попадает в историю

Как это выглядит

Вы регулярно переводите USDT одному и тому же получателю: поставщику, бирже, коллеге. Однажды в истории кошелька появляется ещё одна строка — перевод на 0 USDT или на несколько центов. Адрес в ней начинается и заканчивается так же, как адрес вашего получателя: те же первые четыре и последние четыре символа. Середина другая, но кошелёк её обычно сокращает до многоточия.

Через день или неделю вы снова платите тому же человеку, открываете историю, копируете «его» адрес из последней строки — и отправляете деньги мошеннику.

Почему адрес-двойник так легко подделать

Адрес TRON состоит из 34 символов. Подобрать адрес, у которого совпадают первые и последние 4–5 символов, обычный компьютер может за часы. Мошенникам не нужен ваш ключ и не нужна ваша подпись: блокчейн публичен, поэтому они видят, кому вы платите, и создают двойника именно для этого получателя.

Двойник попадает в историю тремя способами:

• Пыль. Крошечная сумма TRX или USDT с адреса-двойника на ваш.
• Перевод на 0 USDT. Контракт USDT позволяет вызвать перевод нулевой суммы от чужого имени без разрешения. В обозревателе это выглядит так, будто вы сами отправили 0 USDT двойнику.
• Поддельный токен. Токен с названием «USDT» на чужом контракте. Строка в истории выглядит как настоящий платёж.

Кого выбирают целью

Чаще всего тех, кто переводит крупные суммы одним и тем же адресам: продавцов и покупателей на внебиржевых сделках, бухгалтеров, кассиров обменников, тех, кто регулярно пополняет биржевой счёт. Чем крупнее и регулярнее ваши переводы, тем выгоднее мошеннику потратиться на двойника и пыль.

Три привычки, которые защищают

1. Адресная книга вместо истории. Сохраните проверенный адрес получателя в адресной книге кошелька с понятной подписью. Отправляйте только из книги. История операций — не список контактов.
2. Сверка всех символов. Если адрес приходится вставлять, сверяйте его целиком, а не начало и конец. Удобнее всего — QR-код, который получатель показывает со своего устройства, или сообщение от него в другом канале.
3. Пробный перевод и проверка. Перед крупной суммой отправьте небольшую и попросите получателя подтвердить поступление. Новый адрес проверьте в GuardPay /check: адрес, который живёт несколько дней и рассылает пыль десяткам чужих кошельков, — повод остановиться.

Что делать, если двойник уже в истории

Ничего не отправляйте на этот адрес, даже «вернуть пыль». Скройте строку или токен, если кошелёк это позволяет, и временно не копируйте адреса из истории. Предупредите тех, с кем часто рассчитываетесь: им тоже могли подбросить двойника.

Если перевод на двойника уже ушёл, действуйте быстро: проследите, куда пошли деньги, пока они не растворились в обменниках. Как это сделать, разобрано в статье «Обманули в TRON: что делать в первые часы».

Для компаний

Платежи с общего кошелька подписывайте только на адреса из заранее утверждённого списка. Адрес в список попадает из договора или подписанного сообщения контрагента, но не из истории операций. Один человек готовит перевод, второй сверяет адрес целиком. Сокращённые адреса вида «TXy…4k7» в таблицах и чатах — именно та форма, на которую рассчитано отравление.