Nullwert-Phishing: Adressvergiftung ohne Token

Zero-Value-Transfer-Phishing: Die Address-Poisoning-Variante, die keine Token verschiebt

• Die Benutzeroberflächen moderner Kryptowährungs-Wallets basieren auf einem einzigen, höchst logischen Prinzip: Bequemlichkeit. Um Benutzern die Navigation in der Landschaft langer, komplexer hexadezimaler öffentlicher Adressen mit 42 Zeichen zu erleichtern, haben Wallet-Entwickler ihre Layouts optimiert. Sie verkürzen diese verwirrenden Buchstaben- und Zahlenfolgen und zeigen nur die ersten und letzten Zeichen einer Adresse im Transaktionsverlauf des Benutzers an.

Diese UI-Wahl löste einen großen Designkonflikt, führte aber auch zu einer massiven kognitiven Schwachstelle.

• Da der Mensch ein Gewohnheitstier ist, hat fast jeder aktive Web3-Teilnehmer eine höchst gefährliche Abkürzung übernommen. Beim Senden einer wiederkehrenden Transaktion an einen Freund, eine Einzahlungsadresse an der Börse oder ein persönliches Cold-Storage-Konto müssen nicht alle 42 Zeichen manuell eingegeben oder überprüft werden. Stattdessen navigieren sie zu ihrem aktuellen Transaktionsverlauf, suchen nach einer früheren Übertragung an diesen Kontakt, kopieren die Zieladresse und fügen sie in die Sendeoberfläche ein.

Cyberkriminelle haben diese Gewohnheit systematisch zu einer der am weitesten verbreiteten, hochautomatisierten Drainer-Mechaniken in Web3 gemacht: Zero-Value-Transfer-Phishing, allgemein bekannt als Adressvergiftung.

• Im Gegensatz zu Standard-Phishing-Angriffen, die einen kompromittierten privaten Schlüssel oder einen böswilligen Schlüssel erfordern intelligenter Vertrag -Signatur, Adressvergiftung erfordert nicht, dass Sie Ihr Wallet mit einer dubiosen Website verbinden oder eine verdächtige Genehmigungsnachricht unterschreiben. Der Angriff erfolgt vollständig in der Kette und nutzt die Kernmechanismen des ERC-20-Token-Standards, um Ihren Transaktionsverlauf mit einer Phantomadresse zu „vergiften“, die fast identisch mit Ihren vertrauenswürdigsten Kontakten aussieht.

• Um zu verstehen, warum Address Poisoning so effektiv ist, müssen wir uns zunächst ansehen, wie Menschen komplexe kryptografische Daten verarbeiten. Eine Standard-EVM-Adresse (Ethereum Virtual Machine) ist eine rohe, nicht prüfsummende hexadezimale Zeichenfolge mit 40 Zeichen, der zur Angabe des Formats ein „0x“ vorangestellt ist. Es sieht so aus:

0x71C5656123456789ABCDEF0123456789ABCDEF67

Für ein menschliches Gehirn hat diese Zeichenfolge keine native semantische Bedeutung. Es enthält keine erkennbaren Wörter, phonetischen Strukturen oder logischen Muster.

• Angesichts dieser kognitiven Mauer sucht unser Gehirn auf natürliche Weise nach Abkürzungen. Wir schauen uns die ersten vier bis sechs Zeichen nach dem Präfix an, um uns zu orientieren, und überprüfen dann die letzten vier bis sechs Zeichen, um sicherzustellen, dass wir das richtige Ziel haben. Wenn wir sehen 0x71C5...EF67 auf unserem Bildschirm gehen wir sofort davon aus, dass der gesamte mittlere Teil der Adresse korrekt ist.

• Diese Abkürzungen-zuerst-Angewohnheit ist genau die psychologische Lücke, die durch Adressvergiftung ausgenutzt wird. Betrüger generieren Millionen von Dummy-Adressen, bis sie eine finden, die perfekt zum Präfix und Suffix Ihres Zielkontakts passt.

• Indem sie diese ähnliche Adresse direkt in Ihren Transaktionsverlauf einfügen, stellen sie eine unsichtbare Falle. Wenn Sie das nächste Mal einen routinemäßigen Kopier- und Einfügevorgang aus Ihrem aktuellen Verlauf ausführen, kopieren Sie die gefälschte Adresse des Angreifers anstelle Ihres legitimen Ziels.

2. Was ist ein Zero-Value-Transfer-Angriff?

Der eleganteste und erschreckendste Aspekt dieses Exploits ist dieser Der Angreifer benötigt nicht Ihre Erlaubnis, um Transaktionen in Ihr Hauptbuch zu schreiben. Sie nutzen ein spezifisches Implementierungsdetail im standardisierten Code der meisten ERC-20-Token: das Nullwert-Transferkonto.

In der standardmäßigen ERC-20-Token-Spezifikation definieren Smart Contracts, wie Token zwischen Konten übertragen werden. Die beiden Hauptfunktionen zum Verschieben von Token sind:

• transfer(to, value): Verschiebt eine bestimmte Menge an Token von der Adresse des Anrufers zur Adresse des Empfängers.

• transferFrom(from, to, value): Ermöglicht einem Vertrag oder einer Adresse eines Dritten, Token in Ihrem Namen zu verschieben, sofern Sie ihm zuvor eine Ausgabenvergütung gewährt haben.

Unter normalen Betriebsbedingungen, wenn eine Adresse versucht anzurufen transferFrom Wenn Sie ohne Ihre Erlaubnis Tokens aus Ihrem Wallet entfernen, wird die Transaktion sofort mit der Fehlermeldung „Unzureichende Anzahlung“ rückgängig gemacht.

• Allerdings erzwingen viele große Token-Implementierungen (einschließlich bekannter Stablecoins wie USDT und USDC) keine Zulassungsprüfungen, wenn der Wertparameter auf „Exact“ eingestellt ist 0.

• Da sich durch die Übertragung von Null-Tokens keine Salden ändern, ermöglicht der Smart Contract die erfolgreiche Ausführung der Transaktion, ohne dass kryptografische Signaturen oder Ausgabengenehmigungen von Ihrem Konto erforderlich sind.

Die Transaktion wird in der Kette abgebaut, das Gas wird vom Angreifer bezahlt und der Vertrag gibt einen Standard ab Transfer -Ereignis.

Dieses Ereignisprotokoll teilt dem Netzwerk mit, dass eine Übertragung von null Token von Ihrer Adresse an ein bestimmtes Ziel stattgefunden hat.

3. Der Vanity-Adressgenerator: Die Illusion erschaffen

• Damit die Nullwertübertragung überzeugend aussieht, muss der Angreifer eine ähnliche Adresse generieren, die einen Ihrer Hauptkontakte nachahmt. Dies erreichen sie mithilfe einer speziellen, GPU-beschleunigten Software, die als a bezeichnet wird Vanity-Adressgenerator.

Mithilfe von Arrays aus Hochleistungs-Grafikkarten führen Angreifer schnelle mathematische Prüfungen durch, um öffentliche Schlüssel zu schürfen.

• Sie definieren ein Zielpräfix und -suffix (zum Beispiel die Übereinstimmung der ersten sechs Zeichen und der letzten sechs Zeichen Ihrer persönlichen Exchange-Einzahlungsadresse) und lassen die GPUs laufen, bis sie eine Übereinstimmung erreichen.

• Da die Schwierigkeit beim Mining einer Vanity-Adresse exponentiell mit der Anzahl der übereinstimmenden Zeichen zunimmt, ist es praktisch unmöglich, einen gesamten 40-Zeichen-Hash abzugleichen.

Das Abgleichen nur der äußeren Sequenzen ist jedoch unglaublich schnell und kostengünstig.

• Innerhalb weniger Sekunden kann ein Hochleistungs-GPU-Cluster eine Adresse generieren, die mit beginnt 0x71C5 und endet mit EF67, während die mittleren 28 Zeichen völlig anders bleiben.

Für einen Benutzer, der seine letzten Transaktionsprotokolle auf einer mobilen Geldbörse scannt, sieht die gefälschte Adresse absolut identisch mit seinem echten Konto aus.

4. Tabelle 1: Aufbau einer gefälschten Adresse

Um deutlich zu veranschaulichen, wie subtil die Unterschiede zwischen einer legitimen Adresse und einer vergifteten Vanity-Adresse sind, betrachten Sie diesen Vergleich ihrer Strukturelemente:

Adresstyp	Visuelles Adresslayout
Legitimierter Kontakt	Beginnt mit passender äußerer Sequenz; Die mittleren Charaktere sind völlig einzigartig.
Vergiftete Kopie	Imitiert die exakte äußere Sequenz; verwendet zufällige interne Zeichen.

5. Schritt-für-Schritt-Durchführung einer Address-Poisoning-Kampagne

Adressvergiftung ist ein hochautomatisierter, industrialisierter Vorgang. Angreifer zielen nicht manuell auf einzelne Einzelhandels-Wallets ab; Sie setzen Hochgeschwindigkeits-Überwachungsskripte ein, die öffentliche Block-Explorer und die Mempools der wichtigsten Blockchains in Echtzeit scannen.

So läuft eine typische Kampagne ab:

Schritt 1: Passive Überwachung

• Das automatisierte Skript des Angreifers überwacht die Transaktionsflüsse von Token mit hohem Volumen (insbesondere Stablecoins wie USDT und USDC) in günstigen Netzwerken mit hohem Durchsatz wie Polygon, BNB Chain, Arbitrum und Base.

• Sie suchen nach aktiven Wallets, die regelmäßig Überweisungen großer Beträge an dieselben Zieladressen durchführen (z. B. wenn ein Benutzer Geld von seinem persönlichen Hot Wallet auf ein Binance- oder Coinbase-Einzahlungskonto überweist).

Schritt 2: Schnelles Vanity-Adressen-Mining

Sobald das Skript ein Ziel-Wallet und seinen häufigen Zielkontakt identifiziert, extrahiert es die äußeren Zeichen der Adresse des Kontakts.

Es speist diese Zeichen in eine lokale Vanity-Mining-Engine ein und generiert innerhalb von Sekunden eine gefälschte Adresse, die dem Präfix und Suffix des Kontakts entspricht.

Schritt 3: Auslösen des Nullwertprotokolls

Der Vertrag des Angreifers ruft den Smart Contract des Tokens auf und führt a aus transferFrom -Aufruf mit folgenden Parametern:

• Von: Die Adresse des Opfers.

• An: Die neu ermittelte, gefälschte Vanity-Adresse.

• Wert: Genau 0.

Da der Wert Null ist, umgeht die Transaktion die Standardsignaturprüfung und wird auf dem ausgeführt Blockchainund zeichnet ein Übertragungsereignis im öffentlichen Hauptbuch auf.

Schritt 4: Die visuelle Vergiftung

Das Opfer öffnet seine mobile Geldbörse oder überprüft seinen Verlauf in einem Block-Explorer, um eine neue Übertragung zu initiieren.

Weil Wallets die öffentlichen Hauptbücher analysieren Transfer -Ereignisse zur Anzeige aktueller Transaktionen und der Aktualisierungen der Benutzeroberfläche des Opfers.

Es zeigt jetzt eine kürzliche Übertragung von 0 Token an eine Adresse, die mit genau den erwarteten Zeichen beginnt und endet.

Schritt 5: Die versehentliche Liquidation

Das Opfer muss seine nächste echte Token-Übertragung durchführen.

• Anstatt die Adresse aus einem sicheren Adressbuch zu kopieren oder ihren ursprünglichen Einzahlungslink auszugraben, klicken sie auf die oberste Transaktion in ihrem Verlauf, kopieren die Zieladresse (die eigentlich die Vanity Wallet des Angreifers ist) und fügen sie in ihr Überweisungsfenster ein.

• Sie autorisieren die Transaktion, senden ihre echten Token und die Vermögenswerte werden sofort und ohne Chance auf Wiederherstellung direkt an die sichere Brieftasche des Angreifers weitergeleitet.

6. Mechanik von Nullwertprotokollen auf EVM-Ebene

• Um zu verstehen, warum dieser Exploit erfolgreich auf großen Blockchains weit verbreitet ist, müssen wir uns ansehen, wie die EVM Ereignisprotokolle verarbeitet und wie Wallets diese Daten in ihren Benutzeroberflächen anzeigen.

Wann ein intelligenter Vertrag ausgeführt wird, kann es strukturierte Nachrichten namens schreiben Protokolle direkt in den Transaktionsbeleg eintragen.

• Diese Protokolle werden in einem speziellen Zustandsbaum innerhalb der Blockchain zusammengestellt, sodass externe Anwendungen (wie Indexer und Wallets) Transaktionsaktivitäten einfach lesen und anzeigen können, ohne den gesamten globalen Zustand des Netzwerks zu scannen.

Für einen ERC-20-Token ist ein Übertragungsereignis wie folgt aufgebaut:

event Transfer(address indexed from, address indexed to, uint256 value)

Die Das Schlüsselwort indexed weist das EVM an, diese spezifischen Parameter in einem hoch durchsuchbaren Format namens „ Themen.

• Wenn eine Wallet-App Ihren Transaktionsverlauf lädt, berechnet sie Ihren Kontostand nicht durch Crawlen jedes Blocks. Es fragt einfach einen Indexer (z. B. Etherscan oder Alchemy) ab Transfer protokolliert, wo Ihre Adresse entweder mit Thema 1 übereinstimmt (from) oder Thema 2 (to).

• Weil die Nullwerttransaktion erfolgreich ein gültiges ausgibt Transfer Melden Sie sich mit Ihrer Adresse an from Thema, der Indexer zeichnet es als echte Transaktion auf, die zu Ihrem Wallet-Verlauf gehört.

• Wenn Ihr mobiles Wallet den Indexer abfragt, empfängt er dieses Protokoll und zeigt es als eine kürzlich ausgehende Transaktion an und formatiert es mit dem verkürzten, benutzerfreundlichen Layout.

Das EVM hat genau das getan, wofür es programmiert war, und der Indexer hat die Wahrheit gemeldet – aber die resultierende UI-Anzeige erzeugt eine gefährliche Illusion.

7. Tabelle 2: Echte vs. gefälschte Transaktionsprotokolle

Das Verständnis der wesentlichen Unterschiede in der Art und Weise, wie sich tatsächliche Transaktionen und Spoof-Transaktionen mit Nullwert im Hauptbuch manifestieren, ist der Schlüssel zur Identifizierung eines laufenden Vergiftungsversuchs:

Protokolltyp	Transaktionswert
Realvermögensübertragung	Trägt eine positive Ganzzahl, die die tatsächliche Token-Menge darstellt.
Nullwert-Parodie	Registriert genau Null; Der Angreifer zahlt nominelles Gas.

8. Fallstudien aus der Praxis: Die Kosten eines falschen Klicks

• Das reale Ausmaß der Adressvergiftung ist enorm. Da die Kosten für die Ausführung von Nullwerttransfers in modernen Layer-2-Netzwerken mit hohem Durchsatz extrem niedrig sind (oft kostet sie weniger als einen Cent Gas pro Transaktion), können Angreifer diese Vergiftungskampagnen kontinuierlich durchführen und dabei täglich Millionen von Wallets ins Visier nehmen.

Mitte 2023 wurde ein hochkarätiger Kryptowährungswal Opfer einer äußerst gezielten Adressvergiftungskampagne im Ethereum-Netzwerk.

• Das Opfer war ein Stammgast DeFi -Betreiber, der häufig große Stablecoin-Tranchen von seinem primären Wallet an eine sekundäre Kühlhausadresse verschoben hat.

• Das automatisierte System des Angreifers bemerkte dieses Muster, ermittelte eine Vanity-Adresse, die den äußeren zwölf Zeichen der Cold-Storage-Wallet entsprach, und führte eine Nullwertübertragung durch.

Am nächsten Tag leitete der Wal einen Transfer von ein 20 Millionen US-Dollar in USDT.

Sie eilten ihrer Standardroutine nach, öffneten ihre letzten Transaktionsprotokolle, kopierten die Top-Adresse und autorisierten die Übertragung.

Weil sie die manipulierte Vanity-Adresse kopierten, wurden die 20 Millionen Dollar direkt an den Angreifer weitergeleitet.

• Trotz verzweifelter Bemühungen, die Stablecoin-Emittenten zu kontaktieren und eine Rettung zu koordinieren, wurden die Gelder systematisch aufgeteilt und dezentral gewaschen kettenübergreifend Mischer, was eine Wiederherstellung unmöglich macht.

Dies ist kein Einzelfall.

• Sicherheitstelemetrieberichte weisen darauf hin, dass Adressvergiftungskampagnen dafür verantwortlich sind Verluste in zweistelliger Millionenhöhe pro Jahr, angetrieben durch das schiere Ausmaß der automatisierten Kampagnen, die in Niedriggasnetzen laufen.

9. Aktive Abwehr: Schützen Sie Ihr Portemonnaie vor Phantomprotokollen

• Da Address Poisoning vollständig in der Kette erfolgt, ohne dass Ihre Signatur oder Interaktion erforderlich ist, können Sie Angreifer nicht daran hindern, Nullwertübertragungen an Ihre Adresse zu senden.

Sie können sich jedoch völlig immun gegen den Angriff machen, indem Sie die Art und Weise ändern, wie Sie Ihre Zieladressen verwalten.

Um Ihr Vermögen vor diesen Phantomtransaktionen zu schützen, implementieren Sie die folgenden wichtigen Abwehrmaßnahmen:

Die Adressbuchregel

Kopieren Sie niemals und unter keinen Umständen eine Zieladresse direkt aus Ihrem Transaktionsverlauf.

• Wenn Sie häufig Geld auf dieselben Konten senden, verwenden Sie die integrierte Funktion Ihres Wallets Adressbuch -Funktion (verfügbar in Wallets wie Rabby und MetaMask), um diese Adressen unter benutzerdefinierten, verifizierten Namen zu speichern.

Wählen Sie beim Durchführen einer Übertragung den Kontakt direkt aus Ihrer gespeicherten Liste aus.

Überprüfen Sie die mittleren Zeichen noch einmal

Wenn Sie eine Adresse aus einer früheren Transaktion kopieren müssen, verlassen Sie sich nicht auf das Präfix und Suffix.

Überprüfen Sie manuell die Zeichen in der Mitte der Adresszeichenfolge.

Schon die Überprüfung von drei oder vier Zeichen in der Mitte der Adresse reicht aus, um eine vergiftete Vanity-Adresse sofort zu erkennen, da Angreifer die internen Zeichen des Hashs nicht zuordnen können.

Nutzen Sie kleine Testtransaktionen

Wenn Sie größere Kapitalbeträge an eine neue oder selten genutzte Adresse verschieben, führen Sie immer zuerst eine kleine Testtransaktion mit geringem Wert durch.

Stellen Sie sicher, dass die Testüberweisung erfolgreich am richtigen Ziel ankommt, bevor Sie den Restbetrag senden.

Sobald das Ziel bestätigt ist, speichern Sie die Adresse sofort in Ihrem Adressbuch, um ein erneutes Kopieren und Einfügen in Zukunft zu vermeiden.

Nutzen Sie Web3-Domänen und -Aliase

Verwendung dezentraler Domänensysteme wie ENS (Ethereum Name Service) oder Objektiv kann das Risiko von Copy-Paste-Fehlern erheblich reduzieren.

Senden von Geldern an einen für Menschen lesbaren Domainnamen (z. B alice.eth) ist viel einfacher zu überprüfen als das Scannen roher hexadezimaler Zeichenfolgen.

Stellen Sie jedoch sicher, dass Sie noch einmal überprüfen, ob die Domain nicht abgelaufen ist, und das Problem über einen vertrauenswürdigen Anbieter lösen, bevor Sie große Beträge senden.

10. Verifizierung und On-Chain-Telemetrie über DEXTools

• In der modernen Hochgeschwindigkeits-Web3-Umgebung ist die Aufrechterhaltung einer aktiven Sichtbarkeit Ihrer Transaktionen und Liquiditätspools von entscheidender Bedeutung. Wenn Sie trendige Altcoins handeln oder an neu eingerichteten dezentralen Finanzpools teilnehmen, sind Sie durch das Kopieren und Einfügen von Adressen aus rohen Chat-Protokollen, Social-Media-Beiträgen oder Transaktionsverläufen extremen Front-Running- und Adressvergiftungsrisiken ausgesetzt.

• DEXTools bietet die entscheidende analytische Telemetrie in Echtzeit, die zur Überprüfung der Authentizität eines Tokens oder Liquiditätspools erforderlich ist, bevor Sie eine Übertragung autorisieren. Durch direkte Eingabe der Vertragsadresse eines Zielvermögenswerts in das erweiterte Formular DEXTools Pair Explorerkönnen Sie die On-Chain-Daten sofort überprüfen:

• Verifizierte Vertragsprüfungen: Überprüfen Sie sofort, ob der Smart Contract des Tokens verifiziert ist, und überprüfen Sie automatisierte Sicherheitsbewertungen, die versteckte Übertragungsbeschränkungen oder böswillige Minting-Hintertüren aufdecken.

• Live-Transaktionsgeschwindigkeit: Überwachen Sie die aktiven Kauf- und Verkaufsaufträge, die im Pool ausgeführt werden, in Echtzeit. Wenn ein Token keine organische Transaktionshistorie aufweist oder stark strukturierte, künstliche Bot-Muster aufweist, kann es sich um einen Honeypot-Betrug handeln.

• Liquiditätspool-Analyse: Überprüfen Sie die genaue Tiefe und den Sperrstatus der zugrunde liegenden Liquiditätspools. Durch die Sicherstellung, dass die Liquidität gesperrt ist, wird verhindert, dass Entwickler nach dem Kauf Rug-Pull-Betrug begehen.

Mit dieser Durchblick-Telemetrie können Sie sich absolut sicher im dezentralen Raum bewegen und Ihre hart erarbeiteten digitalen Assets sowohl vor Front-End-Phishing-Kampagnen als auch vor On-Chain-Poisoning-Fallen schützen. 

Sie können auf DEXTools zugreifen hier und beginnen Sie noch heute mit dem Handel!

Krypto ist in großer Angst, während neue Token zu 100 % ansteigen. Live-Daten zeigen, wie wenige pro Woche durchhalten Krypto prägt mehr als 40.000 neue Token pro Tag und die meisten verfügen über fast keine Liquidität Was ist ENS: Ethereum Name Service, Wallet-Namen und Web3-Identität (2026) So verwenden Sie BscScan: Verfolgen Sie BNB-Kettentransaktionen, Token und Verträge (2026)