Um usuário de criptomoedas perdeu aproximadamente 100.000 USDT após transferir os fundos para um endereço de carteira semelhante, plantado no histórico de transações da vítima 66 dias antes.
Resumo
- Uma vítima perdeu aproximadamente 100.000 USDT em um ataque de envenenamento de endereço.
- O atacante plantou o endereço falso no histórico da carteira 66 dias antes da transferência.
- O USDT roubado foi convertido em cerca de 52,8 ETH, de acordo com a Cyvers.
- O envenenamento de endereço explora usuários que copiam endereços sem verificar a string completa de caracteres.
A Cyvers Alerts relatou em 11 de agosto que seu sistema de monitoramento detectou a perda depois que a vítima enviou fundos para um endereço controlado por um atacante.
Como o ataque de envenenamento de endereço de $100K se desenrolou
Cerca de 66 dias antes do roubo, o atacante enviou transações envolvendo a carteira da vítima, de acordo com a Cyvers. A atividade colocou um endereço malicioso no histórico de transações da carteira, onde aparecia semelhante a um endereço que a vítima havia usado para uma transferência normal.
Quando a vítima posteriormente preparou o pagamento de 100.000 USDT, a Cyvers disse que o usuário confiou no registro histórico sem comparar o endereço de destino completo. Os fundos consequentemente foram para o endereço semelhante em vez do destinatário pretendido.
O envenenamento de endereço não requer que um atacante obtenha uma chave privada, comprometa um contrato inteligente ou assuma o controle da carteira da vítima. Em vez disso, o método depende do comprimento e formato dos endereços de blockchain, que muitas carteiras e exploradores de blocos encurtam exibindo apenas seus primeiros e últimos caracteres.
Os atacantes geram endereços que correspondem às partes visíveis do endereço genuíno de um destinatário e então usam transferências pequenas ou de valor zero para colocar a imitação no registro de transações de um alvo. Um usuário que verifica apenas os caracteres de abertura e fechamento pode, portanto, selecionar a carteira do atacante, mesmo que as strings completas sejam diferentes.
No caso mais recente, a Cyvers atribuiu a perda à falha da vítima em verificar o endereço completo. A empresa de segurança aconselhou os usuários a não tratar o histórico de transações como uma lista de endereços confiável e recomendou verificar cada caractere antes de aprovar um pagamento on-chain.
Atacante converte USDT roubado em 52,8 ETH
Após a transferência, o atacante trocou o USDT roubado por Ethereum, relatou a Cyvers. A carteira receptora detinha aproximadamente 52,8 ETH quando a empresa de segurança publicou seu alerta.
A Cyvers disse que a conversão parecia projetada para reduzir o risco de que as stablecoins roubadas pudessem ser congeladas. O USDT é emitido pela Tether através de contratos inteligentes que permitem que endereços específicos sejam bloqueados, enquanto o ETH nativo não tem um emissor com uma função de congelamento equivalente.
A conversão também significa que o valor dos ativos do atacante pode mudar com o preço de mercado do ETH. A Cyvers não relatou qualquer recuperação, acordo de devolução ou intervenção de exchange em seu alerta inicial, nem a empresa identificou a vítima publicamente.
Nenhuma evidência citada no alerta sugeriu que uma falha na Tether, Ethereum ou no software da carteira da vítima causou a transferência. A Cyvers, em vez disso, descreveu o incidente como um ataque de engenharia social que usou um registro de endereço forjado para explorar os hábitos de pagamento da vítima.
Perdas por envenenamento de endereço chegaram a milhões
O incidente de $100.000 segue vários casos maiores envolvendo o mesmo método. Em fevereiro, crypto.news relatou anteriormente que dois usuários perderam um total combinado de $62 milhões depois de copiar endereços fraudulentos de seus históricos de transações.
A Scam Sniffer atribuiu cerca de US$ 50 milhões desse total a um incidente de dezembro de 2025, enquanto outra vítima perdeu aproximadamente US$ 12,25 milhões, ou cerca de 4.556 ETH na época, em janeiro de 2026. A empresa de segurança afirmou que os atacantes inseriram silenciosamente endereços semelhantes nos registros de atividades recentes de ambas as vítimas.
No caso de dezembro, um detentor de stablecoin primeiro enviou um pagamento de teste de 50 USDT para o destino correto. Um atacante então inseriu um endereço fraudulento no histórico com uma transação de poeira de 0,005 USDT, após a qual a vítima enviou erroneamente 49.999.950 USDT para o endereço envenenado.
Os ativos roubados foram convertidos em ETH e distribuídos em várias carteiras, de acordo com um relatório anterior sobre o roubo. A vítima posteriormente ofereceu ao atacante uma recompensa de US$ 1 milhão pela devolução dos fundos restantes e ameaçou envolver a aplicação da lei internacional.
Os baixos custos de transação também tornaram as campanhas automatizadas de envenenamento mais baratas de operar. A Scam Sniffer disse em fevereiro que milhões de transações de poeira estavam sendo enviadas diariamente, com muitas criadas para se preparar para possíveis roubos futuros, em vez de mover fundos entre usuários genuínos.
Em março, um usuário de stablecoin relatou ter recebido 89 alertas de envenenamento em 30 minutos após concluir apenas duas transferências legítimas. O ex-CEO da Binance, Changpeng Zhao, posteriormente criticou os exploradores de transações que continuavam a exibir as entradas maliciosas.
Legisladores dos EUA propuseram uma força-tarefa contra fraudes em criptomoedas
Para usuários dos EUA, o envenenamento de endereço se enquadra em uma categoria crescente de fraudes em ativos digitais que os legisladores têm procurado abordar por meio da coordenação entre agências. As senadoras Elissa Slotkin e Jerry Moran introduziram a Lei Bipartidária de Fortalecimento de Estruturas de Agências para Execução de Criptomoedas, conhecida como Lei SAFE Crypto, em 2025.
De acordo com os patrocinadores do projeto, a legislação proposta estabeleceria uma força-tarefa federal focada em identificar, monitorar e prevenir golpes com criptomoedas. Seus membros incluiriam representantes de agências governamentais, aplicação da lei, empresas de ativos digitais, emissores de stablecoins, empresas de inteligência de blockchain e organizações de proteção ao consumidor.
A proposta abrange várias formas de crime cripto, incluindo fraude de investimento, lavagem de dinheiro, esquemas Ponzi, puxadas de tapete e vendas fraudulentas de tokens. Os patrocinadores disseram que a força-tarefa examinaria padrões de golpes e melhoraria a coordenação entre autoridades federais e especialistas do setor privado.
O projeto não cria um programa de reembolso para usuários que autorizam erroneamente transferências irreversíveis. Como cobertura anterior explicou, a força-tarefa proposta se concentraria em detecção, interrupção e cooperação entre agências e participantes da indústria.
Verificações completas de endereço podem expor registros envenenados
A Cyvers aconselhou os usuários a comparar endereços de carteira completos em vez de confiar em registros abreviados em históricos de transações. Para grandes transferências, especialistas em segurança também recomendam confirmar o destino por meio de um canal de comunicação separado e enviar uma pequena quantia de teste antes de mover o saldo restante.
Um pagamento de teste por si só pode não prevenir um ataque de envenenamento, como demonstrou o roubo de dezembro de 2025. Como um atacante pode inserir um endereço semelhante imediatamente após o teste, o remetente deve verificar se o endereço usado para a transferência principal é idêntico ao usado para a transação de teste.
Listas de permissão de endereços podem adicionar outra verificação, limitando retiradas a destinos aprovados antecipadamente. Carteiras de hardware também podem exibir detalhes da transação antes de assinar, embora os usuários ainda devam ler e comparar o destino mostrado no dispositivo.
Interfaces de carteira e exploradores de blockchain começaram a filtrar entradas suspeitas, mas as proteções variam por plataforma. Um relatório de março descobriu que o Etherscan ocultava transferências de valor zero por padrão, enquanto BscScan e Basescan exigiam que os usuários ativassem uma opção de "ocultar transações de valor 0" para remover tais registros da vista.
