Dolandırıcılar Ethereum (ETH) Genesis Cüzdanına Sahte Adreslerden Toz Saldırısı Düzenledi

Genesis Cüzdanı 11,3 Yıl Sonra 2.154,94 ETH Taşıdı

Ethereum (ETH) ağının 2015 tarihli genesis bloğundan kalan, 11 yıldır sessiz duran bir cüzdan, ilk giden ödemesini yaptığı dakikalar sonra dolandırıcıların hedefi oldu; ama sahibi yine de tüm birikimini doğru adrese taşımayı başardı. Zincir üstü kayıtlara göre adres, Ethereum'un Temmuz 2015'teki genesis bloğunda ilk ether'ini aldı ve Mart 2016'da 755 ETH daha ekledi; sonrasında pazartesi gecesine dek hiçbir işlem yapmadı. 9 Kasım'da saat 22:04 UTC'de cüzdan, 0x1321beb8 ile başlayıp 1A44 ile biten yeni bir alıcı adresine 0,05 ETH tutarında, o anki piyasa fiyatıyla yaklaşık 106 dolarlık bir deneme ödemesi gönderdi. Bu, cüzdanın kayıtlardaki ilk giden transferiydi ve 106 dolarlık küçük tutar, işlemin gerçek bir ödeme değil bir kontrol işlemi olarak yapıldığını ele veriyordu. Dakikalar içinde iki taklit adres eski cüzdana küçük miktarlarda ETH göndermeye başladı: biri 0x13211f, diğeri 0x1321FB ile başlıyor, ikisi de 1A44 ile bitiyordu. Uykudaki kripto cüzdanı o akşam zaten dikkat çekmişti: Whale Alert'in zincir üstü uyarısı, adresi 11,3 yıl sonra yeniden aktifleşen bir pre-mine adresi olarak işaretlemişti; bu paylaşım 9 Kasım'ın geç saatlerinde yapıldı. Etherscan, iki taklit adresi de besleyen hesapları “Fake_Phishing” diye etiketliyor; daha aktif olanı genesis adresine 43 ayrı toz ödemesi gönderdi. Saat 22:20 UTC'de yeni cüzdan 0,01 Ethereum (ETH) çıkardı ve bunun neredeyse tamamı üç dakika sonra geri döndü. Ardından, ilk deneme ödemesinden 38 dakika sonra saat 22:42 UTC'de eski cüzdan, o andaki Ethereum fiyatı düzeyinde yaklaşık 4,6 milyon dolar değerindeki 2.154,94 ETH'nin tamamını gerçek alıcıya taşıdı; bu işlem zincir üstü işlem kaydında görülüyor. Sahibi taklit girdileri baştan sona yok saydı, genesis cüzdanında yaklaşık 0,0004 ETH bıraktı ve 2.155 ETH'ye yakın bakiyenin tamamını doğru adrese gönderdi. 0x1321FB taklidi saat 23:03 UTC'de yeniden gönderdi; boşalan adrese baskıyı sürdürdü.

Adres Zehirlemesi Kısaltılmış Adresleri Nasıl Sömürüyor

Toz saldırılarının arkasındaki yöntem adres zehirlemesi: cüzdanların uzun karakter dizilerini kısaltarak gösterme alışkanlığı bir saldırı yüzeyine dönüşüyor. Bir cüzdan adresinin 42 karakterinin tamamını göstermek yerine çoğu arayüz, 0x6D90...2E48 gibi kısaltılmış bir biçim sunar; çünkü uzun dizi göz atarken okunabilir değildir. Saldırganlar, hedefin gerçek iletişim adresinin ilk ve son karakterleriyle eşleşen bir kombinasyon bulana dek milyonlarca üretilmiş adresi tarar; sonra toz ya da sıfır değerli bir işlem göndererek sahte girdiyi kurbanın yakın işlem geçmişine yerleştirir. Zehir işlediğinde sahte adres, kullanıcının panosuna tek bir kopyalama komutu uzaklıktadır; sıfır değerli transferler saldırgana neredeyse hiçbir maliyet çıkarmadığı için yöntem ölçeklenebiliyor. Kullanıcı bir sonraki ödeme için o girdiyi kopyalarsa para saldırgana gider ve Ethereum (ETH) transferleri geri alınamaz. Son vakalar, kopyalama adımının kaçırıldığında bedelin ne olduğunu gösteriyor: Aralık 2025'te bir yatırımcı, 50 dolarlık deneme ödemesinin hemen ardından işlem geçmişine kod enjekte edilen bir saldırıyla yaklaşık 50 milyon dolarlık USDT kaybetti. Ocak 2026'da bir kurban, saldırganın kontrolündeki bir adrese 4.556 ETH, yani yaklaşık 12,25 milyon dolar gönderdi; Şubat'ta ise başka bir kullanıcı 600.000 dolar kaybetti. Hacim, ağ istatistiklerini bile çarpıtacak boyutta: izleme verileri, Ethereum üzerindeki zehirleme denemelerinin günde bir milyonun üzerine çıktığını gösteriyor. Citi, Ocak ayında spam işlemlerin Ethereum'un rekor işlem sayılarını şişirdiğini, ek transferlerin çoğunun 1 doların altında kaldığını uyarısıyla belirtmişti. Depolama tercihi de sorunu çözmiyor: genesis birikimi on yıldan uzun süre hiç dokunulmadan durdu, fiilen bir soğuk cüzdan konumundaydı; ama risk, transferin yapıldığı, alıcı adresin karakter karakter doğrulanması gereken anda ortaya çıktı. COINOTAG'ın Ethereum nasıl kullanılır rehberi, işlemin imzalanmasından önce alıcıyı kontrol etmeyi anlatıyor.

Asıl çarpıcı ayrıntı üç dakikalık tepki süresi: toz saldırısı, 0,05 ETH'lik deneme ödemesini baz aldı; büyük sahiplerin alıcıyı doğrulamak için yaptığı tam da bu adım. Yani adres zehirleme operasyonları zinciri gerçek zamanlı izliyor. Bu sahip kontrolü geçti, ama zincir üstü kayıt zayıf noktayı açık bırakıyor. 1A44 ile biten üçüncü bir taklit adres, salı günü saat 03:36 ve 03:49 UTC'de sıfır değerli transferler gönderdi; söz konusu cüzdan ise artık yaklaşık 0,0004 ETH tutuyor. Bir donanım cüzdanı da bu risk sınıfını tek başına çözmüyor; zehirlenmiş bir yapıştırma, çevrimdışı anahtar depolamayı onay ekranında etkisiz bırakıyor. İşe yarayan kontrol, tam adresin karakter karakter doğrulanması. Olay, SlowMist'in Ethereum (ETH) kullanıcılarını GitHub üzerinden yayılan bir Swarm tedarik zinciri saldırısı hakkında uyarmasının da üzerinden birkaç hafta sonra yaşandı.