کلاهبرداری Address Poisoning چیست و چطور آدرس‌های جعلی را تشخیص دهیم؟

تصور کنید می‌خواهید مبلغی تتر یا اتریوم را به صرافی یا کیف‌پول دیگر خود انتقال دهید. برای راحتی کار، به تاریخچه تراکنش‌های اخیر خود در تراست‌ولت یا متامسک می‌روید، آخرین آدرس دریافتی را کپی می‌کنید و تراکنش را ارسال می‌کنید. چند دقیقه بعد متوجه می‌شوید که دارایی شما هرگز به مقصد نرسیده است. شما قربانی یکی از هوشمندانه‌ترین و بی‌سروصدا‌ترین روش‌های سرقت کریپتو یعنی مسموم‌سازی آدرس (Address Poisoning) شده‌اید.

در این حمله، هیچ بدافزاری روی سیستم شما نصب نشده و کیف‌پول شما هم هک نشده است؛ بلکه هکر از یک خطای شناختی بسیار رایج میان کاربران کریپتو سوءاستفاده کرده است: بررسی چشمیِ صرفاً چند کاراکتر اول و آخر آدرس. در این مقاله تخصصی از تیم امنیتی کوروکس، ابعاد فنی این حمله را کالبدشکافی کرده و راهکارهای عملیاتی برای خنثی‌سازی آن را ارائه می‌دهیم.

---

جدول مقایسه مسموم‌سازی آدرس با سایر حملات سایبری کریپتو

برای درک بهتر جایگاه این حمله در میان سایر تهدیدات امنیتی، جدول مقایسه‌ای زیر را به دقت بررسی کنید:

معیار مقایسه	مسموم‌سازی آدرس (Address Poisoning)	بدافزار سرقت کلیپ‌بورد (Clipboard Hijacker)	حملات داستینگ (Dusting Attack)	فیشینگ سنتی (Phishing)
مکانیسم اصلی	ارسال تراکنش‌های صفر یا ناچیز برای ثبت آدرس جعلی در تاریخچه	تغییر آدرس کپی‌شده در حافظه موقت سیستم به‌صورت آنی	ارسال مقادیر بسیار ریز کوین برای ردیابی و هویت‌سنجی	طراحی صفحات جعلی یا قراردادهای هوشمند مخرب برای گرفتن دسترسی
نیاز به نصب بدافزار	خیر (کاملاً درون‌شبکه‌ای و از طریق بلاکچین)	بله (سیستم یا موبایل باید به بدافزار آلوده باشد)	خیر (از طریق ارسال تراکنش‌های عمومی بلاکچین)	خیر (معمولاً از طریق وب‌سایت‌ها یا ایمیل‌های جعلی)
نقطه ضعف کاربر	کپی کردن آدرس از تاریخچه تراکنش‌ها بدون بررسی کامل	عدم بررسی آدرس پس از چسباندن (Paste) در کادر مقصد	تعامل با توکن‌های ناشناس یا تلاش برای نقد کردن آن‌ها	تأیید تراکنش‌های مخرب یا وارد کردن عبارات بازیابی (Seed Phrase)
هدف نهایی هکر	سرقت مستقیم کل مبلغ تراکنش بعدی کاربر	سرقت مستقیم مبلغ تراکنش در حال انجام	شکستن حریم خصوصی و شناسایی هویت مالک کیف‌پول	تخلیه کامل موجودی کیف‌پول از طریق دسترسی به کلید خصوصی
بهترین راهکار دفاعی	استفاده از دفترچه آدرس و عدم کپی از تاریخچه	استفاده از آنتی‌ویروس و بررسی آدرس قبل از تأیید نهایی	نادیده گرفتن و عدم انتقال توکن‌های ناشناس دریافتی	عدم افشای کلمات بازیابی و بررسی دقیق آدرس سایت‌ها

---

مسموم‌سازی آدرس (Address Poisoning) چیست و چگونه کار می‌کند؟

حمله مسموم‌سازی آدرس بر پایه یک رفتار غریزی انسان بنا شده است: تنبلی ذهنی در مواجهه با داده‌های پیچیده. آدرس‌های بلاکچینی (به‌ویژه در شبکه‌های سازگار با اتریوم یا EVM) رشته‌های طولانی و هگزادسیمال شامل ۴۲ کاراکتر هستند (مانند 0x71C...84a9). از آنجا که به‌خاطر سپردن یا خواندن کامل این آدرس‌ها برای انسان دشوار است، اکثر کاربران عادت کرده‌اند که تنها ۴ کاراکتر اول (مثلاً 0x71C) و ۴ کاراکتر آخر (مثلاً 84a9) را چک کنند.

هکرها از این نقطه ضعف به روش زیر سوءاستفاده می‌کنند:

1. رصد بلاکچین: هکرها آدرس‌های فعال در شبکه‌های پرکاربرد مانند ترون (TRON)، اتریوم (Ethereum) یا پولیگان (Polygon) را رصد می‌کنند.
2. تولید آدرس سفارشی (Vanity Address): به‌محض اینکه تراکنشی بین آدرس شما (آدرس A) و یک آدرس مقصد (آدرس B) انجام می‌شود، هکر با استفاده از پردازنده‌های گرافیکی قدرتمند (GPU)، یک آدرس جعلی (آدرس C) می‌سازد که کاراکترهای ابتدایی و انتهایی آن دقیقاً مشابه آدرس B (یا آدرس A) است.
3. ارسال تراکنش مسموم‌کننده: هکر یک تراکنش با ارزش صفر (Zero-Value) یا مقدار بسیار ناچیزی توکن (مثلاً ۰.۰۰۰۱ تتر) از آدرس جعلی (C) به آدرس شما ارسال می‌کند. در برخی موارد، هکرها با سوءاستفاده از توابع قراردادهای هوشمند تتر، تراکنشی را ثبت می‌کنند که به نظر می‌رسد شما خودتان آن را ارسال کرده‌اید!
4. مسموم شدن تاریخچه: اکنون در تاریخچه تراکنش‌های کیف‌پول شما، آدرس جعلی هکر (C) در کنار آدرس‌های واقعی شما قرار می‌گیرد.
5. وقوع فاجعه: در تراکنش بعدی، شما به‌جای کپی کردن آدرس واقعی از منبع اصلی، به تاریخچه ولت مراجعه کرده، آدرس جعلی را به‌دلیل شباهت ظاهری کپی می‌کنید و دارایی خود را مستقیماً به حساب هکر می‌فرستید.

این حمله تفاوت ساختاری با بدافزارهای سرقت کلیپ‌بورد دارد؛ چرا که در سرقت کلیپ‌بورد، یک نرم‌افزار مخرب روی سیستم شما فعال است، اما در مسموم‌سازی آدرس، هکر بدون نیاز به هیچ بدافزاری و مستقیماً از طریق بلاکچین با شما تعامل دارد. همچنین نباید این حمله را با حملات داستینگ در کریپتو اشتباه گرفت؛ در حملات داستینگ هدف اصلی ردیابی هویت شماست، در حالی که در مسموم‌سازی، هدف سرقت مستقیم دارایی شما از طریق فریب چشمی است.

---

آناتومی فنی حمله: هکرها چگونه آدرس‌های مشابه می‌سازند؟

شاید بپرسید چگونه ممکن است هکری بتواند آدرسی شبیه به آدرس من بسازد؟ پاسخ در ریاضیات و قدرت پردازش سخت‌افزارها نهفته است.

آدرس‌های اتریوم از هش کلید عمومی ساخته می‌شوند. هکرها با استفاده از ابزارهای متن‌باز مانند Profanity یا اسکریپت‌های اختصاصی مبتنی بر زبان Rust، میلیاردها کلید خصوصی تصادفی را در ثانیه تولید و بررسی می‌کنند تا زمانی که آدرسی با پیشوند و پسوند دلخواه پیدا شود.

به‌عنوان مثال، اگر آدرس مقصد شما این باشد: 0x1234...5678...ABCD

هکر با صرف چند ثانیه تا چند دقیقه زمان و با استفاده از کارت‌های گرافیک قدرتمند، آدرسی مانند آدرس زیر تولید می‌کند: 0x1234...9988...ABCD

همان‌طور که مشاهده می‌کنید، ابتدا و انتهای آدرس کاملاً یکسان است و تنها بخش میانی آن تفاوت دارد. از آنجا که کیف‌پول‌های نرم‌افزاری برای زیبایی رابط کاربری، بخش میانی آدرس‌ها را با سه نقطه (...) کوتاه می‌کنند، کاربر در نگاه اول هیچ تفاوتی بین این دو آدرس احساس نمی‌کند.

---

تجربه میدانی کوروکس (KouroX Field Test): شبیه‌سازی یک حمله مسموم‌سازی

تیم امنیتی کوروکس برای درک بهتر این تهدید، یک سناریوی شبیه‌سازی‌شده را در شبکه پولیگان (Polygon) اجرا کرد تا رفتار کیف‌پول‌های مختلف را در مواجهه با این حمله بسنجد.

مراحل تست میدانی:

1. یک کیف‌پول هدف با آدرس 0x71C...84a9 ایجاد شد.
2. با استفاده از یک سرور مجازی مجهز به کارت گرافیک RTX 4090، آدرسی جعلی با مشخصات 0x71C...f23d...84a9 در مدت زمان ۱۸ ثانیه تولید شد.
3. یک تراکنش با مقدار 0 USDT از آدرس جعلی به آدرس هدف ارسال گردید.
4. رفتار سه کیف‌پول محبوب (متامسک، تراست‌ولت و سیف‌پال) بررسی شد.

نتایج بررسی:

• متامسک (نسخه موبایل): تراکنش صفر دلاری را در تاریخچه نشان داد. در نسخه‌های قدیمی‌تر، آدرس جعلی به وضوح قابل کپی کردن بود. اما در آپدیت‌های جدید، متامسک هشداری مبنی بر «تراکنش مشکوک بدون ارزش» نمایش می‌دهد.
• تراست‌ولت: تراکنش را بدون هیچ هشدار خاصی در لیست اصلی تراکنش‌ها نمایش داد. کاربر به راحتی می‌توانست با لمس تراکنش، آدرس جعلی را کپی کند.
• سیف‌پال (نرم‌افزاری): تراکنش نمایش داده شد، اما به‌دلیل سیستم فیلترینگ داخلی، تراکنش‌های صفر دلاری از فرستنده‌های ناشناس به بخش «تراکنش‌های پنهان‌شده» منتقل شدند که این یک امتیاز امنیتی بزرگ برای سیف‌پال است.

این تست میدانی ثابت کرد که تکیه بر حافظه بصری برای تأیید آدرس‌ها، یک ریسک بسیار بالا و عملاً بازی با امنیت دارایی‌هاست.

---

راهنمای گام‌به‌گام: اگر قربانی شدیم چه کنیم؟ (پروتکل اضطراری)

اگر متوجه شدید که دارایی خود را به یک آدرس مسموم (جعلی) ارسال کرده‌اید، باید بدانید که تراکنش‌های بلاکچین برگشت‌ناپذیر هستند. با این حال، انجام مراحل زیر برای کاهش خسارت و پیگیری قانونی الزامی است:

۱. توقف فوری کپی کردن از تاریخچه

اولین قدم این است که آرامش خود را حفظ کنید و دیگر تحت هیچ شرایطی از تاریخچه تراکنش‌های آن ولت برای کپی کردن آدرس استفاده نکنید. کل تاریخچه شما اکنون مسموم تلقی می‌شود.

۲. بررسی تراکنش در مرورگر بلاکچین (Explorer)

هش تراکنش (TxID) را در سایت‌هایی مانند Etherscan، BscScan یا Tronscan وارد کنید. بررسی کنید که آیا تراکنش تأیید شده است یا خیر. اگر تراکنش در وضعیت Pending باشد (که بسیار نادر است)، شاید بتوان با افزایش کارمزد (Gas Fee) آن را لغو یا جایگزین کرد.

۳. ردیابی آدرس هکر

بررسی کنید که آیا آدرس جعلی هکر، دارایی‌های سرقتی را به یک صرافی متمرکز (مانند بایننس، کوکوین، یا صرافی‌های داخلی) منتقل کرده است یا خیر. هکرها معمولاً برای نقد کردن دارایی‌ها، آن‌ها را به صرافی‌ها می‌فرستند.

۴. تماس با پشتیبانی صرافی مقصد

اگر متوجه شدید دارایی شما به آدرس سپرده‌گذاری (Deposit) هکر در یک صرافی متمرکز رفته است، فوراً با پشتیبانی آن صرافی تماس بگیرید و مدارک تراکنش را ارائه دهید تا حساب هکر را مسدود کنند.

---

روش‌های پیشگیری و دفاع ۱۰۰٪ در برابر مسموم‌سازی آدرس

برای اینکه هرگز در دام این کلاهبرداری نیفتید، پروتکل‌های امنیتی زیر را به‌عنوان قوانین تغییرناپذیر در فعالیت‌های کریپتویی خود قرار دهید:

۱. استفاده از دفترچه آدرس (Address Book)

بهترین و قطعی‌ترین راه دفاع، استفاده از قابلیت Address Book در کیف‌پول‌ها است. آدرس‌های صرافی‌ها، دوستان و ولت‌های شخصی خود را یک‌بار برای همیشه با نام مشخص (مثلاً “ولت شخصی تتر”) ذخیره کنید و برای انتقال، فقط از این لیست استفاده کنید.

۲. قانون بررسی کاراکترهای میانی (قانون ۱۰ کاراکتر)

هرگز به بررسی ۴ کاراکتر اول و آخر بسنده نکنید. حداقل ۵ کاراکتر از ابتدا، ۵ کاراکتر از انتها و ۵ کاراکتر از دقیقاً وسط آدرس را با منبع اصلی مطابقت دهید.

۳. کپی کردن آدرس فقط از منبع اصلی (Original Source)

همیشه آدرس مقصد را مستقیماً از داخل صرافی مقصد یا ولت مقصد کپی کنید. هرگز و تحت هیچ شرایطی آدرس را از تاریخچه تراکنش‌های قبلی کپی نکنید.

۴. ارسال تراکنش تست (Test Transaction)

برای انتقال مبالغ سنگین، ابتدا مقدار بسیار کمی (مثلاً ۱ دلار) ارسال کنید. پس از اطمینان از وصول آن در مقصد، مابقی دارایی را انتقال دهید. توجه: برای تراکنش دوم نیز دوباره آدرس را از منبع اصلی کپی کنید، نه از تاریخچه تراکنش تست!

۵. استفاده از نام‌های دامنه بلاکچینی (ENS / Lens)

استفاده از دامنه‌هایی مانند kourox.eth به‌جای آدرس‌های طولانی هگزادسیمال، احتمال خطای انسانی را به‌شدت کاهش می‌دهد. هکرها نمی‌توانند دامنه‌ای دقیقاً با همان نام ثبت کنند.

---

سخن پایانی تیم امنیتی کوروکس

کلاهبرداری Address Poisoning نمونه‌ای بارز از حملاتی است که در آن هکر به‌جای نفوذ به کدهای برنامه‌نویسی، به سیستم پردازش اطلاعات مغز انسان نفوذ می‌کند. در این روش، امنیت بلاکچین یا کیف‌پول شما زیر سؤال نرفته است، بلکه این «عادت‌های رفتاری غلط» ماست که راه را برای سارقان باز می‌کند.

با رعایت اصول ساده‌ای چون عدم استفاده از تاریخچه تراکنش‌ها برای کپی آدرس، استفاده از دفترچه آدرس‌های امن در کیف‌پول‌های معتبری چون سیف‌پال و بررسی دقیق تمام کاراکترهای آدرس، می‌توانید امنیت دارایی‌های خود را به‌طور کامل تضمین کنید. همواره به یاد داشته باشید که در دنیای غیرمتمرکز، شما خودتان بانک خود هستید و مسئولیت نهایی امنیت بر عهده شماست.