Инвестиционная компания Bofur Capital потеряла $2 млн из-за отравления адреса

Инвестиционная компания Bofur Capital понесла значительные убытки, утратив близко 2 миллионов USDC в результате атаки, известной как отравление адреса. Инцидент произошел всего через несколько минут после того, как компания вывела аналогичную сумму из децентрализованного кредитного протокола Compound Finance, как сообщили эксперты в области блокчейн-безопасности.

Получателем средств стал кошелек, контролируемый мошенниками, которые ранее осуществили микроперевод в 0,0002 USDC на адрес Bofur Capital на блокчейне Ethereum. По совпадению, начальные и конечные символы адреса мошенников почти полностью совпадали с адресом реального контрагента, с которым компания постоянно проводила расчеты. По всей видимости, оператор кошелька случайно скопировал неправильный адрес и вставил его в поле перевода. После успешного завершения операции по переводу 2 миллионов USDC злоумышленники быстро конвертировали всю сумму в стейблкоины DAI.

Аналитики также отметили, что хакеры заранее подготовили ловушку, действуя за 20 часов до вывода средств компанией. Это указывает на то, что злоумышленники специально отслеживали кошелек Bofur Capital в ожидании крупного вывода и заранее разместили поддельный адрес в истории транзакций.

Ситуация обострилась весной, после обновления Fusaka в сети Ethereum, когда количество атак типа address poisoning резко возросло. Согласно данным аналитиков Etherscan, за последние три месяца число так называемых "криптопылевых переводов" USDT увеличилось на 612%. Один из криптоинвесторов потерял более 500 000 USDT в результате аналогичной атаки.

Исследование Etherscan 2025 года, охватывающее период с июля 2022 года по июнь 2024 года, выявило около 17 миллионов попыток "отравления" кошельков, в результате чего пострадали не менее 1,3 миллиона пользователей и общий ущерб составил не менее $79,3 миллиона. В сетях с более низкими комиссиями, таких как BNB Smart Chain (BSC), подобные атаки происходят на 1355% чаще, как отмечают аналитики.