Потери от подмены адресов в Ethereum выросли в 13 раз после Fusaka

В предыдущей статье я выяснял, чем вызвана рекордная активность в сети Ethereum. Оказалось, что 80% роста обеспечили спам-транзакции с подменой адресов. Рассылка стала выгодной после обновления Fusaka, когда комиссии за газ снизились в шесть раз. Тогда у меня было достаточно данных, чтобы понять, откуда взялся рост, но не больше.

В этой статье я изучил, насколько вырос масштаб таких атак и к чему они привели. Каков общий ущерб?

Для этого я построил систему обнаружения, которая анализирует блокчейн Ethereum с 1 сентября 2025 года по 13 февраля 2026 года. Это 93 дня до Fusaka и 73 дня после. Система отслеживает «пылевые» переводы по 101 токену и выявляет случаи, когда жертва действительно отправила средства злоумышленнику.

До Fusaka злоумышленники отправляли в среднем 30 тыс. «пылевых» транзакций в день. После обновления показатель вырос в 5,6 раза, до 167 тыс. в день.

В январе на пике за сутки прошло 510 тыс. транзакций. Даже без этого всплеска после Fusaka стабильно проходило от 150 тыс. до 200 тыс. таких транзакций в сутки.

На графике отчётливо видна обратная зависимость между ценой газа и объёмом «пылевых» атак. Показатели движутся в противофазе: газ дорожает, рассылок становится меньше. Газ дешевеет, рассылок становится больше. Такая зависимость служит весомым аргументом в пользу причинной связи.

Злоумышленники меняют объём рассылки день за днём соразмерно изменению цены газа. Такая динамика позволяет исключить, что оба тренда сдвинулись одновременно по разным причинам.

Такая точность на уровне отдельных дней также указывает, что в программах для подмены адресов, скорее всего, заложен порог цены газа, который автоматически регулирует интенсивность атаки. Такие настройки встречаются и у обычных, и у вредоносных ботов Ethereum.

Число уникальных кошельков, получавших «пыль» для подмены адресов, выросло в 3,1 раза: с 12 тыс. до 38 тыс. в день.

Сравнение двух периодов по 73 дня до и после Fusaka:

• До Fusaka (с 21 сентября по 2 декабря) украли $4,9 млн
• После Fusaka (с 3 декабря по 13 февраля) украли $63,3 млн

Сумма похищенного выросла в 13 раз, а число переводов, в которых жертвы отправили деньги мошенникам, в 2,6 раза.

Значительная часть суммы после Fusaka приходится на один перевод: $50 млн в USDT 19 декабря. Даже без него потери составили $13,3 млн, что в 2,7 раза больше, чем до обновления.

О связи низких комиссий с масштабом атак было известно ещё до Fusaka.

• За десять месяцев до обновления исследователи Университета Карнеги Меллона установили, что «атаки чаще встречаются в сетях с более низкими комиссиями за транзакции».
• За семь месяцев до обновления Джеймсон Лопп из Casa пришёл к выводу, что подмена адресов окупается только при низких комиссиях.
• За три месяца до Fusaka исследователи Университета штата Пенсильвания проверили 53 кошелька Ethereum. Большинство из них не предупреждали пользователей о подозрительных переводах с подменой адресов.

Несмотря на это, Ethereum Foundation провела обновление Fusaka.

Подмена адресов далеко не единственная атака, прибыльность которой зависит от стоимости газа. С падением комиссий становятся выгоднее и сэндвич-атаки, и поддельные эйрдропы, и боты для вывода средств из скомпрометированных кошельков, и массовые кражи через разрешения на списание токенов.

Методика

Система обнаружения работает как единый SQL-пайплайн на публичном датасете Ethereum в Google BigQuery. Сначала она находит все легитимные переводы ERC-20 и ETH на сумму от $1 и формирует отпечаток каждого адреса получателя: первые три и последние четыре шестнадцатеричных символа. Затем ищет похожие адреса по этим отпечаткам и выявляет подмену: нулевые переводы ERC-20, инициированные третьими лицами, и «пылевые» переводы ERC-20 или ETH на сумму меньше $1, отправленные жертвам в пределах 300 блоков. Подтверждённой потерей считается любой последующий перевод ERC-20 или ETH на сумму от $10 с адреса жертвы на похожий адрес.

Графики показывают только активность «пылевых» переводов, поскольку это основной измеримый способ атаки. Нулевые переводы на графиках не показаны. Система учитывает их, чтобы составить полную карту пар из адресов жертв и поддельных адресов.

Для всех 101 токена использованы недельные снимки цен (23 даты). Адреса смарт-контрактов исключены из числа жертв. Система также исключает адреса для сжигания токенов, переводы самому себе, переводы, которые инициировала не жертва, и случаи, когда похожий адрес был известным легитимным получателем ещё до атаки. Из статистики потерь исключён один адрес бота, с которого автоматически отправляли тысячи микропереводов на подставные адреса.

Система недосчитывает и атаки, и потери. Она обнаруживает подмену адресов только для кошельков, которые совершили за период исследования хотя бы один перевод на сумму от $1, и отслеживает всего 101 токен. $63,3 млн представляют собой подтверждённую нижнюю границу. Проверка на нескольких выборках токенов вне списка показала, что на них приходится менее 1% всех атак.

Я отслеживал два вида переводов для подмены адресов: «пылевые» и нулевые. Есть и другие варианты, в том числе переводы поддельных токенов, имитация переводов ETH и атаки через разрешения на списание. Я не включил их в анализ, потому что составить такие запросы гораздо сложнее, а выполнять их в BigQuery дорого. Для общей картины достаточно «пыли» и нулевых переводов. Обычно злоумышленники применяют к одной цели сразу несколько способов. Случаи, когда жертва получает только перевод поддельного токена без «пыли» и нулевых переводов, редки.