Jedna chyba „copy-paste“ stála používateľa takmer 50 miliónov USDt

Takmer 50 miliónov dolárov v stablecoine USDt zmizlo v priebehu niekoľkých minút po jedinej, na pohľad banálnej chybe. Používateľ omylom skopíroval nesprávnu adresu peňaženky z histórie transakcií a poslal peniaze priamo útočníkovi. Prípad patrí medzi najväčšie on-chain straty zaznamenané v tomto roku a ukazuje, aké nebezpečné môžu byť nenápadné formy podvodu v kryptosvete.

Podľa on-chain vyšetrovateľa Web3 Antivirus obeť prišla o presne 49 999 950 USDt po tom, čo použila adresu, ktorá sa v jej histórii objavila v dôsledku tzv. address poisoning útoku. Ide o techniku, pri ktorej útočník pošle obeti malú sumu z adresy, ktorá sa veľmi podobá legitímnej adrese príjemcu. Táto adresa sa následne uloží do histórie transakcií a čaká na chybu používateľa.

Keď si obeť neskôr chcela znovu skopírovať adresu, namiesto správnej vybrala podvrhnutú. On-chain dáta ukazujú, že najskôr prebehla malá testovacia transakcia na správnu adresu. O niekoľko minút neskôr však celý prevod v hodnote takmer 50 miliónov dolárov smeroval už na adresu útočníka.

Bezpečnostný výskumník Cos, zakladateľ spoločnosti SlowMist, upozornil, že rozdiel medzi adresami bol minimálny. Prvé tri znaky aj posledné štyri znaky boli rovnaké, čo je presne ten detail, na ktorý sa mnohí používatelia pri kontrole adries spoliehajú. Podľa neho ide o typ pasce, ktorá dokáže zmiasť aj skúsených ľudí pracujúcich s kryptomenami na dennej báze.

Analýza zároveň ukázala, že peňaženka obete bola aktívna približne dva roky a slúžila najmä na prevody USDt. Krátko pred incidentom boli prostriedky stiahnuté z burzy Binance, čo naznačuje, že používateľ s peňaženkou aktívne pracoval a nešlo o opustený účet.

Ako poznamenal jeden z on-chain analytikov, nejde o útok, ktorý by zneužíval slabiny blockchainu alebo technológií. Celý podvod stojí na ľudských návykoch, rutine a nepozornosti pri opakovaných úkonoch.

Po získaní prostriedkov útočník vymenil ukradnuté USDt za ether, rozdelil ich do viacerých peňaženiek a časť presunul cez službu Tornado Cash, ktorá sa často používa na zakrývanie pôvodu kryptomien.

Incident zapadá do širšieho trendu rastúcich strát v kryptopriestore. Podľa údajov portálu Cointelegraph dosiahli kryptohacky v roku 2025 celkové straty vo výške 3,4 miliardy dolárov, čo je najviac od roku 2022. Zaujímavé je, že väčšinu tejto sumy nespôsobili drobné útoky, ale len niekoľko masívnych incidentov. Až 69 percent všetkých strát pochádzalo z troch prípadov, pričom najväčší z nich bol 1,4-miliardový hack burzy Bybit.

Prípad s USDt je ďalšou pripomienkou, že v kryptosvete nemusí byť najväčším rizikom technológia, ale zdanlivo nevinné skratky v správaní používateľov. Jediný nesprávny „copy-paste“ môže mať následky, ktoré sa už nedajú vziať späť.