Интегрированная функция чата в популярном Solana-кошельке Phantom стала новым вектором атаки для мошенников, использующих тактику «адресного загрязнения» (address poisoning). По данным блокчейн-детектива ZachXBT, один из пользователей потерял около $264 000 (3,5 Wrapped Bitcoin), отправив средства на поддельный адрес, полученный через встроенный мессенджер.
📊 За последние 6 недель Scam Sniffer зафиксировал потери более $62 млн из-за адресного загрязнения — и Phantom стал одной из ключевых платформ для таких атак.
Злоумышленник отправляет жертве небольшую сумму криптовалюты (часто менее $1) с адреса, визуально похожего на один из её частых получателей. Например, если вы регулярно переводите на 0x85c...a1b3, атакующий создаёт адрес 0x85c...a1b4 и отправляет вам микротранзакцию.
Позже, через встроенный чат Phantom, он может имитировать поддержку или партнёра и попросить вас «повторить платёж». При открытии истории транзакций система автоматически предлагает недавние адреса — и вы легко можете выбрать поддельный, особенно если не проверяете последние символы.
«Худшие уязвимости — те, что прячутся в удобстве. Автозаполнение — это подарок для фишеров», — Чанпэн Чжао (CZ), основатель Binance.
Кроме крупной кражи 3,5 wBTC, пользователь X с ником Kill4h сообщил о двух инцидентах через Phantom Chat:
Оба случая следуют классической схеме: маленькая входящая транзакция → сообщение в чате → ошибка при выборе адреса → полная потеря средств.
ZachXBT и другие исследователи указывают на два ключевых недостатка:
«Это новый способ опустошать кошельки», — написал ZachXBT, призвав команду Phantom обновить интерфейс.
Эксперты рекомендуют:
Phantom уже рекомендует пользователям игнорировать незапрошенные токены и не переходить по ссылкам из чата. Однако критики настаивают на технических мерах:
В декабре 2025 года один инвестор потерял $50 млн из-за подобной атаки. В январе 2026 года кошелёк, связанный с Galaxy Digital, стал жертвой кражи 12,3 млн ETH.
Как заявил CZ: «Все кошельки должны просто проверять, является ли адрес “ядовитым”, и блокировать пользователя. Это запрос к блокчейну».
Безопасность в Web3 всё больше зависит от дизайна интерфейсов. Если кошельки продолжат поощрять лень (автозаполнение, отсутствие фильтров), потери будут расти экспоненциально.
Как сказал исследователь Deddy Lavid из Cyvers: «Настоящая защита требует проверки рисков до транзакции, обнаружения схожести адресов и чётких предупреждений».
Независимо от того, насколько продвинут ваш кошелёк, последняя линия защиты — это вы. Потратьте лишние три секунды, чтобы сверить адрес. Потому что в мире, где $1 может стоить вам $264 000, внимательность — лучшая страховка.
