Envenenamento de endereços

O ataque tem duas partes. Primeiro, o atacante gera por força bruta um endereço vanity cujos primeiros e últimos caracteres coincidem com o endereço que a vítima costuma usar, já que muitas wallets ocultam o meio e as pessoas só verificam as extremidades. Depois, injeta esse endereço isca no histórico: por meio de um zero-value transfer, que aproveita o fato de um transferFrom de ERC-20 permitir mover um valor zero sem ter saldo nem autorização, ou enviando poeira (dust) ou um token falso com o mesmo nome. A vítima, em um envio posterior, copia o endereço parecido do histórico.

Diferentemente do phishing de aprovações, aqui não há assinatura de autorização: o dano se materializa por um erro humano de cópia. A defesa é não copiar endereços do histórico, usar uma agenda de endereços ou lista de confiança, verificar o endereço completo e não apenas prefixo e sufixo, e fazer um envio de teste pequeno antes de movimentar uma quantia relevante. O fenômeno está documentado e é objeto de alertas da MetaMask, da Trezor, da Ledger e do Etherscan, que marca essas transações como suspeitas em seu explorador.