Định nghĩa
Address poisoning là một rủi ro bảo mật trong crypto, khi kẻ tấn công tạo và sử dụng các địa chỉ trên blockchain trông rất giống với địa chỉ của nạn nhân để đánh lừa họ. Kẻ tấn công sẽ gửi các giao dịch nhỏ hoặc vô nghĩa để địa chỉ giả xuất hiện trong lịch sử giao dịch hoặc giao diện wallet của nạn nhân. Khi nạn nhân sau đó sao chép một địa chỉ từ lịch sử này, họ có thể vô tình chọn địa chỉ của kẻ tấn công thay vì địa chỉ mà họ thực sự muốn gửi. Kết quả là tiền sẽ được gửi đi một cách không thể đảo ngược đến địa chỉ của kẻ tấn công, chứ không phải địa chỉ người nhận đúng.
Rủi ro này lợi dụng việc địa chỉ trên blockchain thường rất dài và phức tạp, và người dùng thường chỉ kiểm tra sơ qua bằng mắt hoặc dùng thao tác copy-paste từ các giao dịch gần đây. Address poisoning thường không liên quan đến việc phá vỡ mật mã học (cryptography) hay chiếm quyền kiểm soát một wallet, mà là thao túng cách địa chỉ được hiển thị và tái sử dụng. Nó nhắm vào “lớp con người” trong bảo mật liên quan đến việc xử lý địa chỉ, khiến đây là một mối đe dọa dựa trên social engineering và giao diện người dùng, chứ không phải lỗ hổng ở cấp độ giao thức.
Bối cảnh và cách sử dụng
Thuật ngữ address poisoning được dùng trong bối cảnh bảo mật blockchain để mô tả một mô hình giao dịch gian lận được thiết kế nhằm làm “bẩn” hoặc làm rối danh sách địa chỉ gần đây của người dùng. Nó thường được nhắc đến cùng với các thực hành an toàn địa chỉ nói chung, vì nó khai thác trực tiếp cách phần mềm wallet hiển thị các địa chỉ và giao dịch trước đó. Khi nói về address poisoning, người ta thường nhấn mạnh tầm quan trọng của việc kiểm tra toàn bộ chuỗi địa chỉ, không chỉ vài ký tự đầu hoặc cuối.
Trong các cuộc thảo luận về bảo mật, address poisoning được xếp vào nhóm chiến thuật đánh lừa, lợi dụng hoạt động on-chain bình thường để tạo ra sự nhầm lẫn. Nó làm nổi bật sự khác biệt giữa tính an toàn của blockchain nền tảng và các rủi ro phát sinh từ cách người dùng tương tác với địa chỉ. Với tư cách là một loại rủi ro đã được đặt tên, nó giúp các chuyên gia bảo mật, nhà phát triển wallet và người dùng mô tả và nhận diện rõ mô hình lừa đảo dựa trên địa chỉ cụ thể này.