Kısa özet. Bitcoin'de "yanlış adres" kayıplarının çoğu yazım hatası değil: cüzdanın checksum'ı neredeyse her yazım hatasını göndermeden önce reddeder. Asıl risk, bir saldırgana ait, tamamen geçerli ama sizin bildiğiniz bir adrese benzeyen adrestir. Buna adres zehirleme (address poisoning) denir.
Saldırı nasıl işliyor?
- Saldırgan kullandığınız bir adresi izler ve onun ilk ve son karakterlerini taklit eden yeni bir adres üretir.
- O benzer adresten size çok küçük bir işlem gönderir; adres işlem geçmişinizde görünür.
- Daha sonra "her zamanki adresinizi" geçmişten kopyalarsınız. Cüzdanlar ve gezginler çoğu zaman yalnızca ilk ve son karakterleri gösterir, doğru görünür. Parayı saldırgana yollarsınız.
Bildirilen ölçek
- 2022-2024'ü kapsayan bir Carnegie Mellon (CyLab) araştırması, 17 milyondan fazla cüzdana karşı 270 milyondan fazla zehirleme denemesi ve en az 83,8 milyon $ doğrulanmış kayıp bildirdi (bex.co özetine göre).
- Aralık 2025'te tek bir kopyala-yapıştır hatasının bir yatırımcıya yaklaşık 50 milyon $ kaybettirdiği bildirildi (CoinDesk).
- Chainalysis, 82.031 benzer adres üreten bir operasyon sonrası sarılmış bitcoin olarak yaklaşık 68 milyon $ kaybeden bir kurbanı belgeledi (Chainalysis).
Bu rakamlar bağlantılı raporlardan ve özetlerinden alınmıştır; kesin tanımlar için kaynaklara bakın.
Checksum neden yetmez?
Benzer adres saldırganın kontrol ettiği gerçek ve geçerli bir adrestir; checksum doğrulaması geçer. Onu ele veren şey, zaten bildiğiniz bir adrese benzemesidir.
Tesadüf ne kadar olası?
İlgisiz iki adresin karakterleri tesadüfen eşleşme olasılığı alfabe-n'dir (bech32'de 32, Base58'de 58 sembol). Hesaplanan değerler:
| Eşleşen karakter (bc1q'dan sonra) | İlgisiz iki bech32 adresinin tesadüfen bu kadar eşleşme ihtimali | Denetçi ne diyor |
|---|---|---|
| 4 | 1/ 1,048,576 | Şüpheli (orta) |
| 6 | 1/ 1,073,741,824 | Büyük olasılıkla benzer (yüksek) |
| 8 (ör. 4 + 4; birçok cüzdanın gösterdiği) | 1/ 1,099,511,627,776 | Büyük olasılıkla benzer (yüksek) |
| 11 | 1/ 3.6e16 | Büyük olasılıkla benzer (yüksek) |
| Eski (Base58) adreste 8 | 1/ 1.3e14 | Büyük olasılıkla benzer (yüksek) |
Denetçi sabit başlığı (bc1q, 1, 3) saymaz, iki uçtaki eşleşen karakterleri toplar; 4 eşleşmeden (orta) ve 6'dan (yüksek) itibaren uyarır. En çok 3 konumda farklı olan iki adres her zaman işaretlenir.
Ne yapmalı?
- İlk ve son karakterlere değil, adresin tamamına bakın.
- Adresi işlem geçmişinizden kopyalamayın. Kendi oluşturduğunuz adres defterini kullanın veya alıcıya yeniden sorun.
- Önce küçük bir deneme tutarı gönderin.
- Bilinmeyen bir adresten gelen çok küçük bir işlemi ödeme değil, uyarı sayın.
- Aday adresi, aşağıdaki ücretsiz araçla bildiğiniz adreslere karşı denetleyin (tarayıcınızda çalışır).
Sınırlar
Araç yalnızca verdiğiniz listeyle karşılaştırır. Bir adresin kime ait olduğunu bilemez; "benzer bulunmadı" garanti değildir. Sentetik benzer adresler ve 2.412 bağımsız adres vektörüyle test edildi; yatırım, hukuk veya vergi tavsiyesi değildir.