Een cryptobelegger verloor $2,6 miljoen aan stablecoins in twee bijna identieke phishingaanvallen binnen een tijdsbestek van drie uur, wat een groeiende en geavanceerde bedreiging in blockchain-gebaseerde financiën benadrukt: zero-transfer oplichting.
Het incident, gemeld op 26 mei door beveiligingsbedrijf Cyvers, betrof twee grote transacties van Tether (USDT) - de eerste ter waarde van $843.000, gevolgd door een tweede transactie van $1,75 miljoen enkele uren later. In beide gevallen lijkt het slachtoffer te zijn gevallen voor een misleidende onchain tactiek genaamd een zero-value transfer, een phishingmethode die steeds meer door oplichters wordt ingezet en gericht op gebruikersgewoonten rondom wallet-adressen.
Dit dubbele verlies benadrukt de beperkingen van de huidige gebruikersgerichte wallet-interfaces, de opkomst van intelligente social engineering bij crypto-misdaad, en de dringende noodzaak voor robuuste beveiligingsoplossingen in heel Web3.
Zero-value transfers maken misbruik van een fout in hoe gebruikers transactiegeschiedenis interpreteren en wallet-adressen vertrouwen. De techniek maakt misbruik van de transferFrom functie van de ERC-20 token standaard, die elke partij toestaat om een tokenoverdracht te initiëren zonder toestemming van de gebruiker - zolang het bedrag nul is.
Omdat er geen echte tokens worden verplaatst, vereisen deze vervalste zero-value transacties geen digitale handtekening van de doelportemonnee. Ze worden niettemin on-chain vastgelegd, vaak misleidend suggereert aan de slachtoffers dat het vervalste adres een eerder vertrouwd adres is.
In feite "vergiftigen" oplichters de transactiegeschiedenis van een slachtoffer door ogenschijnlijk onschuldige zero-value transfers toe te voegen die legitiem lijken. Wanneer het slachtoffer later een echte transactie uitvoert - mogelijk gebruikmakend van de portemonneegeschiedenis of het kopiëren van een eerder gebruikt adres - kunnen ze per ongeluk fondsen naar het vervalste adres van de aanvaller sturen.
Deze exploit maakt gebruik van en breidt een gerelateerde aanvalsmethode uit die adresvergiftiging wordt genoemd, waarbij oplichters kleine hoeveelheden cryptocurrency verzenden vanuit portemonnee-adressen die visueel lijken op die van bekende contacten van de gebruiker. Dit vertrouwt meestal op het uitbuiten van de neiging van de gebruiker om op basis van gedeeltelijke adresvergelijkingen te vertrouwen - vaak de eerste en laatste vier tekens - in plaats van de volledige reeks te verifiëren.
Geavanceerde Phishing
Het grootste gevaar van zero-transfer en adresvergiftigingszwendel ligt niet in het schenden van cryptografische protocollen, maar in het manipuleren van gebruikersgedrag. Crypto-wallet-interfaces - vooral browsergebaseerde wallets en mobiele apps - tonen vaak adresgeschiedenissen en eerdere transacties als indicatoren van veiligheid, vertrouwen of eerder gebruik. Dit creëert een aanvalsoppervlak dat niet afhankelijk is van kwetsbaarheden in code, maar eerder in menselijke besluitvorming.
In het geval van de recente diefstal van $2,6 miljoen gebruikte het slachtoffer waarschijnlijk de transactiegeschiedenis van hun portemonnee om het adres te initiëren of te verifiëren, in de overtuiging dat ze fondsen naar een bekende of eerder vertrouwde contactpersoon stuurden. De herhaling van de aanval binnen drie uur suggereert dat het slachtoffer het initiële verlies niet tijdig detecteerde of geloofde dat de eerste transactie legitiem was - beide scenario's wijzen op hoe onopvallend en overtuigend de zwendel in realtime kan zijn.
De verliezen waren uitsluitend in USDT (Tether), een veelgebruikte stablecoin met miljarden aan dagelijkse on-chain volume. Omdat USDT doorgaans wordt gebruikt bij grote institutionele en retailtransfers, is het een belangrijk doelwit geworden voor precieze zwendelpraktijken die zich richten op high-value wallets.
Vergiftigingsaanvallen aan de opkomst
Het incident staat niet op zichzelf. Een uitgebreide studie die in januari 2025 werd vrijgegeven, onthulde dat er meer dan 270 miljoen pogingen tot adresvergiftiging werden geregistreerd op Ethereum en BNB Chain tussen juli 2022 en juni 2024. Hoewel slechts 6.000 van die aanvallen succesvol waren, waren ze samen verantwoordelijk voor meer dan $83 miljoen aan bevestigde verliezen.
Het grote aantal pogingen - succesvol of niet - suggereert dat vergiftigingsstrategieën goedkoop uit te voeren zijn en effectief blijven door de gedragsneigingen van gebruikers en het gebrek aan anti-phishing UX in gebruikelijke crypto-wallets.
Opmerkelijk is dat de schade in individuele gevallen aanzienlijk kan zijn. In 2023 leidde een soortgelijke zero-transfer zwendel tot de diefstal van $20 miljoen in USDT, voordat Tether uiteindelijk het portemonnee op de zwarte lijst plaatste. Zwarte lijsten zijn echter geen universele beveiliging - veel tokens ondersteunen geen zwarte lijsten op de uitgever, en niet alle blockchain-netwerken bieden vergelijkbare interventiehulpmiddelen.
AI-detectietools en interfacevernieuwingen
In reactie op de opkomst van zero-transfer phishing, proberen verschillende cybersecurity- en wallet-infrastructuurbedrijven de risico's te beperken door slimmere detectiesystemen.
Eerder dit jaar werkte blockchainbeveiligingsbedrijf Trugard samen met een on-chain beveiligingsprotocol Webacy om een AI-gebaseerd detectiesysteem in te voeren dat specifiek is ontworpen om potentiële adresvergiftigingspogingen te markeren. Volgens zijn ontwikkelaars heeft de tool een nauwkeurigheid van 97% aangetoond in tests met historische aanvalgegevens.
Het systeem werkt door patronen in transactie-metagegevens, overdrachtsgedrag en adresovereenkomsten te analyseren, waarna gebruikers worden gewaarschuwd voordat een transactie wordt afgerond. Echter, bredere adoptie van deze technologie blijft beperkt, aangezien veel platforms nog bezig zijn met de integratie van externe beveiligingshulpmiddelen.
Sommige wallet-ontwikkelaars onderzoeken ook hoe transacties worden gepresenteerd. Bijvoorbeeld, zero-value transacties markeren, adressen kleuren op basis van vertrouwensscores, en volledige adresverificatie gemakkelijker maken, worden beschouwd als manieren om het succespercentage van zwendel verder te verstoren. Maar totdat dergelijke interfacewijzigingen gestandaardiseerd worden in de branche, blijven gebruikers blootgesteld.
Juridische en regelgevende blinde vlekken
Hoewel zero-transfer zwendel technologisch eenvoudig is, is juridische actie tegen daders complex en zelden succesvol. Veel van deze zwendelpraktijken zijn afkomstig van pseudonieme of buitenlandse entiteiten, waarbij fondsen snel worden witgewassen via gedecentraliseerde exchanges, mixers of cross-chain bruggen.
Stablecoin-uitgevers zoals Tether kunnen alleen ingrijpen wanneer gecentraliseerde controlemechanismen bestaan - en alleen als de gestolen fondsen onaangeroerd of traceerbaar blijven. Zodra aanvallers fondsen naar privacypools verplaatsen of naar andere activa converteren, wordt terugvordering vrijwel onmogelijk.
Bovendien ontbreken wetshandhavingsinstanties vaak de technische expertise of rechtsgebieden om dergelijke aanvallen te onderzoeken, tenzij ze deel uitmaken van grotere georganiseerde campagnes.
De laatste verdedigingslinie
Voorlopig moeten eindgebruikers verhoogde voorzichtigheid betrachten wanneer ze blockchain-adressen gebruiken - met name voor transacties met grote waarde. Best practices zijn onder andere:
- Altijd het volledige adres verifiëren, niet alleen de eerste/laatste tekens.
- Vermijden van het gebruik van portemonneegeschiedenis om adressen te kopiëren.
- Bekende adressen handmatig markeren vanuit officiële bronnen.
- Gebruikmaken van wallets met ingebouwde phishingdetectie, als deze beschikbaar is.
- Het monitoren van zero-value inkomende transfers als potentiële rode vlaggen.
De opkomst van zero-transfer phishingaanvallen laat een verschuiving zien in Web3 bedreigingen van protocoal-niveau hacks naar social-engineeringaanvallen met on-chain metadata. Naarmate de waarde van activa op publieke blockchains groeit, zal ook de verfijning van deze methodes groeien - waarbij gebruikerseducatie en betere wallet tools essentieel zijn om fondsen te beschermen.