Мошенник попытался выманить криптовалюту ATOM, замаскировав перевод на чужой кошелёк под выгодный межсетевой обмен. Разбор схемы обмана выявил адрес, на который за несколько месяцев поступило более 22 тысяч ATOM. Для перенаправления платежей злоумышленник использовал обычный Web3-домен.
История началась с предложения заработать на криптовалютных пулах ликвидности. Незнакомец связался с пользователем через Telegram и долго объяснял преимущества своей инвестиционной стратегии. Затем собеседник потребовал использовать конкретную комбинацию сервисов: биржу Bybit, криптокошелёк Edge и токен ATOM из экосистемы Cosmos. Автор расследования решил проверить предложение и перевёл 10 ATOM с биржи в указанный кошелёк.
Следующим шагом мошенник предложил отправить купленные ATOM обратно на Bybit, но вместо адреса для Cosmos потребовал использовать реквизиты пополнения XRP. Несоответствие он объяснил работой протокола IBC, который действительно обеспечивает взаимодействие между разными блокчейнами. Однако IBC сам по себе не превращает ATOM в XRP и не позволяет получить прибыль простым переводом на адрес другой криптовалюты.
Главная хитрость заключалась в дополнительной инструкции. К адресу пополнения XRP предлагалось приписать окончание -ibc.x. После ввода получившейся строки Edge неожиданно принял её и показал адрес формата cosmos1..., используемого в сети Cosmos. На первый взгляд выглядело так, будто кошелёк действительно распознал неизвестный механизм межсетевого обмена. Но никакой конвертации не происходило.
Оказалось, что строка с окончанием .x представляет собой заранее зарегистрированное имя в системе Unstoppable Domains. Сервис позволяет связывать удобные доменные имена с адресами различных криптовалют. Когда пользователь вводит подобное имя, совместимый кошелёк обращается к соответствующей записи и автоматически подставляет адрес получателя для выбранной монеты. Именно этот штатный механизм использовал мошенник.
Подготовку атаки упростила особенность Bybit. Согласно правилам пополнения, для некоторых криптовалют, включая XRP, биржа использует общий адрес, а конкретного клиента определяет по дополнительному идентификатору Tag. В рассматриваемом случае адрес XRP имел вид r4rjtVAtG3gmcDHU3nmXdYKcVSbvGPF7Fa. Злоумышленнику не требовалось узнавать персональные реквизиты каждой потенциальной жертвы.
Мошенник зарегистрировал домен r4rjtVAtG3gmcDHU3nmXdYKcVSbvGPF7Fa-ibc.x и связал его с собственным адресом Cosmos для получения ATOM. Поэтому инструкция подходила разным клиентам Bybit с одинаковыми реквизитами пополнения XRP. При подтверждении операции Edge отправил бы обычный перевод ATOM на указанный злоумышленником адрес. Автор расследования распознал подмену до завершения транзакции и сохранил свои средства.
Проверка истории кошелька показала значительно более серьёзные масштабы возможного мошенничества. По подсчётам исследователя на 4 ноября 2026 года, в доступной истории числилось 147 входящих переводов на общую сумму 22 316,56 ATOM. Транзакции проходили с 18 июля по 26 октября. Автор предполагает, что большинство отправителей стали жертвами аналогичной схемы, однако происхождение каждого платежа независимо не подтверждено.
Особое внимание привлёк один отправитель, который переводил средства 11 раз. Первый платёж составил 14,72 ATOM, последний достиг 704,56 ATOM, а общая сумма перечислений с данного адреса составила 1248,54 ATOM. Постепенное увеличение переводов напоминает распространённую мошенническую тактику, когда человека убеждают вкладывать дополнительные деньги ради получения накопленной прибыли. Однако содержание переписки с этим отправителем неизвестно.
После обнаружения схемы автор самостоятельно зарегистрировал домены sansmaster.x и sansmaster.crypto, добавил адреса нескольких криптовалют и проверил их распознавание в разных приложениях. Edge, Trust Wallet и OKX Wallet успешно подставляли соответствующие реквизиты. MetaMask в проведённом тесте доменное имя не распознал. Результаты объясняют, почему злоумышленник так настойчиво рекомендовал использовать именно Edge.
Обнаруженный способ хищения не требует взлома биржи, эксплуатации уязвимости кошелька или вмешательства в блокчейн. Unstoppable Domains выполняет предусмотренную функцию преобразования имени в криптовалютный адрес, а Edge использует полученные реквизиты для подготовки перевода. Атака построена на социальной инженерии: мошенник придумывает убедительное техническое объяснение, создаёт ощущение срочности и заставляет пользователя самостоятельно подтвердить отправку средств.
Дополнительную опасность представляет внешний вид поддельного адреса. Длинная строка начинается с настоящих биржевых реквизитов, поэтому пользователь может не заметить добавленное доменное окончание. При этом кошелёк способен корректно обработать всю комбинацию, не предупредив, что фактический получатель отличается от ожидаемого. Поддержка Web3-доменов не означает, что приложение проверяет добросовестность их владельцев или экономический смысл платежа.
Для защиты от подобного обмана недостаточно проверить, принимает ли кошелёк введённый адрес. Перед подтверждением необходимо убедиться, что фактический получатель, криптовалюта и сеть соответствуют запланированной операции. Особенно подозрительны предложения отправить одну монету на реквизиты другой ради автоматической конвертации или гарантированной прибыли. Unstoppable Domains также предоставляет механизм жалоб на домены, используемые для мошенничества и других злоупотреблений.