地址投毒（Address Poisoning），也叫地址汙染攻擊，是一種利用人們操作習慣進行欺騙的鏈上攻擊方式。攻擊者生成與你常用地址高度相似的虛假地址，透過各種方式將其"植入"你的交易記錄中，等待你在轉賬時誤複製使用。這種攻擊從2022年開始大規模出現，至今仍是造成資產損失的重要原因。
地址投毒攻擊的原理是什麼？
地址投毒的核心邏輯是"以假亂真"。攻擊步驟如下：
第一步：選定目標
攻擊者使用自動化指令碼監控鏈上交易，篩選出頻繁進行大額轉賬的活躍地址作為目標。
第二步：生成相似地址
使用地址碰撞工具批次生成與目標地址首尾幾位相同的地址。例如你的地址是：
- 真實地址：0x71C7abcd1234efgh5678F3
- 攻擊者地址：0x71C7XXXXXXXXXXXX5678F3
由於大多數錢包只顯示地址的前6位和後4位，兩個地址在介面上看起來完全一樣。
第三步：汙染交易記錄
攻擊者透過以下方式將假地址植入你的交易記錄：
- 零值轉賬：從假地址向你傳送0個代幣的交易
- 小額轉賬：傳送極小額的代幣（如0.001 USDT）
- 偽造的Transfer事件：利用某些代幣合約的特性，在你的交易記錄中偽造一筆"你向假地址轉賬"的記錄
第四步：等待收割
這些假交易出現在你的交易記錄中後，攻擊者就等著你下次轉賬時從歷史記錄中複製地址。一旦你誤複製了假地址並確認轉賬，資產就被盜走了。
為什麼地址投毒攻擊這麼有效？
原因一：操作習慣
人們傾向於從交易記錄中複製"用過的"地址，而不是每次都從頭獲取完整地址。這個便捷的操作習慣被攻擊者精準利用。
原因二：地址顯示方式
為了介面簡潔，錢包和區塊鏈瀏覽器通常只顯示地址的首尾部分。攻擊者只需要讓這些顯示的部分匹配即可。
原因三：視覺識別困難
即使你嘗試核對地址，42位的十六進位制字串對人眼來說很難快速準確比較，特別是中間部分被隱藏的情況下。
原因四：攻擊成本極低
生成大量相似地址和傳送零值交易的成本非常低，特別是在BSC、Polygon等低Gas鏈上。攻擊者可以同時對數千個地址實施投毒。
真實損失案例
2024年5月，一位使用者因地址投毒攻擊損失了6800萬美元的WBTC。該使用者從交易記錄中複製了一個看似熟悉的地址進行大額轉賬，但實際上是攻擊者的相似地址。這是迄今為止地址投毒造成的最大單筆損失之一。
此外還有大量中小額損失的案例，多數受害者因為金額"不夠大"沒有公開報告。
如何防範地址投毒攻擊？
方法一：使用地址簿
將所有常用轉賬地址預先儲存在錢包或交易所的地址簿中。每次轉賬時從地址簿選擇，絕不從交易記錄中複製。
方法二：完整核對地址
如果必須複製貼上地址，將完整地址展開逐字元核對。至少核對前12位和後12位字元。
方法三：小額測試
大額轉賬前先傳送極小額到目標地址，確認對方收到後再轉大額。
方法四：使用ENS等域名服務
以太坊域名服務（ENS）允許你用類似"alice.eth"的名稱代替長串地址。使用域名轉賬能有效避免地址投毒。
方法五：更新錢包版本
部分錢包已更新演算法，可以識別和標記可疑的零值轉賬。保持錢包App為最新版本。
安全提醒
地址投毒攻擊利用的是人的疏忽而非技術漏洞，防範重點在於養成好習慣：
- 永遠不要從交易記錄直接複製地址：使用地址簿或手動獲取完整地址
- 大額轉賬前必須小額測試：這是防止所有型別地址錯誤的最後防線
- 完整核對地址：不要只看首尾幾位
- 忽略不明來源的轉入記錄：零值或小額的不明轉入可能是投毒攻擊
- 使用支援地址標記的工具：標記常用地址便於快速識別
- 保持高度注意力：轉賬是高風險操作，操作時保持專注
透過交易所轉賬時，可以利用平臺的白名單功能增加安全保障。幣安官網開啟提幣白名單，或幣安官方APP，蘋果使用者參考iOS安裝教程隨時安全操作。
地址投毒會直接盜走我的資產嗎？
不會。地址投毒本身不能直接轉走你的資產，它只是在你的交易記錄中"埋下陷阱"。只有當你主動複製了假地址併傳送交易時才會造成損失。如果你不去理會那些可疑的交易記錄，就不會受到任何影響。
怎麼判斷交易記錄中的交易是否是投毒？
如果你看到一筆你沒有發起的轉出記錄（通常金額為0），或者收到不明來源的極小額轉入，而且涉及的地址與你常用的某個地址首尾相似，這很可能就是投毒攻擊。
投毒攻擊在哪條鏈上最常見？
以太坊、BSC和TRON是投毒攻擊最常見的鏈。BSC和TRON因為Gas費極低，攻擊者可以以極低成本大規模投毒。以太坊上的投毒成本較高，但因為資產價值更大，攻擊者仍然會針對高價值目標。
錢包App能過濾掉投毒交易嗎？
部分錢包（如MetaMask最新版）已經新增了零值轉賬過濾功能，可以隱藏可疑的投毒交易。但這個功能並非100%可靠，仍需使用者自身保持警惕。建議開啟錢包中所有可用的安全過濾選項。