地址投毒：转账记录里的「假地址」陷阱

地址投毒（address poisoning）不是破解你的钱包，而是在你的转账历史里「种」下一个长得几乎一模一样的假地址，等你某天从历史记录里复制地址时踩进去。它的材料是公开的链上数据，它的成本几乎为零，而它的全部赌注押在一个日常习惯上：你复制收款地址时，看的是首尾几位。

什么是地址投毒

地址投毒是一种骗局：骗子向与「你过去交互过的地址」长相相似的地址发送代币转账，目的是让你在日后转账时不小心把代币发到错误地址。它不利用任何软件漏洞——你的钱包、你的私钥都完好无损，被利用的是你对「自己交易记录」的信任。

两种投毒手法

第一种是假代币法。骗子部署与热门稳定币（如 USDC、USDT）同名的假代币合约，监控真实代币的转账，然后用假代币「模拟」出一条从你的地址发出的转账记录。你翻看钱包历史或区块浏览器时，可能把这条假转账误认为真实历史，复制其中的骗子地址——之后发出的是真代币。

第二种是零值转账法，更隐蔽。骗子不需要部署任何假合约，而是直接利用真实代币合约的 transferFrom 功能，从你的地址向一个外观相似、实为骗子的地址发送 0 值转账。原理在于：transferFrom 只校验转账金额不超过授权额度，而金额为 0 时，即使授权额度也是 0，转账照样成功——全程不需要你的授权。因为用的是真实代币合约，这笔记录在你的钱包里显示为「从你的地址发出的真实代币转账」，与正常记录难以区分。

你会在哪一步出错

受害路径通常是这样的：骗子先制造出与你历史交易相似的可信外观记录；某天你要重复一笔转账（比如给交易所充值），顺手从钱包历史或区块浏览器复制上次用的地址；因为地址首尾几位看起来一样，你复制到了骗子地址；确认发出——真代币进了骗子口袋。

三个环节里没有一个「异常」：历史记录是真实存在的（只是被污染）、地址看起来是对的（首尾相同）、转账流程完全正常（你亲手签名）。等你发现转错，交易已经上链，而链上转账不可逆。

为什么「首尾核对」会失效

很多人知道核对地址要「看头看尾」，但骗子恰恰能生成首 4 位和尾 4 位与你常用地址完全相同的 vanity 地址。生成这种地址需要算力，但成本对攻击者而言完全可接受。这意味着：只核对首尾 4 位字符的检查习惯，在面对投毒攻击时基本失效——Revoke.cash 的地址投毒专文明确建议核对更多字符。

与其他骗局的边界

地址投毒不属于「签名钓鱼」：Scam Sniffer 的年度钓鱼报告统计的是通过钓鱼网站诱导签名造成的盗窃，其 2024 年报明确将地址投毒这类向量排除在统计范围之外。换句话说，投毒的损失不体现在主流钓鱼统计里——这也是为什么它值得单独一讲。

与「转错账」的区别与联系

地址投毒导致的转账，从链上看与「用户自己转错」完全一样——都是有效签名、有效交易。区别在「转错」是随机失误（地址来源随意），投毒是被引导失误（地址来源被污染后依然随意）。这个区别的实用意义：处理转错账的复盘要点不是「下次仔细」，而是「地址来源方式」——投毒攻击的防御不在转账那一刻，在平时建立地址簿/离线簿的那一刻。

钱包历史记录的「卫生习惯」

投毒攻击的是「历史记录复制」这个习惯，卫生习惯因此围绕历史记录建立：定期清理——钱包里隐藏垃圾代币、屏蔽 dust 转账（体验优化，减少误触面）；常用地址固化——高频收款方（交易所、自己的钱包）存地址簿并从地址簿选择；新地址流程——新收款地址第一次转账走小额试单 + 收款方确认。这些习惯的组合效果：让「从历史复制」这个动作在你的流程里消失——攻击面随之消失。

大额转账的「双人复核」

大额转账的复核流程可以借鉴机构做法：双人复核——第二个人（家人/合伙人）独立核对地址再执行；分段核对——把地址分 4 段，逐段比对而不是整串比对（整串比对时大脑会「自动补全」相似串）；时间隔离——复制地址与确认发送之间隔几分钟，让相似性错觉消退。个人用户做到单人多段核对即可；管理大额的家庭/团队，双人复核值得制度化。

常见错误

• 把历史记录当通讯录：这是投毒成立的唯一前提。交易所充值地址每次从交易所官网获取，给朋友转账直接向对方确认。
• 只核对首尾几位：骗子可以生成首尾 4 位相同的地址。核对更多字符，或使用 ENS 名称替代长地址。
• 对 0 值转账不设防：出现在你历史里的 0 值/微额陌生转账不是「巧合」，它本身就是投毒的一部分。不需要恐慌，但绝不要把它当作地址来源。
• 转账后不二次确认：大额转账前，把完整地址与官方渠道获取的地址逐段比对，或先发一笔小额测试。

风险提示

链上转账不可逆。本文不构成投资建议；地址投毒属于转账操作风险，与市场涨跌无关——无论行情如何，地址来源纪律都不能省略。如已中招，立即导出交易哈希并通过 FBI IC3 等渠道报案；追回的可能性取决于执法进展，不要相信任何声称「能帮你追回」的私聊（那通常是二次诈骗）。