要点总结
地址投毒攻击针对的是用户行为，而非私钥。攻击者通过篡改交易历史，诱导用户误复制一个恶意的相似地址。
如2025年损失5000万USDT和2026年2月3.5枚wBTC被盗等案例，展示了简单的界面欺骗如何造成巨额资金损失。
复制按钮、公开的交易历史和未过滤的尘埃转账，使得被投毒地址在钱包界面中看似安全可信。
由于区块链本身为无许可机制，任何人都可向任意地址发送代币。钱包通常展示所有交易，包括垃圾信息，攻击者正因此植入恶意记录。
大多数加密货币用户认为，只要保护好自己的私钥，资金就能安全无忧。然而，越来越多的骗局表明，事实并非如此。诈骗者利用一种隐蔽的手段——地址投毒，在无需获取受害者私钥的情况下盗取资产。
2026年2月，一起网络钓鱼事件针对Phantom Chat功能发起。攻击者利用地址投毒手法，成功窃取了约3.5枚Wrapped Bitcoin (wBTC)，价值超264000美元。
2025年，一名用户因复制了一个被投毒的地址，损失了价值5000万美元的Tether USDt（USDT）。此类事件凸显了不完善界面设计和日常操作习惯如何导致巨额损失。
币安联合创始人赵长鹏（CZ）等加密货币行业代表人物已公开呼吁钱包服务商，在经历多起地址投毒事件后提升安全防护措施。
本文将解释地址投毒骗局如何利用用户习惯，而非私钥盗窃。文章梳理了攻击者如何操控交易历史、该手法在透明区块链上得逞的原因，以及用户和钱包开发者能采取哪些实际措施降低风险。
地址投毒的真实过程
与以往直接攻破私钥或代码漏洞的攻击不同，地址投毒是通过篡改用户的交易历史，诱导其将资金误转至错误地址的欺诈方式。
此类攻击通常采取如下步骤：
诈骗者利用区块链公开数据筛选出高价值钱包。
伪造一个极为相似于受害者常用地址的钱包地址，例如首尾字符几乎一致。
使用该虚假地址向受害者钱包发起小额甚至零金额的转账。
等待受害者后续从近交易记录中复制了攻击者地址。
一旦受害者误粘贴并转账至恶意地址，诈骗者即可收取所获资金。
受害者的钱包和私钥始终未被触及，区块链加密机制未被破坏。骗局完全依靠人为疏忽和对习惯操作的信任得以实现。
你知道吗？地址投毒骗局伴随以太坊Layer 2网络兴起而激增，低廉的费用使攻击者得以一次性向成千上万个钱包发送尘埃转账。
攻击者如何伪造以假乱真的地址
加密地址是冗长的十六进制字符串，以太坊兼容链地址通常为42位。钱包界面多显示为截断格式，如“0x85c...4b7”，这成为骗子的利用空间。伪造地址往往首尾字符完全一致，仅中间部分不同。
合法地址（示例格式）：
0x742d35Cc6634C0532925a3b844Bc454e4438f44e
被投毒的相似地址：
0x742d35Cc6634C0532925a3b844Bc454e4438f4Ae
诈骗者通过定制地址生成器伪造几乎一致的字符串，仅通过尘埃转账将假地址嵌入受害者的交易历史。对用户而言，粗略一览容易信以为真，尤其多数人不会一一核对完整地址。
你知道吗？部分区块链浏览器已自动标注可疑尘埃交易，帮助用户在操作交易历史前及时发现潜在投毒行为。
为何此类骗局屡屡得手
导致地址投毒极其高效的关键因素交织如下：
人类对长字符串的天然局限：地址既不直观也不易辨认，用户习惯依赖首尾“扫一眼”方式，诈骗者精准利用这一弱点。
钱包便利功能也潜藏风险：许多钱包在近交易旁设有一键复制按钮，虽便于日常操作，但一旦垃圾交易混入便埋下风险。调查者如ZachXBT就曾指出，实体案例中受害者常直接从钱包UI复制了被投毒地址。
3. 不需要技术漏洞：区块链公开且无许可，任何人都能向任何地址发送代币。钱包普遍会显示所有入账和垃圾交易，用户往往信赖自己过往的交易历史。
易受攻击环节在于用户行为和界面体验（UX），而非加密或私钥安全。
私钥防护也并非万无一失
私钥负责交易签名授权，确保只有本人可操作账户。然而，私钥无法验证目标地址的真伪。区块链的核心特性——无许可准入、不可逆转和最小信任——意味着恶意交易一旦上链即不可撤销。
此类骗局中，用户主动签名完成转账。系统完全按设计运行，真正薄弱环节源自人为判定失误。
背后的心理与交互设计问题包括：
操作习惯：许多人多次向相同地址转账，经常直接从交易历史复制，而非手动输入。
认知负担：一笔转账涉及多环节，包括地址、手续费、网络、审批等，逐一核对所有字符令人望而却步。
界面截断：钱包UI只显示部分地址，导致用户检查流于表面。
你知道吗？一些攻击者利用GPU加持的个性化地址生成工具，短时间内可自动生成成千上万个相似钱包地址，提高骗局效率。
防范投毒攻击的实用建议
尽管地址投毒利用的是行为偏差而非技术漏洞，只要小幅调整转账习惯即可大幅降低中招风险。了解以下这些实用措施，能让加密用户无需高深技术也能有效规避巨大损失。
针对普通用户
养成基本核对习惯、规范交易流程，将显著降低遭遇地址投毒骗局的概率。
建立并使用验证过的常用地址簿或白名单。
务必核对完整地址。可用校验工具或逐位比对后再付款。
切勿直接从交易历史复制地址，应手动输入或用收藏功能。
忽略或举报未请求的小额转账，并视为可能的投毒行为。
针对钱包开发者
优化界面设计与内置防护机制，能最大限度减少用户误操作，让地址投毒攻击难以得逞。
过滤或隐藏低额垃圾交易
对收款地址相似性进行检测
签名前进行模拟及风险警示
内置链上黑名单或共享黑名单实现对投毒地址自动检查。
Cointelegraph 始终保持完全的编辑独立性。Features 和 Magazine 内容的选题、委托及发布不受广告商、合作伙伴或任何商业关系的影响。
