指南 · 地址风险 · · Stefan Tsezarov
看起来像你的地址
开头像你的。结尾像你的。但它不是你的。
这就是地址投毒。
有人把一个仿冒地址塞进你的交易记录，然后等待。之后你打开记录，看到一行眼熟的内容，复制它，把资金发到了错误的地方。
没有钱包被黑。没有密码被盗。区块链也没有出问题。
只是一次错误的复制粘贴。
永远不要从交易记录中复制地址。
本指南介绍这个手法如何运作、为什么只检查地址的开头和结尾正是诈骗者想要的，以及如何击败它。
01陷阱就在你的记录里
大多数人会一遍又一遍地向同样几个地方转钱。
一个交易所。一个朋友。自己的另一个钱包。一个经常打交道的商家。
区块链地址是公开的，所以攻击者可以观察这些模式。
然后他们生成一个新地址，专门设计得像你已经在用的某个地址。
开头一致。
结尾一致。
中间不同。
现在攻击者需要把这个地址放到你以后会看到的地方。
你的交易记录再合适不过了。
他们可能给你发一笔极小的付款、制造一笔零金额的代币转账，或发送一个用 “USDT” 这类熟悉名称的毫无价值的代币。
这些你都没有要求过。
这正是重点。
攻击者并不是想现在就偷你的钱。
他们是在为以后埋下一个假地址。
02为什么只看两头没用
钱包和区块浏览器会缩短长地址，因为没人愿意在手机上盯着一串 42 个字符。
所以你看到的可能是 0x7a3F…9E2c，而不是完整地址。
人们自然会检查自己能看到的部分。
“对，开头是 7a3F。”
“对，结尾是 9E2c。”
“肯定是同一个地址。”
这正是陷阱所在。
攻击者只需要让可见的部分一致。
生成地址既便宜又自动化。软件可以生成海量候选，直到找到开头和结尾都符合要求的那个。
真正的差别在中间。
而中间恰恰是没人检查的部分。
03假地址出现的三种方式
这个手法不需要你的批准，也不需要你的签名。
一笔极小的付款
攻击者给你发一笔极小的金额。
它会出现在你最近的活动中，正是你以后可能去找熟悉地址的地方。
一笔零金额转账
有些代币合约允许把零个代币的转账记录到链上。
这可能让你的记录看起来包含一笔涉及攻击者仿冒地址的转账，尽管你从未发起过。
一个假代币
攻击者发送一个使用熟悉名称或符号的毫无价值的代币。
你的钱包可能显示出看起来像正常资产的东西。
它是诱饵。
这些交易并不会神奇地让攻击者控制你的钱包。
它们的作用是让错误的地址看起来眼熟。
04一个 6800 万美元的错误
这不只是理论上的手法。
2024 年 5 月 3 日，有人把1,155 枚 wrapped bitcoin（当时价值约 6800 万美元）发到了一个仿冒地址。
这个地址被做得像预期的那个，并且被植入了受害者的交易记录。
大约一周后，在受害者公开向攻击者提出以 10% 作为归还资金的报酬后，攻击者以 ETH 的形式退回了这笔价值。
一次了不起的追回。
但不要把你的安全策略建立在运气上。
Chainalysis 后来追踪了更大范围的攻击活动，发现有超过 80,000 个仿冒地址被撒进了各种交易记录。
其中只有极小一部分真正截获过付款。
而这正是这种诈骗奏效的原因。
攻击者可以用极低的成本布下成千上万个陷阱。
他们只需要有一个人复制一次错误的地址。
05击败它的五个习惯
1. 从原始来源复制。
使用交易所的充值页面、发票、收款人或其他可信来源。不要用你的交易记录。
2. 保存常用地址。
钱包的地址簿比翻找旧交易更安全。
3. 比较完整的地址。
不只是前四个字符。不只是后四个。全部都要比较。
4. 大额转账先测试。
先发一小笔，并让收款人通过另一个渠道确认收到。只有真的有人确认，测试才有用。
5. 把意外的转账当作噪音。
极小的付款、零金额转账和奇怪的代币都可能是诱饵。不要因为它们出现在你的钱包里就去和它们交互。
06自己试试
这里有两个虚构的地址。
虚构示例 · 你想要的地址
虚构示例 · 仿冒地址
现在像钱包通常那样把两个都缩短：0x7a3F…9E2c
看起来一样。
其实不一样。
在扫描器中打开比较两个地址，在每个框中各粘贴一个地址。
你会看到它们是不同的，尽管开头和结尾一致。
这就是一屏之内的地址投毒。
每一个不同的字符都会被标出来。
07比较工具能告诉你什么、不能告诉你什么
比较工具只回答一个问题：
这两个地址真的一样吗？
仅此而已。
它无法告诉你哪个地址是正确的。
这一点很重要。
如果两个地址都来自你的交易记录，它们可能都是错的。
告诉你该用哪个地址的，是原始的可信来源。
这个工具也不会告诉你地址属于谁，或者地址是否被标记为有风险。那是另一项检查。
一个技术细节：在以太坊式地址中，大小写是校验和的一部分，所以比较工具在那里会忽略大小写。在大小写有意义的链上，它会精确比较字符。
比较在你的浏览器中运行。
你粘贴进去的任何内容都不会发送到任何地方。
规则
从来源复制，而不是从记录复制。比较完整的地址，而不是两头。
仅此而已。
一个看起来眼熟的地址仍可能完全不同。
发送之前，确认你复制的地址就是你真正想用的地址。
本指南中的两个示例地址都是虚构的。不要向其中任何一个发送资金。本指南是一般性信息，不是理财建议。