地址投毒攻击：工作原理与防范方法
了解地址投毒攻击的工作原理，复制钱包地址的危险性，以及如何避免向相似的地址发送加密货币。
作者： Damon Salvatore · Senior Content Marketer 地址投毒是一种钱包诈骗，它利用了人为的一个小捷径：从交易历史记录中复制地址，而不是向预期的收款人验证地址。
攻击者会从一个看起来与您之前使用过的地址非常相似的地址发送一笔小额交易。之后，当您查看钱包历史记录时，这个虚假地址可能会出现在真实地址附近，攻击者希望您复制错误的收款地址。
当您向常用目的地发送资金时，请使用以下工作流程，尤其是在从钱包、交易所、区块浏览器或之前的交易中复制地址时。
快速解答：什么是地址投毒攻击？
地址投毒攻击是一种诈骗手段，攻击者会使用一个与目标地址非常相似的地址发送一笔小额交易，使该虚假地址出现在您的钱包交易记录中。攻击者希望您之后会误复制该虚假地址，并将资金发送到该地址。
MetaMask 地址投毒指南和Ledger 地址投毒指南都描述了相同的核心模式：攻击者创建相似的地址，并依赖用户从最近的活动中复制地址。
对地址投毒进行链上分析有助于理解为什么诈骗规模会扩大：攻击者可以自动进行小规模的链上操作，并等待紧急转账。
要点总结
- 请勿从钱包历史记录中复制目标地址。
- 请从可信来源验证完整的目的地地址，而不仅仅是地址的首尾字符。
- 微小的灰尘波动可能是诱饵，而不是无害的噪音。
- 硬件钱包屏幕只有在签名前实际比对地址时才有用。
- 保存的地址簿应该来自经过验证的来源，而不是来自随机传入的交易。
地址投毒的运作原理
这种攻击不需要破解加密，它试图让错误的地址看起来似曾相识。
攻击者监视公共区块链活动，识别收发资金的地址，并生成一个具有相似可见字符的地址。然后，他们发送少量代币、NFT 或灰尘交易，使虚假地址出现在受害者的交易记录中。
下一步取决于习惯。如果受害者未经确认就从历史记录、区块浏览器或钱包活动列表中复制收款地址，那么被污染的地址就可能成为新的收款目标。
这就是为什么仅检查地址的开头和结尾几个字符不足以应对高额转账的原因。相似地址的设计目的就是为了绕过这种薄弱的检查。
| 信号 | 更安全的应对措施 |
|---|---|
| 一笔数额很小的未知交易即将到账 | 除非你能验证发送者的身份，否则请将其视为噪音。 |
| 最近活动中出现的地址看起来很眼熟 | 不要从历史记录中复制；从可信收件人处获取地址。 |
| 首尾字符匹配 | 比对更多地址信息，或使用已验证的地址簿。 |
| 大额转账至重复使用目的地 | 发送前请再次生成或确认地址。 |
如何避免地址投毒
请使用来自可信来源的地址，而不是来自随机历史记录条目的地址。
使用收款人当前的收款页面、正式付款请求或您之前已核实的通讯录条目。如果您使用通讯录，请精心创建条目并添加便于日后核对的标签。
对于较大金额的转账，请收款人通过其他渠道确认地址。如果是您自己的冷钱包，请将钱包应用程序中的地址与硬件设备上显示的地址进行比对。
如果某笔交易意义重大，请先进行小额测试转账。测试转账虽然不能证明以后的每笔转账都是安全的，但可以在正式转账之前发现网络或地址方面的安全隐患。
中毒预防清单
- 从收款人当前的收款页面或正式付款请求中获取收款地址。
- 不要从最近的钱包活动、零碎交易或区块浏览器历史记录中复制目标位置。
- 要进行有意义的转账，请比较除首尾字符之外的更多字符。
- 对于重复收件人，请使用已验证的地址簿，并且只从可信来源创建条目。
- 在向新的或不常用的目的地汇款大额资金之前，先进行小额测试汇款。
- 如果钱包应用程序和硬件钱包屏幕显示不一致，请拒绝交易并重新开始。
如果你寄送邮件到了一个被投毒的地址，该怎么办？
如果资金已经发送到攻击者控制的地址，则该交易通常不可逆。请记录交易哈希值、目标地址、时间、金额以及任何相关的钱包历史记录。
立即停止使用被污染的地址源。检查钱包中是否存在其他可疑交易，从地址簿中删除不受信任的联系人，并切换到已验证的接收地址工作流程。
如果错误涉及中心化交易所，请将交易哈希值提交给该交易所进行报告。如果涉及盗窃或欺诈，请考虑向您所在辖区的相应网络犯罪举报渠道提交报告。
UKey 的适用范围
当您使用设备屏幕作为最终地址检查时，UKey 会有所帮助。
UKey Core 26 之所以重要，是因为设备屏幕为用户提供了一个单独的区域，以便在签名前查看目标地址。这种保护措施只有在用户将屏幕视为最终审批来源，而非仅仅作为形式时才有效。
对于地址投毒攻击，习惯比设备名称更重要：从受信任的钱包生成接收地址，在设备上进行比较，并且不要使用未知历史条目作为地址来源。
将此威胁与我们的加密资产安全指南中更广泛的自保风险模型联系起来。
相关资源
继续阅读这些 UKey 指南，将此威胁模型与更安全的钱包设置、审批和自托管习惯联系起来。
本文仅供教育用途，不构成财务、法律、税务、网络安全事件响应或投资建议。威胁、钱包界面和支持的安全功能可能会发生变化。在签署交易或转移资金之前，请务必核实官方来源和最新的钱包说明。
