地址投毒是什么？六步核对教你如何避免地址投毒风险

准备再次转账给熟悉的对象时，你打开交易记录，复制一个开头与结尾都很相似的地址，却将资产发送给了陌生人。这正是地址投毒常利用的操作习惯。

地址投毒（Address Poisoning）会把攻击者控制的地址，放进使用者可能参考的交易纪录，再诱导下一次付款时复制错误资讯。整个过程不一定需要取得私钥；使用者自己签署一笔目的地错误的交易，就可能造成损失。

本文说明这类纪录如何出现、为什么只看地址头尾不够，以及如何建立较可靠的收款资讯核对流程。

地址投毒是什么？

地址投毒是一种诱导误转的手法。攻击者利用相似地址、小额交易、零额代币转移或其他显示效果，使自己的地址混入目标使用者的交易历史。

常见目的是让使用者误以为「这就是之前付款的对象」，进而把下一笔真正有价值的资产送过去。

它不会把原本的收款地址在区块链上改成另一个，也不表示原地址的私钥被破解。被影响的是使用者判断与复制地址时所依据的资讯。

地址投毒如何运作？

第一步：观察公开交易

攻击者可从公开链上纪录看到某个地址与其他地址的互动，挑选使用者可能再次付款的对象作为模仿目标。

这不需要先登入你的钱包。公开交易能提供哪些资讯，可搭配比特币地址教学理解；不同网络的地址格式与交易模型仍需分开看。

第二步：准备看起来相似的地址

攻击者可能产生部分字元与目标相似的地址，例如让前后几码接近。介面若把中间字元省略，两者就更容易混淆。

相似地址仍是不同地址，不是取得原地址的控制权，也不是修改你既有的帐户。

第三步：让地址出现在交易纪录

手法可能包括发送少量真实代币、建立零额代币转移纪录，或透过假代币与事件纪录制造熟悉的外观。

不同钱包与区块浏览器的显示方式不同，攻击者利用的就是使用者可能把这些纪录当成可信通讯录。

第四步：等待下一次复制与付款

使用者从可疑纪录中取出地址，只比对头尾后便确认。签署工具可能忠实执行这笔付款，但目的地已经不是原本想付的人。

为什么只看地址头尾不够？

以下只是概念示意，省略内容不是可使用的完整地址：

如果只比对缩略画面，两者可能看起来相同。完整字串不同，就可能是完全不同的收款目标。

因此，核对不能只靠「看起来差不多」，也不能因为地址格式有效或校验通过，就认定它属于预期对象。格式验证与收款人身分验证，是不同问题。

看到零额转出，就代表私钥外泄吗？

不一定。代币转移清单中的一列纪录，不等于你的帐户签署了一笔原生资产转帐。

某些代币合约允许第三方触发零额转移；恶意合约也可能发出带有你地址的转移事件。这些纪录可能被介面呈现成看似与你有关的活动，却不能单凭这点证明私钥外泄。

排查时至少区分：

这不是说所有异常纪录都可以忽略。如果确认有未授权的实际转出，或曾泄漏助记词，应另行处理控制权问题。

地址投毒、粉尘攻击与剪贴簿劫持有何不同？

地址投毒也可能使用小额交易，因此不同手法可能重叠。但「收到小额BTC」与「复制到相似收款地址」，不应当成完全相同的问题。

如何避免地址投毒？转帐前的六步核对

从可信收款来源取得地址

优先使用对方当次提供的收款页、自己登入的交易所入金页，或经既有可信管道核实的资料。不要直接把最近一笔交易里的地址当成已确认收款人。

即使地址曾正确使用，平台也可能更新入金规则，因此仍应确认当次网络与资讯。

比对完整字串

贴上后重新核对来源与目的地址，包含中间部分。确认资产、网络、金额，以及接收平台要求的其他栏位。

同一个0x 地址可能在不同EVM 网络使用，但不代表接收平台支援所有网络；地址正确与入金网络正确都要成立。

地址簿与白名单先验证再储存

常用对象可利用钱包地址簿或平台白名单管理，减少反覆从历史纪录复制。但第一次储存若已经错误，之后只会反覆使用同一个错误地址。

收款资讯改变时，透过可信管道重新确认，不只因一则临时讯息就更换。

小额测试后仍使用同一份已验证资讯

对较大额或首次付款，可依最低入金额、费用与用途安排测试，并由接收方确认收到。

正式付款时仍需核对地址。不要测试成功后，又从最新交易纪录重新复制地址；期间可能已混入新的可疑项目。

在签署画面再次确认

硬体钱包能协助你核对实际签署内容，但它不能替你知道商家或朋友真正的地址。若签署的是错误目的地，正常签章仍可能把钱送错。

装置显示的资讯应与独立取得的收款来源比对，不只比对电脑与装置是否显示同一个已经错误的地址。

除了收款地址，也需要理解实际同意的资料与权限。

留意警示，遇异常先停下

钱包或浏览器可能标示可疑代币、未验证交易或相似地址。先查明原因，不急着略过；没有出现警示，也不是安全保证。

MetaMask 与Trezor 有哪些防护？

截至2026/10/28 核对，MetaMask 官方说明其地址投毒侦测会在送出流程检查与过往地址相似的目的地，并提供相关警示；官方于2026 年6 月公告此功能支援行动版与扩充版的EVM网络。

Trezor 官方则说明，Suite 会对符合可疑特征的交易进行过滤，可能将其模糊显示并标为未验证。

这些都是辅助辨识工具，实际介面依版本、网络与设定而异。使用者仍需从可信来源核对完整收款资讯。

如何查询可疑交易纪录？

从可信钱包取得交易杂凑，在对应网络的区块浏览器查看详情。不要只因代币名称写着USDT 或USDC，就认定它是真正的代币；名称与符号可以被仿冒，还要核对合约地址。

查询时，分开查看交易发起者、接收或呼叫的合约、代币事件、数量与状态。某些代币纪录中的「From」栏位，不等于顶层交易的签署帐户。

例如要查美元币，除了名称，也应从官方资料核对该网络的合约。

删除或隐藏可疑纪录通常只是改变介面显示，不会删除区块链资料。也不需要为了清除纪录而把助记词提供给网站。

已经转到错误地址，怎么办？

交易还没送出

取消目前付款草稿，回到可信来源重新取得地址。若贴上内容反覆被替换，另查装置或剪贴簿问题，不只是清除交易历史。

交易已送出、尚未确认

先确认交易是否真的已广播、所在网络与实际状态。若钱包提供替换或取消操作，其效果仍取决于网络、交易条件与竞争确认结果，不能保证拦截成功。

不要在状态不明时重复送出同一笔付款，也不要把其他链的取消功能直接套用到Bitcoin。

交易已确认

保存交易杂凑、网络、资产、金额、错误地址与相关对话资料。若涉及平台，可立即透过官方支援通报；如有诈骗情事，也可向所在地警方或反诈骗管道报案。

已确认交易通常无法由钱包客服直接撤回。若接收端不由你或愿意配合的对方控制，追回并无保证；不要再向宣称能破解私钥的人付解锁费。

地址投毒常见问题FAQ

地址投毒会修改我的钱包地址吗？

不会因此把你的原地址改成另一个。常见手法是放入相似地址，诱导你在付款时选错。

只看到可疑入金，需要立刻换助记词吗？

不能只凭可疑纪录就判断备份外泄。先确认是否有真实未授权转出、陌生授权或备份泄漏等其他证据。

地址前后都相同，就代表是同一个地址吗？

不是。完整字串不同，就可能是不同目的地。中间省略的显示方式不能用来完整核对。

地址校验通过就能确定收款人吗？

不能。校验主要协助检查格式或部分输入错误，不会替你验证地址属于哪位朋友或哪家平台。

小额测试成功后，大额付款就不用再核对吗？

仍然要核对。尤其不要在测试后重新从不可信的历史项目复制地址。

硬体钱包能自动阻止转错地址吗？

不能保证。装置可以协助核对签署内容，但使用者仍须知道正确目的地，并实际比较。

看到零额代币转出，代表我真的签过吗？

不一定。代币事件或零额转移纪录，不能直接等同你的帐户签署了原生资产交易。要查交易详情。

把可疑纪录隐藏后，就清除投毒了吗？

隐藏可以减少误点，但不会删除链上资料。真正付款时，仍应使用独立核对过的收款资讯。