地址投毒是什麼，它的攻擊邏輯是怎麼運作的？它的核心是一個簡單卻有效的心理陷阱。攻擊者先找到你曾經轉帳給某個地址的記錄（這在公開的區塊鏈上很容易查到），然後生成一個和那個地址「看起來幾乎一樣」的假地址——通常前幾個字元和後幾個字元完全相同，只有中間某些字元被替換。接著，攻擊者用這個假地址發一筆金額為零的「粉塵（dust）交易」給你的錢包，這筆交易就這樣被記錄進你的鏈上歷史。陷阱設好了。等你下次要轉帳時，習慣從交易歷史複製上次的地址，不仔細看完整 42 個字元，就很可能複製到那個假地址，把這次的資金送給攻擊者。攻擊者完全不需要你的私鑰，只需要你的粗心。
為什麼這種攻擊能成功——它利用的是哪些人的哪些習慣？地址投毒攻擊的有效性，建立在兩個結構性現實上。第一個是人類的視覺習慣：以太坊地址有 42 個字元，人腦不會把整串字元都仔細讀完，通常只核對前幾位和後幾位，就認定「差不多」。攻擊者精確地利用這一點，只改中間那些沒人細看的位置。第二個是錢包介面的設計習慣：很多用戶習慣從交易歷史直接複製地址，而不是每次都從通訊錄、白名單或原始來源取得地址。只要這個習慣存在，攻擊的條件就成立了。加上區塊鏈的轉帳不可逆、平均用戶不太可能一字不差地核對 42 個十六進位字元，攻擊者的成功率其實相當高。這是社交工程，不是技術破解。
怎麼識別和防禦地址投毒攻擊？幾個行之有效的防禦方式。第一，也是最重要的：絕對不要從交易歷史複製地址——這是攻擊的根本觸發點。取而代之，把常用的收款地址存入錢包的通訊錄或白名單功能，每次從那裡呼叫，不要從歷史直接抓。第二，若真的需要從某處複製地址，核對前至少把完整的 42 個字元全部展開對比，不要只看首尾。第三，發出大額轉帳前，用先發一筆小額測試的習慣——萬一地址有誤，損失只是那筆小額。第四，警覺錢包裡收到的不明粉塵交易：看到一筆陌生的零金額（或極小金額）入帳，大概率就是攻擊者在設陷阱，不要因好奇點進那個地址、更不要從那筆交易複製地址。
理解地址投毒，對我的日常鏈上操作有哪些實際改變？最直接的一個習慣改變：今天開始，建立你自己的「常用地址通訊錄」，把你常轉帳給的地址（交易所出金地址、朋友的地址、常用合約地址等）一次性存進去，之後每次轉帳都從通訊錄取，不從歷史抓。這個動作幾分鐘可以完成，卻能防掉絕大多數地址投毒攻擊。另一個重要認知：在區塊鏈上，沒有客服能幫你追回誤轉的款項。一旦確認、一旦上鏈，沒有任何機制可以撤回——這是加密世界「自主管理」的實際代價。任何一筆大額轉帳，多花三十秒核對地址，遠比事後懊悔有用。特別是在市場熱情高漲、情緒衝動下的快速操作，往往是地址投毒受害者最常見的情境。
用一個真實風格的情境感受地址投毒的危險。你的工作是頻繁操作 DeFi，每週都會把 ETH 從自管錢包轉到交易所。某天，你的錢包裡出現一筆陌生的零金額入帳，發送方是「0x71C7...76F」，和你常用的交易所出金地址「0x71C7...86F」幾乎一模一樣，只有倒數第四個字元不同。因為金額是零、你沒太在意，也沒細看。
三天後，你準備把 5 ETH 轉到交易所。習慣性打開交易歷史，看到「0x71C7...76F」這個地址，前後幾個字元一看，「嗯，對的」，複製貼上，確認送出。
五分鐘後，你打開交易所看入帳，沒有。打開區塊瀏覽器查 TX Hash，發現資金已送達「0x71C7...76F」——那是攻擊者的地址，不是你的交易所。鏈上確認已超過 20 個區塊，沒有任何辦法追回。
真正損失的，不只是那 5 ETH。在它之前，你以為的每一筆「習慣性操作」，都是潛在的危機等待觸發。地址投毒讓你的安全習慣成為弱點——防禦它的代價很低，忽略它的代價可能是你整個操作歷史裡每一個常用地址。
地址投毒這個攻擊向量揭示了一個更深的取捨：區塊鏈的透明性，同時是它的優點和攻擊面。鏈上資料完全公開，讓任何人都可以驗證、追溯、監督——這是去中心化的核心承諾。但這份透明也讓攻擊者能掃描所有活躍地址、分析轉帳模式、精準設計針對特定地址的假地址。在保護隱私的同時維持公開可驗證，是目前公鏈設計還沒有完美解答的矛盾。目前的實際應對，只有靠使用者自己建立更嚴格的操作紀律——本質上，地址投毒是在提醒你：在一個無法追回的系統裡，粗心的代價比傳統金融要高得多，也快得多。