- 一名加密貨幣用戶因從交易歷史中複製了一個偽造的錢包地址，損失了近 5,000萬美元 USDT。
- 此次攻擊採用了 address poisoning，利用了錢包介面會隱藏地址中間部分的特性。
- 資金被迅速兌換並經多個錢包轉移，其中部分被發送至 Tornado Cash，大大限制了追回的可能性。
一次簡單的複製貼上錯誤，導致鏈上記錄中最昂貴的用戶失誤之一。這起事件凸顯了簡單的介面習慣如何掩蓋本應謹慎的行為，最終導致不可逆的損失。
目錄
一次例行測試轉帳如何變成5,000萬美元損失
根據包括Lookonchain在內的鏈上調查人員表示，受害者起初採取了許多資深用戶認為的最佳實踐：先進行一筆小額測試轉帳。該用戶先向一個熟悉的個人錢包地址發送
然而，這筆測試轉帳卻成了導火索。
幾乎同時，一名詐騙者部署了address poisoning手法。攻擊者創建了一個與受害者真實地址首尾四位相同的錢包地址，並向該地址發送了一筆小額交易，使其記錄在受害者的錢包交易歷史中，看起來就像是真實地址。
當受害者返回準備進行主轉帳時：
Address Poisoning：低技術卻高影響力的攻擊
這種攻擊無需破解私鑰，也不需要利用智能合約，完全依賴於人機介面和用戶行為。
為何這種攻擊仍能大規模奏效
大多數錢包為了提升可讀性，會將地址縮寫。用戶通常只檢查地址的開頭和結尾，這就被攻擊者利用，生成與這些可見字符相同的地址。
在這起事件中，詐騙者在測試轉帳後立即行動，顯示出自動化監控。攻擊者將幾乎一模一樣的地址放進受害者的交易歷史中，讓便利性掩蓋了應有的警惕。
與複雜的DeFi漏洞相比，這種手法被認為非常基礎。然而，結果證明，即使是“簡單”的詐騙，在大額資金面前也能造成災難性損失。
盜竊後的鏈上資金流動
區塊鏈記錄顯示，被盜的USDT並未閒置。攻擊者非常迅速地將部分資金兌換為ETH，並轉移到多個錢包，這是為了減少資金可追蹤性而常見的做法。
這些資產隨後被轉入Tornado Cash，一個可隱藏轉帳痕跡的隱私混幣器。一旦資金進入這類服務，除非交易所或驗證者立即介入，否則幾乎不可能追回。
分析師指出，這一連串的錢包轉移高效且有預謀，說明詐騙者早已做好準備，只等大額轉帳一到手就立即行動。
為何這起事件令分析師震驚
Address poisoning 早已廣為人知，且常被視為只涉及小額資金的騷擾型詐騙。這次事件之所以特別，是因為其規模以及失誤的性質。
受害者本來遵循了常見的安全步驟，先用小額測試。諷刺的是，這一舉動卻給了攻擊者部署偽造地址的最佳時機。
鏈上觀察者指出，只要多花幾秒鐘從原始來源複製地址，而不是從交易歷史複製，就能完全避免損失。區塊鏈的最終性速度讓任何挽回都無從下手。
錢包設計與人為因素
這起事件引發了對錢包用戶體驗設計的質疑。截斷地址雖提升了視覺清晰度，卻降低了用戶在處理大額資金時的安全性。
部分錢包現已會提醒用戶address poisoning風險，或標記與已知地址極為相似的地址。也有錢包提供地址白名單功能，僅允許向預先批准的地址轉帳。不過，這些功能的普及度仍不一致。
對於大額轉帳，僅依賴視覺檢查已證明遠遠不夠。這起案例顯示，即使是經驗豐富的用戶，在時間壓力下也可能陷入可預測的行為模式。
