地址投毒是什么？转账怎么防

结论

地址投毒是一类利用“相似地址”和“交易记录习惯”的钱包安全骗局。攻击者通常不会真正拿到你的私钥，而是向你的地址发送极小金额、零金额转账或伪装交易，让一个外形接近常用收款方的地址出现在历史记录里。用户下次复制地址时，如果只看首尾几位、直接从历史记录复制，就可能把资产转给攻击者。它的危险点不在高深漏洞，而在“看起来像正常历史交易”。因此，防范地址投毒的核心不是寻找神奇工具，而是建立固定核验流程：不要从陌生历史记录复制地址，逐字符核对重要地址，使用地址簿或白名单，并在首次或大额转账前做小额测试。关于地址格式本身，可先参考 钱包地址格式；关于授权风险，也可对照 钱包权限检查清单。

地址投毒为什么容易得手

多数钱包地址由很长的字母和数字组成，人眼很难完整记忆。很多用户为了省事，只核对开头和结尾几位，或者从最近交易记录里复制“看起来熟悉”的地址。公开安全资料把这种攻击称为 address poisoning 或 address poisoning scam：攻击者先生成一个与目标地址首尾相似的钱包地址，再向受害者地址发起小额或零价值交互，让假地址混入交易历史。由于链上记录公开，攻击者可以观察常用地址、转账习惯和活跃钱包，再批量制造相似记录。

这类骗局通常不需要突破钱包加密，也不一定需要恶意合约授权。它利用的是复制粘贴、地址缩写显示和用户对历史记录的信任。尤其在转账频繁、收款地址重复、用户只看最近一笔记录的场景里，假地址更容易被误选。若再叠加剪贴板篡改、假客服催促、钓鱼页面引导等风险，损失概率会明显上升。

怎么识别可疑记录

第一，看记录来源。如果你没有主动转账，也没有参与某个合约交互，却突然出现一笔极小金额或零金额的入账、转出样式记录，就要提高警惕。第二，看地址完整度。不要只看“0x 开头”和“最后四位”，因为攻击者正是围绕这些可见字符做相似地址。第三，看资产和网络。地址投毒可能出现在 EVM 链、稳定币转账、NFT 或垃圾代币记录里；同名代币、陌生合约和极小金额都可能是诱饵。第四，看钱包展示方式。有些钱包会折叠中间字符，或把交易对象展示成简短地址，这会放大误判风险。

如果你需要向常用对象付款，应从对方官方渠道、已保存地址簿、硬件钱包屏幕或此前确认过的备注中取地址，而不是从陌生交易记录里复制。对于交易所充值和提现，还要确认网络、memo/tag、白名单和到账确认数，可结合 提现受限申诉 中的材料整理思路保留截图与订单号。

转账前的三步核验

第一步，核对地址来源。新地址应来自官网、App 内收款页、对方已验证通信渠道或内部地址簿；不要从搜索广告、社群私信、陌生链接或最近历史记录直接复制。第二步，核对完整地址。对大额或首次转账，至少逐段核对开头、中间和结尾字符；硬件钱包用户应以设备屏幕显示为准，不只相信电脑网页。第三步，小额测试。先发一笔可承受损失的小额转账，等待对方平台或钱包确认到账后，再执行后续金额。小额测试不是绝对保险，但能发现网络选错、memo/tag 漏填、地址被替换和收款平台不支持等常见问题。

这三步最好固定成习惯，而不是只在“感觉可疑”时才做。很多地址投毒记录本身并不吓人，甚至会伪装成普通历史交易；真正的防线是每次都按同一流程核对。

地址簿和白名单怎么用

对高频收款方，建议使用钱包地址簿、交易所地址白名单或企业内部审批流程。地址簿应包含链名、币种、用途、首次验证时间和备注，不要只保存一串地址。交易所白名单通常会有冷却期和二次验证，它会牺牲一点效率，但能降低临时复制错误地址的概率。若白名单地址需要更新，应按官方流程重新确认，不要在被催促时临时关闭安全设置。

同时，不要把地址簿当成万能保险。电脑中毒、浏览器插件异常、钓鱼网站伪装、远程控制软件和剪贴板劫持仍然可能造成风险。若你发现地址簿里的地址被改动、交易记录出现大量陌生小额转账、钱包弹出不明签名请求，应暂停转账，断开可疑网站连接，并从干净设备重新核验。

被投毒后应该怎么处理

如果只是收到可疑小额记录或垃圾代币，不要与它交互，不要点击附带链接，也不要尝试“领取”“解锁”或授权清理。多数情况下，地址投毒不会直接让你的私钥泄露，但它会污染历史记录。你可以在钱包里隐藏垃圾资产、标记地址、清理常用地址来源，并提醒团队成员不要从该记录复制地址。若已经把资产转到错误地址，链上交易通常不可逆，应尽快保存交易哈希、错误地址、时间、币种网络和相关截图，并通过平台官方渠道咨询是否存在找回流程。

不要相信声称能“保证追回”“先付手续费解冻”的第三方。真正需要做的是复盘入口：地址从哪里复制、有没有核对完整字符、是否使用了小额测试、是否存在剪贴板或浏览器插件异常。把这些问题修正，才比事后追责更有价值。

风险提示

本文仅用于解释地址投毒识别与防范，不提供攻击方法，不构成投资建议、法律建议或资产安全承诺。加密资产价格波动剧烈，链上转账通常不可逆，错误地址、错误网络、钓鱼页面、剪贴板篡改、恶意插件和假客服都可能导致本金损失。请独立核实地址来源、网络、memo/tag 和平台规则，任何人索要助记词、私钥、验证码或远程控制权限都应拒绝。