什么是地址投毒攻击？为何连谨慎的加密用户也会中招
想象一下，你正通过短信让朋友转账给你，但有人创建了一个几乎与你联系人一模一样的假账号——前几个字母一样，后几个字母也一样。你匆匆一瞥，以为是正确的人，便点了发送。这正是当前加密世界中‘地址投毒攻击’的真实写照。
这类攻击并不破解系统或窃取密码，而是利用人类大脑的运作方式：我们快速浏览、习惯性假设、依赖视觉相似性。在区块链这种交易一旦发出就无法撤销的环境中，一个微小的误判可能带来真金白银的损失。
地址投毒如何运作
在像Solana这样的区块链上（最近的Squads事件就发生在此），你的钱包地址是公开可见的——任何人都能查看。攻击者正是利用这种开放性，制造出外观几乎与你或你团队地址一致的虚假钱包地址。
例如：
- 真实地址：
ABCD...XYZ - 伪造地址：
ABCF...XYA
如果你只检查开头和结尾部分——这正是许多人的习惯——可能根本察觉不到中间细微的差异。这就像在拥挤的邮箱里把“John Smith”误认成“Jon Smyth”。
在多重签名钱包（需要多人共同批准交易，如同带多把钥匙的数字保险箱）中，攻击者更进一步：他们创建一个新的虚假多重签名账户，并将你的公钥加入其中。由于系统会显示所有关联到你地址的账户，这个伪造账户就会出现在你的列表中，与真实账户并列出现。
攻击目标不是系统漏洞，而是人性弱点
关键在于，这些攻击并未利用软件漏洞。区块链本身依然安全。攻击者真正赌的是你可能会：
- 因疏忽将资金转至伪造地址
- 错误地批准一笔看似来自团队的交易
- 把诈骗账户误认为合法账户
没有代码被破坏，也没有私钥被盗。真正的漏洞在于人类自身：速度、惯性与视觉上的高度相似性。
开发者正在采取哪些应对措施
Squads等工具的开发团队正在推出更新，以降低欺骗成功的可能性：
- 即时修复：对陌生账户添加警告横幅，新创建的多重签名账户若从未使用过，也会被特别标记。
- 即将上线：新账户不会自动显示，必须手动确认（即“白名单”）才能看到——就像验证一台新设备登录你的邮箱时那样。
这些改进旨在让你慢下来一点，从而在行动前多确认一次。
如何立即保护自己
你无需成为技术专家也能确保安全。只需养成几个细心的习惯即可：
- 绝不信任部分地址——只要可能，务必核对完整地址字符串。
- 将可信账户置顶，方便查找，避免混淆。
- 在批准任何异常交易前，务必与团队沟通——即使看起来“没错”也要确认。
- 将每个新账户视为可疑对象，直到通过独立渠道（如电话或加密聊天）确认无误。
记住：区块链交易无法撤销。一次误点，后果永久。
对普通用户意味着什么？
即使你现在还没用多重签名钱包，这件事也与你息息相关。随着加密货币越来越普及——用于支付、储蓄或社区项目——骗子们将持续升级他们的伎俩，专门针对我们的视觉习惯和行为模式。学会暂停、核实、质疑那些“几乎正确”的细节，远比依赖任何应用更新更能保护自己。
安全不是出于过度担忧，而是建立简单而持续的习惯，在一个错误无法挽回的世界里守护自己。
核心要点
- 地址投毒通过制造外观几乎相同的虚假钱包地址来欺骗用户。
- 这类攻击的成功源于人为失误，而非系统漏洞——私钥未被窃取。
- 务必核对完整地址，并在行动前与团队确认异常操作。
- 即将推出的界面优化将帮助识别可疑账户，但个人警惕仍是关键。
- 区块链交易不可逆，预防才是唯一有效防御手段。
— Editorial Team
