地址中毒攻击无需窃取私钥即可造成巨额损失

2026年2月，一名用户因地址中毒攻击损失3.5枚wBTC（约26.4万美元）。此类攻击通过伪造交易历史记录诱骗用户发送资金至恶意地址，暴露了加密货币钱包界面设计与用户行为安全漏洞。Binance创始人赵长鹏已呼吁加强安全防护。

攻击原理与案例

地址中毒利用用户对交易历史的信任，而非直接窃取私钥。攻击者通常通过以下步骤实施：
1. 通过公开区块链数据锁定高价值钱包
2. 创建与用户常用地址首尾字符相似的伪造地址
3. 向目标钱包发送小额或零价值交易
4. 诱使用户从交易记录中直接复制恶意地址

2025年曾发生5000万美元USDT被骗事件，2026年2月的3.5 wBTC损失再次证明该攻击方式的危害性。加密货币钱包显示所有交易（包括垃圾信息），使攻击者得以植入伪造记录。

行业应对措施

区块链分析平台已开始自动标记可疑小额交易，帮助用户识别潜在风险。专家建议用户建立白名单地址簿、手动验证完整地址、避免直接复制交易历史记录。开发者则需改进界面设计，包括过滤垃圾交易、增加相似地址检测功能、内嵌链上查询黑名单等。

技术特性与安全漏洞

区块链的无需许可性质使攻击者可向任意地址发送代币，而钱包界面默认显示所有交易的特性放大了这一风险。虽然私钥未被窃取，但用户误判地址的行为缺口导致资金损失。Phantom等钱包的便捷复制功能在遭遇伪造地址时反而成为风险点。