3个仿冒地址向以太坊(ETH)创世钱包撒尘土投毒

沉睡11.3年后创世钱包转出2,154.94枚ETH

链上数据显示,一个自以太坊2015年创世区块起便沉睡至今的钱包,在发出11年来第一笔转出款项后仅3分钟就遭到骗子撒尘土攻击,但持有人最终仍将全部以太币转到了正确地址。该地址在2015年7月以太坊创世区块中收到首批以太币,2016年3月又追加755枚Ethereum (ETH),此后一直保持沉默,直到11月9日(星期一)深夜。UTC时间22:04,它向一个以0x1321beb8开头、以1A44结尾的新收款地址发出0.05枚ETH的测试转账,按当时以太坊价格约合106美元。这是该钱包有记录以来的第一笔转出,106美元的金额也说明这是一次试探而非真正付款。短短3分钟内,两个仿冒地址就开始向老钱包转发小额ETH,一个以0x13211f开头,另一个以0x1321FB开头,两者同样以1A44结尾。这个沉睡的加密钱包当晚早已引起关注:链上监测服务Whale Alert将其标记为时隔11.3年重新活跃的预挖地址,于11月9日晚间发布提醒。Etherscan将资助两个仿冒地址的账户标注为“Fake_Phishing”,其中更活跃的一个向创世地址发出多达43笔独立的小额转账。UTC时间22:20,新钱包发出0.01枚ETH,几乎全部金额在3分钟后原路退回。首笔测试转账38分钟后的22:42,老钱包将全部2,154.94枚ETH,按当时以太坊价格约合460万美元,转给了真正的收款人,链上交易记录确认了这笔转账。持有人全程无视仿冒条目,创世钱包只留下约0.0004枚ETH,接近2,155枚ETH的全部余额都转入了正确地址。即便如此,0x1321FB仿冒地址在23:03再次发起转账,对一个已经清空的钱包持续施压。

地址投毒如何利用截断显示的地址

这轮撒尘土背后的手法叫地址投毒,它把钱包界面缩短长字符串的习惯变成了攻击面。一个完整的钱包地址共42个字符,大多数界面不会全部展示,而是显示0x6D90...2E48这样的截断形式,因为完整字符串无法一眼辨认。攻击者批量生成数百万个地址,直到其中一个与目标真实联系人地址的首尾字符完全一致,然后发送小额尘土或零金额转账,把伪造条目塞进受害者的近期交易记录。毒一旦下好,假地址距离用户的剪贴板只差一次复制,而零金额转账几乎不花攻击者什么成本,这正是该手法可以规模化的原因。用户下一次付款时若复制了这个条目,资金就进了攻击者口袋,而以太坊转账无法撤销。近期的案例说明了复制环节出错时损失有多大:2025年12月,一名交易者在50美元测试转账后,交易历史随即被脚本投毒,损失了约5,000万美元的USDT;2026年1月,一名受害者将4,556枚Ethereum (ETH),约1,225万美元,转入了攻击者控制的地址;另一位用户在2月损失了60万美元。投毒量已大到扭曲网络统计:监测数据显示,针对以太坊的投毒尝试每天超过100万次。花旗今年1月曾警告,垃圾交易推高了以太坊创纪录的交易笔数,其中大部分新增转账价值不足1美元。存储方式也解决不了这个问题:这批创世资金闲置超过十年,实质上相当于一个冷钱包持仓,风险却只在转账那一刻浮出水面,因为此时必须逐字符确认收款地址。COINOTAG关于如何使用以太坊的指南覆盖了在签署交易前核对收款人的步骤。

3分钟的反应时间才是关键细节:撒尘土紧跟在0.05枚ETH的测试转账之后,而测试转账正是大额持有人确认收款人的标准动作,说明投毒团伙在实时盯链。这位持有人通过了考验,但链上记录也暴露了尚未闭合的缺口。星期二UTC时间03:36和03:49,第三个以1A44结尾的仿冒地址再次向这个如今只剩约0.0004枚ETH的钱包发起零金额转账。硬件钱包化解不了这类风险,因为被投毒的粘贴内容会在确认界面击穿离线密钥存储,真正有效的控制手段是核对完整地址。就在几周前,SlowMist曾就一场通过GitHub传播的Swarm供应链攻击向以太坊(ETH)用户发出警告。