地址投毒攻击致用户损失30.5万枚DAI
TREE NEWS 报道， 据GoPlus Security监测，一名用户因遭遇“地址投毒”攻击损失约30.5万枚DAI。攻击者通过向受害者钱包转入微量代币，生成首尾字符与受害者常用地址高度相似的恶意地址。当受害者从交易历史中复制地址时，误将资金转入攻击者地址。
地址投毒如何运作
地址投毒利用人们在验证长串十六进制钱包地址时依赖视觉捷径的倾向。攻击者生成与目标常用交易对手首尾字符相同的虚荣地址，然后向受害者发送零价值或粉尘交易，污染其交易历史。当受害者稍后从历史记录中复制地址时，可能无意中选择攻击者的地址。
随着DeFi用户与多个协议和钱包交互，这种攻击方式日益普遍。与智能合约漏洞不同，地址投毒不需要任何协议漏洞——它仅针对用户行为。
行业影响
该事件凸显了加密安全的关键缺口：虽然协议经过严格审计，但终端用户的操作安全仍是薄弱环节。钱包界面通常截断地址，难以验证完整字符串。部分钱包已引入地址簿和ENS域名等功能来降低风险，但采用率参差不齐。
- 钱包用户体验：需要改进地址验证工具，如完整地址显示和颜色编码。
- 用户教育：用户必须验证完整地址，而不仅仅是前缀和后缀。
- 链上监控：GoPlus Security等服务对于检测和警报可疑交易至关重要。
前瞻展望
随着加密采用增长，地址投毒可能持续作为低成本、高回报的攻击方式。然而，账户抽象、社交恢复钱包和链上声誉系统等新兴解决方案可能降低其有效性。在此之前，用户必须保持警惕，钱包开发者应优先考虑防范视觉欺骗的安全功能。30.5万枚DAI的损失是一个昂贵的提醒：在DeFi中，验证完整地址不是可选项，而是必需项。
