地址投毒诈骗：为什么你“复制粘贴”的地址会把币转错人

我自己经手过一次差点转错的转账，事后想起来还后背发凉。当时要给合作方转 USDT，图省事没翻通讯录，直接在钱包交易历史里找上次那笔，点开地址一复制就粘上了。粘完顺手瞄了眼头尾——前四位、后四位都对，正要点确认，鬼使神差多看了一眼中间，才发现那根本不是我要转的地址，是一个混进历史里、头尾伪装得一模一样的陌生地址。这就是地址投毒。它不黑你的钱包、不骗你的助记词，只是安静地在你交易记录里埋一颗雷，等你自己踩。

这篇属于防骗自查，讲清一件很具体的事：地址投毒是怎么回事、骗子用哪几种手法把“假地址”塞进你的视野、你为什么恰恰容易上当，以及一套逐条能落地的硬防办法。看完你会明白，为什么我反复强调“永远不要从交易历史里复制收款地址”——这句话是用别人真金白银的教训换来的。

什么是地址投毒

地址投毒（address poisoning），核心就一句话：骗子往你的交易历史里塞进一个和你常用地址“长得几乎一样”的地址——前几位相同、后几位相同、只有中间不一样——赌你下次转账时从历史里复制，一不留神抄错那一个。加密地址通常是一长串字母数字，比如以太坊地址是 0x 打头的四十位十六进制。没人会去逐位背它，绝大多数人认地址就靠“开头几位加结尾几位”。骗子正是抓住这一点。

他们用程序批量生成海量地址，从里面挑出开头、结尾恰好和你某个常用地址撞上的，成本很低；再想办法让这个“双胞胎地址”出现在你的交易列表里——一旦它躺在历史记录中，看起来就和一笔正常往来没两样。等你下次要转给真地址时，如果习惯性从历史里翻、又只对头尾，就很可能复制到这颗雷上。地址是什么、账户在链上怎么表示，以太坊基金会的中文文档讲得比较清楚（以太坊账户）。

它的几种投放手法

骗子要把假地址塞进你的视野，常见有三种手法，你在钱包里看到的“奇怪记录”多半是其中之一。

• 零金额或极小额“灰尘”转账。这是最常见的一种。骗子用那个相似地址，给你发一笔 0 金额、或者零点几分钱的转账（业内叫 dusting，撒灰尘）。这笔转账本身不动你的钱，目的只有一个——让这个相似地址堂堂正正地出现在你的交易列表里，混在真实往来中间。有些手法还会伪造成“从你自己地址转出”的样子，更迷惑。
• 假代币投毒。骗子给你转一个和真代币同名、金额看着还挺可观的假币，比如凭空多出来“1000 USDT”。你一好奇点进去看详情、甚至想复制里面那个发送方地址，就正中下怀——那个地址就是精心做的相似地址。天上不会掉馅饼，钱包里凭空多出来的币，几乎都是诱饵。
• 相似地址加备注/memo 伪装。在支持转账备注、或会展示合约名的场景里，骗子会给假地址配一个看着正规的名字，让它在列表里像“交易所充值地址”“某某收款”，进一步降低你的警惕。

你为什么容易中招

地址投毒能成，靠的不是技术多高明，而是它精准踩中了普通人的几个习惯。把这些习惯摊开看，你就知道防线该修在哪。

• 复制粘贴是肌肉记忆。没人手打四十位地址，人人都复制。而“从哪里复制”这一步，恰恰是投毒下手的地方——从交易历史里复制，等于在骗子布好的雷区里挑地址。
• 只核对前四位后四位。地址太长，肉眼逐位比对几乎没人做得到，于是大家默认“头尾对上就是它”。骗子生成相似地址，赌的就是你只看头尾。
• 转账时往往在赶时间。要么是急着还款、要么是行情波动想快点操作，越急越容易省掉核对，越省核对越容易中招。
• 地址本身没有“语义”。你转错给张三李四，名字对不上一眼能看出来；但一串乱码地址，错了也毫无违和感，大脑不会自动报警。

这四条没有一条是“你太笨”，全是再正常不过的习惯。所以防地址投毒的思路不是“更小心一点”，而是用固定的流程和工具，把靠肉眼、靠记性的环节整个替换掉。想更系统地理解钱包和地址的基础，可以先看这篇（什么是 Web3 钱包）。

逐条硬防

下面这几条是我自己那次之后立的规矩，全部照做，地址投毒基本就和你无关了。它们不难，难的是坚持每次都做。

• 永远不从交易历史复制收款地址。这是第一条，也是最重要的一条。历史记录正是投毒的战场，从那里复制等于自投雷区。要地址就去可信来源——对方当面发的、官方页面上的、你自己存好的。
• 用钱包地址簿/白名单保存常用地址。把经常转的地址（自己的交易所充值地址、常合作的对象）一次性核对无误后存进地址簿，之后转账只从地址簿里选，不再手动粘贴。很多钱包和交易所都支持“提币白名单”，开了它，非白名单地址根本转不出去。
• 先转一笔极小额测试。给不常用的、或大额的地址转账前，先发一笔极小额，等对方确认真收到、地址也对得上，再转大额。几毛钱的 gas，换整笔资金的安全，太划算。
• 核对完整地址，至少核对中间多段。别再只看头尾。要么逐位比对，要么把地址分成开头、中间几段、结尾一起对。投毒赌的就是你不看中间。
• 用硬件钱包时，在设备屏幕上逐位确认。硬件钱包会把待签地址显示在自己的小屏幕上，这是最后一道防线——一定要低头看设备、逐段核对，而不是只信电脑或手机上显示的那串。
• 给地址打标签、做备注。在钱包或区块浏览器里给可信地址加上清晰标注，收到可疑投毒地址就标为垃圾。以后一眼能分清哪个是真、哪个是雷。

万一转错了怎么办

先说最要接受的现实：区块链上的转账基本不可逆。一笔交易被矿工/验证者打包确认后，就永久写进账本，没有银行客服能帮你冲正，也没有“撤销”按钮。如果币转进的是骗子控制的地址，追回的希望极小——对方看到进账，随时可以把币挪走，你连协商的对象都没有。

但“希望极小”不等于什么都别做，几件事仍然值得做：

• 第一时间保存证据。把交易哈希、时间、金额、对方地址、相关截图都留好，不管后面走哪条路都是基础材料。
• 报案与链上举报。金额较大的话，向当地警方报案、保留立案记录是有意义的。你也可以在区块浏览器上给那个骗子地址提交标记、在反诈平台留档，帮后来人少踩坑。但要对结果抱现实预期——这些动作更多是“止损与警示”，而非“找回”。
• 警惕二次诈骗。你被转错的消息一旦流出，多半会有人私信你“我能帮你追回被盗资产”。这些几乎都是二次诈骗，会再骗你一笔“解锁费”或让你签授权，别再往坑里跳。
• 把它当成一次昂贵的教训。转错之后最该做的不是纠结那笔钱，而是立刻把复制粘贴的习惯改掉、把地址簿和小额测试的流程建起来，让损失换来往后不再犯同一个错。

常见误区速查表

关于地址投毒，下面这几句话我听过太多遍，全是把人送进坑里的想法，单独拎出来纠正一下。

这几条里最害人的是前两条：第一条让人把“对头尾”当成了核对，其实等于没核对；第二条让人对天降的假币产生贪念，一贪就点、一点就落套。守住“不从历史复制、不碰不明代币、大额先小额测试”这三条，地址投毒的绝大多数版本都拿你没办法。想把自查做全，钱包和助记词这条底线也别松（助记词安全），遇到任何声称“官方”的通知都先核对来源（辨别官方渠道）。

钱包厂商和安全团队也整理过实用说明，值得交叉参考：MetaMask 官方支持中心有专门讲地址投毒/灰尘攻击的条目（MetaMask 支持中心），安全监测团队 ScamSniffer 长期跟踪这类骗局的最新变种（ScamSniffer），提币白名单、地址簿怎么设，OKX 帮助中心也有说明可作参考（okx.com/help）。

回到开头那次差点转错的经历。真正救我的不是“运气好多看了一眼”，而是从那以后我把靠运气的环节全删了——地址只从地址簿选，大额一定先走小额，核对必看中间。地址投毒不高明，它只是耐心地等你偷懒；你把偷懒的空间堵死，它就一点办法都没有。不妨现在就打开钱包，把常用地址存进地址簿、把提币白名单打开——这比读完这篇文章更重要。

钱包里突然多出来的币，是不是白捡的，可以卖掉吗？

大概率不能，也别碰。地址投毒里有一种玩法就是给你转一个和真代币同名、金额看着还挺大的假币，专门引你点进去、顺手复制里面那个假地址，或者诱你去某个网站授权“变现”。这种币本身没价值，去交易它、去授权它，才是骗子等着你走的下一步。最稳的做法是当它不存在，在钱包里把这条记录隐藏掉，绝不点、不授权、不交易。

我只核对了地址的前四位和后四位，这样够安全吗？

不够，而且这正是地址投毒赌的就是你只看头尾。骗子生成的相似地址，往往前几位、后几位和你常用地址完全一样，只有中间那一大段不同。你只对头尾，中间被换掉照样看不出来，币就转到骗子手里了。正确做法是核对完整地址，至少也要把中间分成几段一起比对，或者干脆不靠肉眼、用地址簿白名单和小额测试来兜底。

已经把币转到投毒的相似地址了，还能追回来吗？

基本追不回。区块链上的转账一旦被打包确认就不可逆，没有客服能帮你撤销，转到骗子控制的地址后，对方随时可以把币挪走。你能做的是保留好交易哈希和相关截图去报案、在区块浏览器上给那个地址做标记提醒别人，但要对追回抱现实的预期——概率极低。把它当成一次昂贵的教训，重点放在以后改掉从历史复制地址的习惯。

用小额先测试一笔，是不是白白浪费 gas 费？

和转错几千上万比，这点 gas 便宜得不能再便宜。给一个大额、又不常用的地址转账前，先发一笔极小额，等对方确认真的收到、地址也核对无误了，再转大额，这一步能挡掉绝大多数复制粘贴出错和地址投毒。花几毛到几块钱的 gas，换一个“转之前先验证”的确定性，怎么算都值。真正浪费的是省这一步、然后把大额转进骗子地址。