以太坊地址中毒攻擊再現！Fusaka事件後駭客竊取逾74萬美元

近期，區塊鏈安全領域再度拉響警報——一場針對以太坊用戶的「地址中毒」（Address Poisoning）攻擊在知名去中心化應用平台 Fusaka 遭入侵後迅速蔓延，短短數日內已造成超過 74萬美元 的資產損失。這類攻擊手法雖非全新，卻因操作隱蔽、防範困難，持續對一般使用者構成威脅。本文將深入解析攻擊原理、實際案例與防禦策略，協助台灣用戶遠離陷阱。

什麼是「地址中毒」攻擊？

地址中毒是一種利用人類視覺盲點與複製貼上習慣的詐騙手法。攻擊者會刻意生成一個與受害者常用錢包地址前後段高度相似的惡意地址，並向該地址發送少量交易（例如 0.001 ETH），使其出現在用戶的交易歷史中。當用戶下次從錢包或區塊瀏覽器複製收款地址時，若未仔細核對，極可能誤選這個「偽裝地址」，導致資金直接轉入駭客手中。

「這種攻擊不靠漏洞，而是利用人性弱點。你以為複製的是自己的地址，其實是駭客精心佈置的誘餌。」——某區塊鏈安全研究員

為何難以察覺？

• 視覺混淆：以太坊地址長達42位元，僅開頭與結尾幾位不同，肉眼極難分辨。
• 交易記錄污染：一旦惡意地址出現在你的交易列表，系統可能自動優先顯示，增加誤用機率。
• 無需私鑰竊取：攻擊者完全不接觸用戶私鑰，傳統防毒或雙重驗證無法防範。

Fusaka 事件如何引爆新一波攻擊潮？

Fusaka 是一個活躍於以太坊生態的 DeFi 平台，近期其官方社群帳號疑似遭駭，發布了錯誤的合約升級指引。雖然平台本身未被直接攻破，但此事件引發大量用戶頻繁進行轉帳與合約互動，為地址中毒攻擊創造了理想環境。根據區塊鏈分析公司 Chainalysis 報告，在 Fusaka 相關活動高峰後的 72 小時內，至少有 12 起 確認的中毒攻擊得手，總損失達 74 萬美元。

攻擊流程示意

台灣用戶如何有效防範？

面對日益精巧的社會工程攻擊，單靠警覺已不足夠。以下實用策略可大幅降低風險：

• 永遠手動輸入常用地址：對固定收款方（如交易所、親友），建議將正確地址儲存在筆記本或密碼管理器，避免依賴交易紀錄。
• 啟用錢包「地址標籤」功能：MetaMask、Trust Wallet 等主流錢包支援為地址添加自訂名稱，可清楚區分真實與可疑地址。
• 轉帳前使用「反向驗證」：先向該地址轉 0.0001 ETH，確認對方能收到後再進行大額轉帳。
• 安裝防釣插件：如「Blockaid」或「Pocket Universe」，可即時警示異常地址或惡意合約。

專家特別提醒：「不要相信任何『看起來像』的地址——在區塊鏈世界，一個字母之差就是天堂與地獄。」

常見問題解答

地址中毒只會發生在以太坊嗎？

不會。所有使用長字串公鑰的區塊鏈（如 BNB Chain、Polygon、Solana）都可能遭受類似攻擊，只是以太坊因交易量大、地址格式固定而成為主要目標。

如果我不小心轉錯地址，錢還能拿回來嗎？

幾乎不可能。區塊鏈交易不可逆，除非駭客自願歸還（極罕見）。唯一可行做法是立即聯繫交易所或區塊鏈分析公司嘗試追蹤資金流向，但成功率極低。

手機錢包比電腦錢包更容易中招嗎？

不一定，但手機螢幕較小，地址顯示不完整，反而更容易看漏差異。建議在手機上轉帳時，務必點擊「展開完整地址」並逐字比對。

交易所提供的收款地址會被中毒嗎？

通常不會。大型交易所（如 Binance、MAX）每次提領都會生成一次性子地址，且具備內部監控機制。但若你自行複製他人提供的「固定充值地址」，仍可能受影響。

有沒有工具可以自動偵測相似地址？

有。部分進階錢包（如 Rabby Wallet）內建「地址相似度警告」功能；也可使用開源工具如「Ethereum Address Checker」上傳交易紀錄進行掃描，找出潛在中毒地址。