作者｜桑幣區識編輯團隊
發布｜2026/10/28
更新｜2026/10/28

準備再次轉帳給熟悉的對象，你打開交易紀錄，複製一個開頭與結尾都很像的地址，卻把資產送給了陌生人。這正是地址投毒常利用的操作習慣。

地址投毒（Address Poisoning）會把攻擊者控制的地址，放進使用者可能參考的交易紀錄，再誘導下一次付款時複製錯誤資訊。整個過程不一定需要取得私鑰；使用者自己簽署一筆目的地錯誤的交易，就可能造成損失。

本文說明這類紀錄如何出現、為什麼只看地址頭尾不夠，以及如何建立較可靠的收款資訊核對流程。

地址投毒是什麼？

地址投毒是一種誘導誤轉的手法。攻擊者利用相似地址、小額交易、零額代幣轉移或其他顯示效果，使自己的地址混入目標使用者的交易歷史。

常見目的是讓使用者誤以為「這就是之前付款的對象」，進而把下一筆真正有價值的資產送過去。

它不會把原本的收款地址在區塊鏈上改成另一個，也不表示原地址的私鑰被破解。被影響的是使用者判斷與複製地址時所依據的資訊。

地址投毒如何運作？

第一步：觀察公開交易

攻擊者可從公開鏈上紀錄看到某個地址與其他地址的互動，挑選使用者可能再次付款的對象作為模仿目標。

這不需要先登入你的錢包。公開交易能提供哪些資訊，可搭配比特幣地址教學理解；不同網路的地址格式與交易模型仍需分開看。

第二步：準備看起來相似的地址

攻擊者可能產生部分字元與目標相似的地址，例如讓前後幾碼接近。介面若把中間字元省略，兩者就更容易混淆。

相似地址仍是不同地址，不是取得原地址的控制權，也不是修改你既有的帳戶。

第三步：讓地址出現在交易紀錄

手法可能包括發送少量真實代幣、建立零額代幣轉移紀錄，或透過假代幣與事件紀錄製造熟悉的外觀。

不同錢包與區塊瀏覽器的顯示方式不同，攻擊者利用的就是使用者可能把這些紀錄當成可信通訊錄。

第四步：等待下一次複製與付款

使用者從可疑紀錄中取出地址，只比對頭尾後便確認。簽署工具可能忠實執行這筆付款，但目的地已經不是原本想付的人。

為什麼只看地址頭尾不夠？

以下只是概念示意，省略內容不是可使用的完整地址：

示意	縮略顯示可能看見	中間內容
正確收款地址	0x12AB…89CD	已核對的正確字串
相似詐騙地址	0x12AB…89CD	不同的字串

如果只比對縮略畫面，兩者可能看起來相同。完整字串不同，就可能是完全不同的收款目標。

因此，核對不能只靠「看起來差不多」，也不能因為地址格式有效或校驗通過，就認定它屬於預期對象。格式驗證與收款人身分驗證，是不同問題。

看到零額轉出，就代表私鑰外洩嗎？

不一定。代幣轉移清單中的一列紀錄，不等於你的帳戶簽署了一筆原生資產轉帳。

某些代幣合約允許第三方觸發零額轉移；惡意合約也可能發出帶有你地址的轉移事件。這些紀錄可能被介面呈現成看似與你有關的活動，卻不能單憑這點證明私鑰外洩。

排查時至少區分：

• 頂層交易的實際發起者是誰。
• 畫面顯示的是原生資產交易、代幣轉移事件，還是其他紀錄。
• 代幣合約是否為真正想查的資產。
• 是否有真實餘額減少，以及其他不認識的簽署或授權。

這不是說所有異常紀錄都可以忽略。如果確認有未授權的實際轉出，或曾洩漏助記詞，應另行處理控制權問題。

地址投毒、粉塵攻擊與剪貼簿劫持有何不同？

類型	主要手法	常見目標
地址投毒	讓相似或詐騙地址混入參考紀錄	誘導下一次付款送錯地方
典型 Bitcoin 粉塵追蹤	送入小額 UTXO，觀察後續花費	增加資金關聯線索
剪貼簿劫持	惡意軟體替換複製的地址	讓貼上內容變成攻擊者地址
假空投釣魚	用陌生資產誘導進入領取網站	取得授權、簽署或備份資訊

地址投毒也可能使用小額交易，因此不同手法可能重疊。但「收到小額 BTC」與「複製到相似收款地址」，不應當成完全相同的問題。

延伸閱讀：粉塵攻擊是什麼？收到不明小額 BTC 的處理教學。

如何避免地址投毒？轉帳前的六步核對

從可信收款來源取得地址

優先使用對方當次提供的收款頁、自己登入的交易所入金頁，或經既有可信管道核實的資料。不要直接把最近一筆交易裡的地址當成已確認收款人。

即使地址曾正確使用，平台也可能更新入金規則，因此仍應確認當次網路與資訊。

比對完整字串

貼上後重新核對來源與目的地址，包含中間部分。確認資產、網路、金額，以及接收平台要求的其他欄位。

同一個 0x 地址可能在不同 EVM 網路使用，但不代表接收平台支援所有網路；地址正確與入金網路正確都要成立。

地址簿與白名單先驗證再儲存

常用對象可利用錢包地址簿或平台白名單管理，減少反覆從歷史紀錄複製。但第一次儲存若已經錯誤，之後只會反覆使用同一個錯誤地址。

收款資訊改變時，透過可信管道重新確認，不只因一則臨時訊息就更換。

小額測試後仍使用同一份已驗證資訊

對較大額或首次付款，可依最低入金額、費用與用途安排測試，並由接收方確認收到。

正式付款時仍需核對地址。不要測試成功後，又從最新交易紀錄重新複製地址；期間可能已混入新的可疑項目。

在簽署畫面再次確認

硬體錢包能協助你核對實際簽署內容，但它不能替你知道商家或朋友真正的地址。若簽署的是錯誤目的地，正常簽章仍可能把錢送錯。

裝置顯示的資訊應與獨立取得的收款來源比對，不只比對電腦與裝置是否顯示同一個已經錯誤的地址。

留意警示，遇異常先停下

錢包或瀏覽器可能標示可疑代幣、未驗證交易或相似地址。先查明原因，不急著略過；沒有出現警示，也不是安全保證。

MetaMask 與 Trezor 有哪些防護？

截至 2026/10/28 核對，MetaMask 官方說明其地址投毒偵測會在送出流程檢查與過往地址相似的目的地，並提供相關警示；官方於 2026 年 6 月公告此功能支援行動版與擴充版的 EVM 網路。

Trezor 官方則說明，Suite 會對符合可疑特徵的交易進行過濾，可能將其模糊顯示並標為未驗證。

這些都是輔助辨識工具，實際介面依版本、網路與設定而異。使用者仍需從可信來源核對完整收款資訊。

來源：MetaMask 地址投毒說明、MetaMask 功能公告、Trezor 官方說明。

如何查詢可疑交易紀錄？

從可信錢包取得交易雜湊，在對應網路的區塊瀏覽器查看詳情。不要只因代幣名稱寫著 USDT 或 USDC，就認定它是真正的代幣；名稱與符號可以被仿冒，還要核對合約地址。

查詢時，分開查看交易發起者、接收或呼叫的合約、代幣事件、數量與狀態。某些代幣紀錄中的「From」欄位，不等於頂層交易的簽署帳戶。

例如要查美元幣，除了名稱，也應從官方資料核對該網路的合約。相關概念可閱讀 USDC 完整介紹。

刪除或隱藏可疑紀錄通常只是改變介面顯示，不會刪除區塊鏈資料。也不需要為了清除紀錄而把助記詞提供給網站。

已經轉到錯誤地址，怎麼辦？

交易還沒送出

取消目前付款草稿，回到可信來源重新取得地址。若貼上內容反覆被替換，另查裝置或剪貼簿問題，不只是清除交易歷史。

交易已送出、尚未確認

先確認交易是否真的已廣播、所在網路與實際狀態。若錢包提供替換或取消操作，其效果仍取決於網路、交易條件與競爭確認結果，不能保證攔截成功。

不要在狀態不明時重複送出同一筆付款，也不要把其他鏈的取消功能直接套用到 Bitcoin。

交易已確認

保存交易雜湊、網路、資產、金額、錯誤地址與相關對話資料。若涉及平台，可立即透過官方支援通報；如有詐騙情事，也可向所在地警方或反詐騙管道報案。

已確認交易通常無法由錢包客服直接撤回。若接收端不由你或願意配合的對方控制，追回並無保證；不要再向宣稱能破解私鑰的人付解鎖費。

地址投毒常見問題 FAQ

地址投毒會修改我的錢包地址嗎？

不會因此把你的原地址改成另一個。常見手法是放入相似地址，誘導你在付款時選錯。

只看到可疑入金，需要立刻換助記詞嗎？

不能只憑可疑紀錄就判斷備份外洩。先確認是否有真實未授權轉出、陌生授權或備份洩漏等其他證據。

地址前後都相同，就代表是同一個地址嗎？

不是。完整字串不同，就可能是不同目的地。中間省略的顯示方式不能用來完整核對。

地址校驗通過就能確定收款人嗎？

不能。校驗主要協助檢查格式或部分輸入錯誤，不會替你驗證地址屬於哪位朋友或哪家平台。

小額測試成功後，大額付款就不用再核對嗎？

仍然要核對。尤其不要在測試後重新從不可信的歷史項目複製地址。

硬體錢包能自動阻止轉錯地址嗎？

不能保證。裝置可以協助核對簽署內容，但使用者仍須知道正確目的地，並實際比較。

看到零額代幣轉出，代表我真的簽過嗎？

不一定。代幣事件或零額轉移紀錄，不能直接等同你的帳戶簽署了原生資產交易。要查交易詳情。

把可疑紀錄隱藏後，就清除投毒了嗎？

隱藏可以減少誤點，但不會刪除鏈上資料。真正付款時，仍應使用獨立核對過的收款資訊。

資料來源

• MetaMask：Address poisoning scams
• MetaMask：Address Poisoning Detection 公告
• Trezor：What are address poisoning attacks and how to avoid them
• Etherscan：Address Poisoning Attacks
• Kraken：Dust and address poisoning

*本文由桑幣區識編輯團隊依據官方資料及公開資訊整理，內容僅供資訊與教育用途，不構成投資建議。