地址投毒是什麼？收到陌生 0 元轉帳後，轉帳前該怎麼核對地址

地址投毒（address poisoning）是一種不需要碰你私鑰的詐騙：對方先觀察你常轉帳的地址，產生一個「開頭幾碼和結尾幾碼都一樣」的假地址，再用它對你的錢包發一筆金額極小或為 0 的轉帳，讓假地址出現在你的交易紀錄裡。等你下次圖方便、從紀錄裡複製地址，錢就會轉進對方手裡。看到這種陌生小額轉帳，你的錢包本身沒有被入侵；真正要改的是「從哪裡拿收款地址」和「怎麼核對地址」這兩個習慣。

這篇適合自己操作鏈上轉帳的人：從交易所提領到錢包、從錢包轉到交易所，或在錢包之間搬資產。

先判斷：你遇到的是哪一種情況

Etherscan 在說明頁寫得很直接：看到這類被淡化顯示的轉帳時，「你的錢包沒事，金鑰也是安全的」。投毒的目標是你下一次手動轉帳，而不是你現在的餘額。

為什麼頭尾幾碼對得上還是會出事

錢包和區塊鏈瀏覽器為了版面，常把地址縮成「前 6 碼…後 4 碼」。很多人核對地址也只看這兩段。攻擊者正是利用這點，用程式大量產生地址，直到頭尾幾碼和你常用的對象一致。

教學示例（以下兩個地址為虛構，只為說明比對方式）：

• 你常用的地址：0x7A3c52e1d0b9…9F1e
• 假地址：0x7A3cb81f4a07…9F1e

縮寫成 0x7A3c…9F1e 後兩者完全一樣，只有中段不同。MetaMask 的說明頁也特別提醒：核對時要注意中間的字元，而不只是開頭與結尾。

Etherscan 另外說明了「0 金額代幣轉帳」：攻擊者發出金額為 0 的代幣轉帳，讓紀錄看起來像你曾和某個熟悉的地址往來。Etherscan 會把這類轉帳淡化並標上灰色警示圖示，但不是每個錢包或瀏覽器都會這樣處理。

每次轉帳前的核對順序

1. 從源頭拿地址，不從紀錄拿。收款方是交易所帳戶，就登入該帳戶的「入金／充值」頁重新複製；收款方是別人，請對方重新傳一次，最好透過你們平常用的另一個管道再確認。
2. 常用地址存進地址簿或提領白名單。存的那一次要用上一步的方式從源頭取得並完整核對；之後轉帳從地址簿選，不要貼上。交易所的白名單怎麼設定，可以參考加密貨幣提領的網路、白名單與小額測試。
3. 分段核對完整地址。貼上後，把地址分成 4～5 段，跟源頭逐段對照，中段至少看一段。
4. 大額先小額測試，而且要等對方確認收到。只看自己這邊顯示「成功」沒有用，轉錯地址同樣會顯示成功。請收款方在他的帳戶或錢包裡看到入帳，再送第二筆，而且第二筆的地址要從地址簿或源頭再取一次，不要從剛才的紀錄複製。
5. 錢包跳出「地址相似」或「首次轉帳」警告時停下來。MetaMask 目前會在目的地址與你曾用過的地址高度相似時顯示阻擋警告，對從沒往來的新地址也會提示。看到警告先回源頭核對，不要直接略過。

做到第 2 步之後，你要防的其實只剩「第一次存地址」那一刻。把核對的力氣集中在那一次，比每次轉帳都緊張有效。

收到陌生的小額或 0 金額轉帳怎麼處理

• 不需要把它轉走或「退回」。任何互動都可能讓你的紀錄再多一筆相似地址。
• 不認識的代幣不要嘗試賣出、兌換或授權。這類代幣常附帶要你連到某網站的名稱，屬於另一種詐騙。
• 多數錢包可以隱藏代幣或標記垃圾交易，隱藏只是讓畫面乾淨，不會影響鏈上紀錄。
• 從今天起把那個相似地址當成黑名單，如果它已經被存進地址簿，立刻刪掉。

如果你的資產放在交易所帳戶裡，平常從錢包轉回交易所時也一樣要回到交易所的入金頁取地址。帳戶本身的提領保護設定，可參考帳戶安全設定：Passkey、2FA 與提領保護。

已經轉錯了怎麼辦

區塊鏈轉帳一經確認就無法由你撤回。這時能做的是：

1. 先停止後續轉帳，從源頭重新確認正確地址。
2. 記下 TxID、轉出時間（附時區）、金額、幣種與網路，在區塊鏈瀏覽器確認款項確實進了相似地址。
3. 如果你是從交易所提領，向該交易所客服提交上述資料，說明是誤轉到相似地址；如果收款地址屬於某個交易所或代幣發行方可處理的範圍，對方才有可能介入，但沒有任何一方保證能追回。
4. 向你所在地的警方或主管機關報案，保留截圖與紀錄。
5. 之後若有人私訊說能「幫你追回」並要求先付費，那是另一種詐騙，辨識方法見提領前要先繳稅或解凍費？。

參考資料

• Etherscan Information Center：Zero-Value Token Transfer Attack（info.etherscan.com）
• MetaMask Support：Address poisoning scams（support.metamask.io）
• Trust Wallet Glossary：Address Poisoning（2026-09-25 更新）