加密貨幣基金匯錯 200 萬美元：假地址 40 個字元只對到 7 個

地址中毒不需要破解任何程式。攻擊者先產生一個開頭與結尾都跟你常用收款地址雷同的錢包，再往你的錢包丟一筆極小額轉帳，讓這個假地址混進交易紀錄。錢包與區塊瀏覽器為了版面好看，通常只顯示地址的頭尾幾碼，中間用刪節號帶過，肉眼比對根本看不出差別。

8 月 22 日，資安商 PeckShield 指出標記為 Bofur Capital 的地址落入這個陷阱。8 月 20 日它剛匯出 200 萬 USDC 給固定往來對象，八分半後那筆 0.0002 USDC 的假轉帳就到了，攻擊者還用假合約在紀錄裡補上兩筆從未發生的 200 萬轉帳。隔天從借貸協議 Compound 提款後半小時，200 萬美元匯進假地址，40 個字元只有 7 個對得上，隨後被換成 DAI 轉走。