地址中毒和剪贴板劫持者恶意软件：阻止篡改的加密货币和电汇¶

在加密货币转账或银行电汇上单击“发送”后，立即意识到屏幕上的目标地址不是您打算支付的钱包或 IBAN，即使地址的前 4 到 6 个字符和后 4 到 6 个字符看起来相同（0x71C9...89A4），意味着您受到了链上虚荣地址中毒攻击或剪贴板劫持者（“Clipper”）恶意软件。不像一个 加密货币钱包流失或种子短语泄露 当攻击者窃取您的 12 个字恢复短语时，地址中毒和 Clipper 恶意软件都不需要攻击者知道您的私钥。相反，这两种攻击都利用了人类复制和粘贴长字符串的习惯（42-character Ethereum/EVM addresses, 34-to-62-character Bitcoin/Solana/Tron addresses, 或 15-to-34-character international IBAN bank account numbers）并且仅目视检查前四个和后四个字符。如果更改后的地址出现在您的浏览器或桌面中，则在您按下的那一毫秒内 Ctrl+V （Cmd+V），您的计算机或手机有活动的剪贴板监控木马或流氓浏览器扩展程序；请参阅我们的指南 恶意浏览器扩展、剪贴板劫持者和广告软件删除。如果更改的转账是国内或国际银行电汇（SWIFT / SEPA / Fedwire / Faster Payments），立即执行中的召回步骤 企业商业电子邮件泄露 (BEC) 和电汇欺诈召回。如果您面临勒索或直接的生命威胁，请拨打当地的紧急电话号码（911 在美国和加拿大， 112 整个欧盟， 999 在英国）或查看我们的国际目录 紧急号码。

现在就这样做¶

1. 在 10 秒内，运行“记事本复制粘贴测试”来确定您的计算机/手机是否感染了 Clipper 恶意软件，或者您是否不小心从交易历史记录中复制了中毒地址：
2. 打开纯文本编辑器（Notepad, TextEdit，或您的浏览器地址栏），输入或复制真实的钱包地址（0x71C95911E9a5D330f4D621842EC243EE1343292e），然后按 Ctrl+V （Cmd+V）。
3. 结果 A（粘贴的字符串在 Ctrl+C 和 Ctrl+V)：您的设备已主动感染剪贴板劫持者（“Clipper”）恶意软件（Windows/macOS 后台可执行文件或恶意 Chrome/Brave/Edge 浏览器扩展），该软件会拦截操作系统剪贴板 API (AddClipboardFormatListener / NSPasteboard）并将与正则表达式匹配的任何字符串交换为比特币、以太坊、Solana、Tron（USDT），或在 5 毫秒内获得包含攻击者地址的 IBAN。 立即断开该计算机与互联网的连接，并且不要在其上签署任何更多交易。
4. 结果 B（当您复制真实地址时，粘贴的字符串不会改变，因为您不小心从钱包的“最近交易”列表或 Etherscan/Tronscan 中复制了错误的地址）：您遭到了链上虚荣地址中毒骗局，其中机器人监视您的公共区块链传输，生成了一个与您的频繁接收者具有完全相同的开始和结束字符的相似“虚荣”钱包地址，并发送了 $0.00 （或 $0.00001 灰尘）交易到您的钱包，因此它们的相似地址位于您钱包交易历史记录的最顶部，等待您复制它。 您的计算机和私钥没有被黑客入侵；您的钱包助记词仍然安全。
5. 如果您的加密货币交易在内存池中仍处于“待处理”状态（Unconfirmed），广播替换费用（RBF) / 立即取消相同随机数交易：
6. 在以太坊、Arbitrum、Optimism、Polygon、Base 或 BSC 上（MetaMask, Rabby, Ledger Live, Coinbase Wallet)：如果交易尚未包含在区块中，请立即点击**“取消”或在钱包设置中启用自定义随机数并发送0 ETH 使用完全相同的地址发送到您自己的钱包地址 Nonce 数量**，优先燃气费高出 50%（Max Priority Fee) 在验证器确认之前覆盖中毒交易。
7. 关于比特币（Electrum, Sparrow, BlueWallet, Ledger)：右键单击未确认的交易并选择取消（使用RBF双花）或孩子为家长付款（CPFP) 以更高的 sat/vB 费率将资金返回到您自己的找零地址。
8. 如果您发送 USDT （系链）或 USDC （圆圈）到中毒或被劫持的地址，立即提交紧急发行人冻结请求（Blacklist / Freeze）：
9. 与原生比特币或 ETH 不同，** 的智能合约USDT （Tether)** 在以太坊、波场 (TRC-20)、Solana 和 Avalanche 以及 USDC （Circle) 有一个内置的管理 addBlackList() / blacklist() 该功能可以在攻击者通过交易所桥接或兑现之前将被盗代币冻结在攻击者的钱包内。
10. 立即保存交易哈希（TxID)、攻击者的目标地址和您的发送地址，向 FBI IC3 提交在线报告（ic3.gov) 或当地网络警察，在 Chainabuse (chainabuse.com)，并向 Tether (tether.to/en/contact-us -> 法律/执法冻结请求） 或 圆圈（circle.com) 同时跟踪 Etherscan/Tronscan/Arkham 上的资金，以提醒任何中心化交易所 (Binance, Coinbase, Kraken, OKX, Bybit, HTX）攻击者存入资金的那一刻。
11. 如果更改的转账是银行电汇（IBAN / SWIFT / ACH / Faster Payments 被银行 Clipper 恶意软件更改），请在前 30 分钟内致电您银行的电汇欺诈召回服务台：
12. 立即请求SWIFT MT192 / MT199 （pacs.004) 因欺诈而取消和召回，要求您的银行向接收银行的合规部门直接发送银行间赔偿暂缓通知，并报告更改后的通知 IBAN。
13. 复制另一个敏感字符串之前，从浏览器和操作系统中清除 Clipper 恶意软件：
14. 打开 chrome://extensions （或 edge://extensions, brave://extensions, about:addons）并立即删除所有无法识别的扩展。
15. 在 Windows 上，打开任务管理器/Microsoft Sysinternals Autoruns 并检查计划任务， HKCU\Software\Microsoft\Windows\CurrentVersion\Run, 和 %APPDATA% / %LOCALAPPDATA%\Temp 对于监听剪贴板的流氓后台可执行文件。

决策树：地址中毒与 Clipper 恶意软件诊断和响应¶

使用此流程图确定哪个攻击媒介改变了您的目标地址，以及哪些立即行动可以节省您的资金或设备：

flowchart TD
    Incident["发送（或几乎发送）加密货币或银行转账到错误的相似地址"] --> NotepadTest{"运行记事本测试：复制已知良好的钱包/IBAN 地址并将其粘贴到记事本中（Ctrl+C -> Ctrl+V）。粘贴的文本会改变吗？"}

    NotepadTest -->|"是：粘贴的文本在几毫秒内自动交换"| ClipperPath["矢量 A：您的 PC、Mac、手机或浏览器扩展程序上的活动剪贴板劫持者（“Clipper”）恶意软件"]

    NotepadTest -->|"否：粘贴的文本保持相同（您从自己的交易历史记录中复制了相似的地址）"| PoisonPath["VECTOR B：链上虚荣地址中毒骗局（您的设备和种子短语未受到感染）"]

    ClipperPath --> IsolateDevice["步骤 1A：断开受感染电脑/手机与互联网的连接 -> 审核 chrome://extensions 和启动进程 -> 检查 Broader Infostealer 是否也窃取浏览器 Cookies/密码"]

    PoisonPath --> TxStatus{"您是否已广播交易并已确认？"}
    IsolateDevice --> TxStatus

    TxStatus -->|"尚未发送（签名前捕获）"| SafeStop["使用经过验证的完整 42 个字符地址更新您的钱包地址簿/白名单，并且切勿从交易历史记录中复制"]

    TxStatus -->|"内存池中待处理（未确认）"| RBF["紧急：广播 Same-Nonce 0-ETH 自转账 (EVM) 或 RBF 双花（比特币）并取消 50% 的 Gas 费"]

    TxStatus -->|"已确认的链上或银行电汇已发送"| AssetCheck{"发送了什么类型的资产？"}

    AssetCheck -->|"USDT（泰达币）或 USDC（圆形）"| FreezeToken["提交警方/IC3 报告 + 向 Tether/Circle 提交紧急代币黑名单/冻结请求 + 监控 CEX 存款的攻击者地址"]
    AssetCheck -->|"原生 BTC / ETH / SOL"| TraceCEX["通过 Etherscan/Arkham/MistTrack 追踪资金 -> 存入后将执法冻结票发送至目的地交易所（Binance、Coinbase、Kraken、OKX）"]
    AssetCheck -->|"银行电汇 / SEPA IBAN / 快速付款"| WireRecall["立即致电发送银行电汇欺诈服务台进行 SWIFT MT192 / SEPA 召回 + 通知接收银行合规"]

这两种攻击的工作原理：虚荣地址中毒与 Clipper 木马¶

尽管这两种攻击都会导致您的资金进入攻击者的钱包或银行帐户，但它们的技术机制以及它们对设备安全的意义却完全相反：

第一阶段：如果您刚刚将资金发送到中毒或被劫持的地址该怎么办¶

追踪链上转账或调用银行电汇时，时间以分钟为单位。立即执行以下步骤：

1. 追踪和冻结被盗 USDT （系链）或 USDC （圆圈）上链¶

因为超过 75% 的链上地址中毒损失发生在 USDT （在波场 TRC-20 和以太坊 ERC-20）和 USDC，受害者拥有比特币和原生 ETH 所缺乏的关键恢复优势：集中式智能合约冻结。 1. 打开区块链浏览器（etherscan.io, tronscan.org, solscan.io, arbiscan.io）并粘贴您的交易哈希（TxID）： - 单击攻击者的收件人地址以查看您的邮件是否被盗 USDT 或 USDC 仍然放在他们的钱包里，或者他们是否已将其移至中间“跳跃”钱包中。 2. 如果 USDT 或 USDC 仍然位于外部拥有的钱包中（EOA）在以太坊、Tron、Solana、Polygon、Arbitrum、Base 或 Avalanche 上： - 系绳（USDT) 和 圆 (USDC) 通过调用智能合约的 AddedBlackList 在收到执法或经核实的受害者欺诈报告后发挥作用。 - 立即提交： 1. FBI IC3 的紧急报告（ic3.gov)、Action Fraud UK、Europol 或您当地的警察网络犯罪服务台以获取报告参考号。 2. 关于 Chainabuse 的公开欺诈报告 (chainabuse.com) 和 ** Etherscan / Tronscan“报告/标记地址”** 所以钱包安全 API (Blockaid, Blowfish, Wallet Guard, Rabby, MetaMask）立即为其他用户将攻击者的地址标记为红色。 3. Tether 支持的紧急冻结票（tether.to/en/contact-us) 和 MistTrack / SlowMist / Seal 911 (@Seal_911 Telegram、Web3 安全联盟 24/7 紧急事件响应热线） 与您的 TxID、准确的 UTC 时间戳和警察/IC3 参考。 3. 如果攻击者将窃取的加密货币转移到中心化交易所（CEX) 充值地址 (Binance, Coinbase, OKX, Kraken, Bybit, HTX, KuCoin, Gate.io）： - 请注意 Etherscan/Tronscan/Arkham 上标记的 准确的 Exchange 热钱包名称 以及 准确的名称 TxID 存入该交易所的资金。 - 每个主要的中心化交易所都有 24/7 执法和受害者资产冻结门户（Binance Law Enforcement Request / Customer Support Case, Coinbase Support, OKX Risk Control）。提交存款 TxID 立即联系该交易所的支持台，并要求他们对收到存款的子账户进行 7 天的临时合规冻结 TxID [Hash] 同时执法部门发送正式冻结令。

2. 召回已更改的银行电汇（IBAN / Account Number 已被 Clipper 恶意软件替换）¶

如果银行快剪木马 (ClipBanker, Qakbot, ZeuS/ZLoader）交换了供应商或房东的 IBAN 或将其粘贴到网上银行门户时的路由/帐号： 1. 在第一个小时内致电您银行的电汇欺诈/金库召回服务台，并请求立即欺诈电汇召回（SWIFT MT192 / SEPA SCT Recall / Faster Payments APP Fraud Claim）。 2. 查找 银行识别码 (BIC) / 嵌入攻击者的路由号码 IBAN （任何欧洲/英国的字符 5 到 8 IBAN 确定确切的收款银行）并直接致电收款银行的欺诈部门报告该账户 [Attacker IBAN] 是一个钱骡帐户，接收剪贴板恶意软件欺诈的收益。

第 2 阶段：检测并根除剪贴板劫持者（“Clipper”）恶意软件¶

如果您的 记事本复制粘贴测试 显示复制加密地址或 IBAN 并粘贴它会立即交换文本（或者如果您怀疑您的 PC、Mac 或 Android 手机正在运行剪裁器），请在使用该设备进行任何金融活动之前遵循以下取证删除顺序：

1. 首先检查浏览器扩展（跨平台 Clippers 的第一来源）¶

现代攻击者经常将剪贴板交换 JavaScript 隐藏在看似无辜的浏览器扩展中（PDF converters, ad blockers, volume boosters, dark mode toggles, fake MetaMask/Phantom/Ledger helper extensions, 或 ChatGPT sidebar tools）使用浏览器 navigator.clipboard.writeText() 或 document.execCommand('copy') API： 1. 开放chrome://extensions（或edge://extensions, brave://extensions, about:addons 在火狐浏览器中）。 2. 关闭或删除您不 100% 信任的每个扩展，或在 隐身/私人窗口（默认情况下禁用扩展）中测试粘贴。 3. 如果禁用特定浏览器扩展后剪贴板交换立即停止，请单击“报告滥用”和“删除”，然后按照我们的完整浏览器清理指南进行操作： 恶意浏览器扩展、剪贴板劫持者和广告软件删除。

2. 检测并查杀 Windows、macOS 和 Android 上的本机 OS Clipper 木马¶

如果即使您复制并粘贴到剪贴板中，剪贴板仍然会交换您的钱包地址 Notepad.exe 或 TextEdit 当您的网络浏览器完全关闭时，剪辑器将作为本机操作系统后台进程运行：

在 Windows 10 / 11 上：¶

1. 立即断开电脑与 Wi-Fi 和以太网的连接（许多剪辑器喜欢 Laplas Clipper 每次复制地址时都会查询在线 C2 服务器，以便他们可以返回自定义的相似的虚荣地址；切断互联网访问要么停止交换，要么导致恶意软件回退到硬编码地址，并防止并发 信息窃取恶意软件 上传您的文件）。
2. 使用 Process Explorer 或 PowerShell 捕获持有剪贴板链的恶意进程： 打开 管理员 PowerShell 窗口并列出在用户可写目录外执行的所有非 Microsoft 运行进程（%APPDATA%, %LOCALAPPDATA%, %TEMP%, C:\ProgramData）：

   Get-CimInstance Win32_Process | Where-Object { $_.ExecutablePath -match "AppData|Temp|ProgramData|Public" } | Select-Object ProcessId, Name, ExecutablePath, CommandLine | Format-Table -AutoSize
   

3. 检查Windows启动持久性（Scheduled Tasks 和 Run 钥匙）： 90% 的 Windows Clipper 通过伪装的 计划任务 或 注册表 持续存在 Run 键 启动 .vbs, .bat, .ps1, 或 .exe 隐藏在里面 %APPDATA%:

   Get-ScheduledTask | Where-Object { $_.TaskPath -notmatch "\\Microsoft\\" -and $_.State -ne "Disabled" } | Select-Object TaskName, TaskPath, @{N="Actions";E={$_.Actions.Execute + " " + $_.Actions.Arguments}}
   

   并检查当前用户启动注册表项：

   Get-ItemProperty "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run", "HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce"
   

4. 重要警告：Clippers 几乎不会在 Windows 或 macOS 上单独旅行： 在现代网络犯罪活动中（Lumma Stealer, RedLine, Vidar, Stealc, Atomic macOS Stealer），Clipper 模块只是 Infostealer 刮取所有保存的密码、会话 cookie 和软件加密钱包库后留下的最终持久有效负载（MetaMask Local Extension Settings .ldb 文件， Electrum, Exodus, Atomic) 关闭计算机。
5. 如果您在 PC 或 Mac 上发现本机 Clipper 恶意软件，假设每个软件钱包 (MetaMask, Phantom, Rabby, Trust, Exodus）并且该计算机上的每个登录浏览器会话也受到损害。
6. 使用独立、干净的计算机或手机将所有剩余的加密货币从软件热钱包转移到全新的硬件钱包（Ledger, Trezor, Keystone, Coldcard) 种子短语，撤销所有活动的浏览器会话，并执行干净的操作系统重新安装。

在 macOS 上：¶

1. 打开 终端 并检查非 Apple LaunchAgents 和后台进程：

   ls -la "$HOME/Library/LaunchAgents" /Library/LaunchAgents /Library/LaunchDaemons
   

2. 如果你看到一个不熟悉的 .plist 文件启动二进制文件 /tmp/, /Users/Shared/, 或 $HOME/Library/Application Support/，卸载并删除它，然后使用 Malwarebytes for Mac 或 Objective-See 进行扫描 KnockKnock。

在 Android 智能手机上：¶

• Android Clippers 经常伪装成假的侧载 .apk 应用程序（Fake Telegram, Fake WhatsApp, Fake Authenticator或破解游戏）授予辅助服务权限（因为 Android 10+ 限制后台剪贴板读取，除非应用程序是默认输入法键盘 IME 或持有活动的辅助功能覆盖层）。
• 转至 设置 > 辅助功能 > 已安装的应用程序 和 设置 > 系统 > 键盘 > 屏幕键盘，并立即卸载任何无法识别的应用程序。

第 3 阶段：针对地址中毒和 Clipper 恶意软件的永久防御¶

一旦您养成了这五种操作习惯，无论是价值 100,000 美元的 GPU 虚荣地址中毒农场还是隐形剪贴板木马都无法诱骗您再次将资金发送到错误的目的地：

• 1. “Middle-6 + First-4 + Last-4”视觉验证规则：
• 切勿仅检查钱包地址或 IBAN 的前 4 个和最后 4 个字符。
• 因为创建一个匹配 8 个外部字符的个性地址 (4 prefix + 4 suffix，大约 42.9 亿个组合）需要现代 GPU 集群不到 2 秒，攻击者总是可以匹配地址的末尾。
• 然而，对于机会主义投毒机器人来说，在地址中间匹配额外的6个字符（大约72万亿个组合）在计算上是不可行的。在签名之前，请务必根据原始来源验证前 4 个字符、中间的 6 个字符以及最后 4 个字符。
• 2.切勿从“最近交易”历史记录或 Etherscan/Tronscan 活动选项卡复制地址：
• 将您钱包的“交易历史/活动”选项卡视为不受信任的公共涂鸦，地球上的任何人都可以注入假货 $0.00 传输和相似地址。
• 相反，请将每个经常性收件人、冷存储钱包和兑换存款地址保存在钱包的内置通讯录/联系人白名单中，并使用清晰的人类可读标签（"My Coinbase USDC Deposit", "Hardware Ledger Vault #1"）并严格从您保存的地址簿中选择收件人。
• 3.切换到安全第一的钱包，自动标记中毒和首次地址（Rabby, MetaMask Blockaid, Phantom）：
• 现代 Web3 钱包如 Rabby Wallet 和 MetaMask（启用了 Blockaid 安全警报） 在您签名之前会以亮红色警告您，如果：
  • 这是您第一次向这个确切的 42 字符地址发送实际值（"Warning: First-time transfer to this address"），立即发现地址中毒，因为您认为自己正在发送到一个熟悉的旧地址，而实际上您以前从未向攻击者的相似地址发送过资金。
  • 目标地址具有较高的相似度得分（Levenshtein distance）到您历史记录中的另一个地址（"Address Poisoning Detected"）。
• 4.始终验证硬件钱包物理屏幕上的完整目标地址 (Ledger, Trezor, Keystone, Coldcard, GridPlus）：
• 即使受感染 PC 上的 Clipper 恶意软件交换了计算机显示器上的地址（或者即使高级恶意软件挂钩您的浏览器 DOM 以在 Chrome 中显示“真实”地址，同时将攻击者的地址传递给 USB 签名请求），您 PC 上的恶意软件也无法更改物理硬件钱包的隔离 EAL5+/EAL6+ 安全元件屏幕上显示的内容。
• 将硬件钱包的物理 OLED/触摸屏上显示的地址与第二个独立设备进行比较（例如，在登录 PC 硬件钱包时查看智能手机上的收件人发票或二维码）。
• 5.仅当您从原始验证来源重新复制时才发送小测试交易：
• 请注意一个微妙的陷阱：许多 虚荣地址中毒 的受害者非常小心，以至于他们“确实”发送了 $10 test transaction 首先。他们在第二笔交易中仍然损失了 50,000 美元，因为在 10 美元的测试交易在链上确认后 60 秒，攻击者的自动机器人用一个相似的地址毒害了他们的交易历史记录，当受害者发送剩余的 50,000 美元时，他们从最近的交易列表中复制了“我刚刚发送 10 美元的地址”。
• 如果您发送测试交易，请在发送测试之前将经过验证的地址保存在您的地址簿中，并选择该地址簿条目进行主传输。

地区紧急电话号码和机构协议¶

无论您的资金是被链上虚荣地址中毒还是剪贴板恶意软件转移，都需要立即向执法部门和区块链情报部门报告，以强制进行集中交易（CEXs）和稳定币发行人（Tether / Circle）冻结并返还被盗资产：

• 美国和加拿大：
• 紧急服务：拨打911 是否存在任何人身威胁。
• FBI 互联网犯罪投诉中心（IC3)：立即向 ** 提交加密货币或电汇欺诈报告ic3.gov**（对于过去 72 小时内发生的大规模线路或加密货币盗窃事件，请标记向 IC3 恢复资产团队的投诉 RAT 并包括准确的 TxID、区块链网络、代币合约和攻击者钱包地址）。
• 我们。特勤局（USSS) 网络欺诈特别工作组和 CISA：联系您当地的 USSS 外勤办公室了解主要的加密/电汇转移情况，或向 ** 报告恶意软件迹象cisa.gov/report**。
• 加拿大反欺诈中心（CAFC)：报告于 antifraudcentre-centreantifraude.ca 或1-888-495-8501 并向您所在市警察网络犯罪部门提交报告。
• 英国：
• 紧急服务：拨打999（或101 适用于非紧急警察）。
• 诉讼欺诈：致电0300 123 2040 立即（对于正在进行的实时网络/金融犯罪，24/7）或向 ** 报告actionfraud.police.uk**。对于被恶意软件篡改的银行转账，请立即联系您的银行，在英国 Faster Payments 授权推送付款 (APP) 欺诈报销规则。
• 欧盟：
• 紧急服务：拨打112 所有欧盟成员国。
• 欧洲刑警组织国家网络犯罪单位：通过以下方式立即提交警方报告 europol.europa.eu/report-a-crime/report-cybercrime-online （Tether、Circle 和欧盟境内主要交易所要求 MiCA / 反洗钱框架，以维持资产冻结超出最初的紧急冻结）。
• 澳大利亚和新西兰：
• 紧急服务：拨打000 在澳大利亚或 111 在新西兰。
• 报告网络（ACSC 澳大利亚）：报告于cyber.gov.au/report-and-recover/report 或致电 1300 CYBER1 （1300 292 371）。
• CERT NZ（新西兰）：报告于 cert.govt.nz。
• 印度和亚太地区：
• 印度国家网络犯罪帮助热线：拨打1930 立即或向 ** 报告cybercrime.gov.in**。
• 新加坡警察部队（SPF) 反诈骗中心及香港警方(ADCC)：致电1800-722-6688（新加坡）或 18222（Anti-Deception Coordination Centre 香港）。

常见问题¶

如果一个 $0.00 USDT 转账在我的钱包中显示为“从我的地址发送”到一个奇怪的地址，这是否意味着黑客拥有我的助记词或私钥？¶

不，您的助记词和私钥是完全安全的。 在标准以太坊中（ERC-20), 创 (TRC-20）和BNB链（BEP-20）代币智能合约， 转账来源（发件人、收件人、金额） 函数检查调用者是否有移动权限 金额 代表您的代币（`allowance >= amount`）。因为你对陌生人的默认津贴是 0，陌生人经过 金额 = 0，智能合约检查是否 0 >= 0 （这是 真实）并允许地球上的任何人发出假的 0.00 美元 将您的钱包列为发件人的转账事件，无需您的私钥或批准。攻击者这样做只是为了将相似的地址植入您钱包的“近期活动”列表中。

黑客是如何创建一个与我的真实地址以完全相同的 5 个字符开头并以完全相同的 5 个字符结尾的钱包地址的？¶

加密货币钱包地址是从随机私钥以数学方式得出的公共哈希值。虽然不可能对您的特定 42 字符地址的私钥进行逆向工程，但攻击者可以使用消费类显卡集群（`GPUs` 运行工具，例如 `profanity2` 或 `vanity-eth`) 可以生成 每秒数十亿个随机密钥对 并简单地丢弃任何不是以前 4-5 个字符开头并以最后 4-5 个字符结尾的地址。由于匹配 8 到 10 个十六进制字符只需要测试 43 亿到 1 万亿次哈希，因此多 GPU 服务器可以在以下位置生成令人信服的前缀和后缀相似地址： 秒，而中间的 30 个字符仍然完全随机。

在我将以太坊或比特币地址粘贴到网页上后，Clipper 恶意软件是否可以更改它？¶

标准操作系统 Clipper 恶意软件仅在您按下按钮时修改系统剪贴板缓冲区内的文本 Ctrl+C 当你按下的那一刻 Ctrl+V。但是，如果恶意软件在您的网络浏览器中作为 恶意 Chrome/Edge/Firefox 扩展，它对网页的文档对象模型具有完全的读写访问权限（DOM），并且可以在单击“提交”按钮时在基于 Web 的输入框中默默地交换目标地址。这就是为什么您应该始终验证网站上的完整地址 硬件钱包的物理屏幕 在按下物理确认按钮之前。

是否使用 ENS 名称（vitalik.eth）或索拉纳 .sol 域名可以保护我免受地址中毒和 Clipper 恶意软件的侵害吗？¶

使用人类可读的 ENS 名称（`alice.eth`）有助于防止从您的交易历史记录中复制有毒的十六进制地址， 前提是您直接手动输入 ENS 名称，而不是复制和粘贴它。小心两个 ENS 陷阱：首先，攻击者使用不可见的 Unicode 零宽度字符或西里尔文相似字母注册同形异义词/抢注拼写错误的 ENS 域（`aIice.eth`）。其次，始终验证已解析的底层 0x... 硬件钱包屏幕上显示的十六进制地址与收件人的真实地址匹配。

如果我不小心将资金发送到中毒地址，我可以向黑客发送一条链上消息，提供 10% 或 20% 的“白帽赏金”以退还其余部分吗？¶

是的，发送嵌入在链中的 UTF-8 消息 输入数据（十六进制） 向攻击者地址发送一笔小额交易的方法（明确指出执法部门和 Tether/Circle/Exchange 正在提交冻结请求，如果 80% 到 90% 的资金在 24 小时内返还，则提供 10% 到 20% 的奖金）已经在几起引人注目的地址中毒案件中取得了成功，特别是当被盗资产被盗时 泰达币 或 美国农业部 攻击者知道 Tether 或 Circle 即将被列入黑名单并永久冻结在他们的钱包内。请务必同时立即提交 Tether/Circle 冻结请求和警方报告。

相关指南¶

• 恶意浏览器扩展、剪贴板劫持者和广告软件删除
• 加密货币钱包流失和助记词泄露
• 企业商业电子邮件泄露 (BEC) 和电汇欺诈召回
• 会话 cookie 劫持、信息窃取恶意软件和密钥撤销
• 杀猪加密投资骗局和恋爱 DeFi 回收诈骗
• 按国家/地区划分的紧急电话号码

来源和官方指导¶

• 联邦调查局（FBI) 网络犯罪投诉中心 (IC3）和美国特勤局（USSS）：关于加密货币虚荣地址中毒的公共服务警报（Zero-Value Token Transfer) 攻击和剪贴板劫持者恶意软件。
• 网络安全和基础设施安全局（CISA) & MITRE ATT&CK 框架 (Technique T1115: Clipboard Data): 剪贴板监控和替换恶意软件的检测和缓解(ClipBanker, Laplas Clipper）。
• 慢雾&Web3安全联盟（SEAL 911) 研究报告：ERC-20 / TRC-20 的链上分析 transferFrom 零值地址中毒、少量粉尘中毒、 USDT/USDC 紧急黑名单程序。
• 国家网络安全中心（NCSC）（英国）和欧盟网络安全局（ENISA)：保护数字资产交易、硬件钱包验证和支付重定向欺诈防御。