Solana錢包449萬個遭地址投毒鎖定，測試轉帳後再匯出30,749.80 USDT

一名Solana（SOL）錢包用戶先向地址試轉10美元，確認小額轉帳成功後，約1分鐘便再匯出30,749.80 USDT。不過，小額轉帳成功並不能確認收款地址屬於預期對象。

區塊鏈數據公司 Bitquery 在調查報告中分析了2025年11月17日發生的這筆轉帳。用戶先向 Gate.io 的充值地址轉入價值10美元的 Tether（USDT）；12秒後，收到一筆來自仿冒地址的小額轉帳，該地址與實際地址相似。約2分鐘後，用戶再向仿冒地址試轉價值10美元的款項；確認轉帳到帳後約1分15秒，又轉出30,749.80 USDT。

這種手法稱為「地址投毒」。攻擊者建立與實際轉帳地址開頭及結尾字元相似的地址，再向用戶轉入小額款項，讓仿冒地址與真正收款地址並列出現在錢包交易紀錄中。用戶若在下一次轉帳時從紀錄複製地址，可能會選錯地址。

Bitquery 統計，從2025年10月30日至2026年10月7日，共有4,497,798個Solana錢包收到符合這種模式的小額轉帳，因而被列為目標。這項統計是依照特定條件收到小額轉帳的錢包數量，不代表所有錢包都蒙受資金損失。

損失分析則涵蓋截至2026年7月9日遭鎖定的約300萬個錢包。其中1,104個錢包曾向仿冒地址轉出至少1美元，轉帳總額為941,006美元。

這筆損失總額只計入符合調查條件的案例，並非整體受害規模。Bitquery 以首次收到小額轉帳後90天內的付款等條件進行統計，並排除部分被認為可能涉及既有交易關係的轉帳。2026年7月9日後遭鎖定的錢包也未納入損失分析。

地址投毒不會直接竊取錢包本身。只有在用戶核准向仿冒地址轉帳時，損失才會發生。收到小額款項本身不會讓錢包資金流失，但若從交易紀錄複製其中的地址，後續款項可能會被轉到錯誤的地方。

錢包業者 Phantom 在安全指引中建議，不要複製交易紀錄中的地址，並在轉帳前核對收款地址。Bitquery 則建議，每次都從交易所的充值頁面或收款方提供的原始來源取得地址，並核對地址開頭、結尾及中間字元；常用地址也可儲存在錢包通訊錄中。