地址投毒案致1240万美元ETH损失，受害者曾频繁使用DeFi

链上数据显示，一笔价值1240万美元的ETH转账因地址复制错误落入攻击者口袋。受害者钱包0xd674将4556 ETH发送至一个精心伪装的钓鱼地址——该地址首尾字符与Galaxy Digital的存款地址完全一致。

攻击手法：投毒37小时后收网

据Lookonchain监测，攻击者先生成一个与Galaxy Digital官方地址首尾4字符相同的恶意地址，随后向受害者钱包发送微量ETH（0.00000001至0.0000005 ETH）进行“投毒”。这些微小交易混入受害者转账历史中，使其在后续操作时直接复制了错误的地址。安全公司Cyvers Alerts证实，约37小时前该地址已完成首次投毒操作。受害者此前曾频繁向Galaxy Digital地址转账，本次误操作直接导致4556 ETH（约1240万美元）落入攻击者控制。

受害者钱包的DeFi活动轨迹

链上记录显示，0xd674地址并非新手。19小时前，该钱包通过Morpho的Bundler合约执行了多次多调用交易，用于优化复杂的DeFi交互并支付了可观Gas费。此外，该钱包还参与过Compound的USDC市场供应与赎回操作，并将部分资产转换为封装的比特币（WBTC）。分析师指出，即使是深度参与DeFi的用户，依赖复制粘贴地址的习惯仍可能造成灾难性后果。零ETH转账和微量ETH通常用于合约调用或地址检查，而非实际资金流动，但攻击者正是利用这一盲点实施精准钓鱼。