签名与地址
“从零学网络安全”课程第 14 课，共 16 课。免费，有动画和小测验。
地址投毒
钱包地址很长，所以大家只核对开头和结尾。骗子就钻这个空子：生成一个首尾字符相同的地址，用它给你转一笔 0 元转账。它出现在你的记录里，下次你就复制了它而不是真地址。2024 年 5 月，有人就这样一笔转走了 1155 枚 WBTC，约 6800 万美元。那位失主运气好，后来追回了，但通常钱是回不来的。
签名不只是“签个名”
钱包让你确认的不只是转账。授权（approve）让合约以后还能继续拿走你的代币，有时没有上限。permit 签名作用一样，看起来却只是无害的“签署消息”，连手续费都不用。2025 年 5 月以太坊升级后，还出现了一种把账户交给外部代码的签名，骗子已经在里面装上“清扫器”，把转进地址的钱统统扫走。盗币网站（drainer）就是专门骗你签这些的。
专业人士也会盲签
2025 年 2 月 21 日，交易所 Bybit 被盗 15 亿美元。攻击者先感染了 Safe{Wallet} 一名开发者的电脑，Bybit 正是用这个服务签署转账。员工在网页上看到的是普通转账，就签了，可这个签名实际上交出了钱包的控制权。对我们的启示：钱包里显示的如果是看不懂的代码，而不是清楚的“把 X 转给 Y”，那就是盲签，不要签。
怎么避免中招
地址从自己的联系人或收款方屏幕上复制，别从转账记录里复制。大额转账前先转一小笔测试，让对方确认收到。每月打开一次 revoke.cash 之类的工具，撤销陌生授权。玩新项目、空投和 Meme 币用单独的小额钱包，主钱包只连可信的地方。
自测一下
- 丹的记录里有个和朋友地址很像的地址，首尾一样。转账地址该从哪儿拿？
正确答案: 从存好的联系人或朋友那拿，先转一小笔测试. 记录里的相似地址就是投毒陷阱，地址来源必须是你自己。 - 空投网站让你“签个消息就行”，不收手续费。危险在哪？
正确答案: 签名可能授权对方拿走你的代币. permit 和交出账户的签名都不要手续费，却能拿走一切。 - 签名时钱包显示一串看不懂的数据，而不是“转 X”。怎么办？
正确答案: 拒绝：这是盲签. 看不懂就别签。Bybit 就是这样丢了 15 亿美元。