粉尘攻击

从创纪录的高点到惨烈的暴跌，加密货币在本月开局的表现可谓精彩纷呈。无论加密市场接下来是继续繁荣还是再次回落，现在都是提醒读者一些关于加密资产自我托管基本安全操作（OPSEC）的好时机。

对许多人来说，把加密资产存放在 Coinbase、Binance 或其他中心化平台上就已经足够安全。若你属于这一类用户，接下来的内容对你可能没有太大实际意义。但如果你选择自行托管资产，那么以下内容将是一个重要的安全提醒。

掌控自己的资产确实有诸多优势，但也意味着要承担更高的责任。除了要理解网络拥堵、私钥储存的麻烦、以及使用 swap 与 bridge 的操作之外，自我托管还面临另一个潜在风险——所谓的「粉尘攻击」。

那些在加密领域打拼已久的用户，可能曾注意到钱包里突然多出一些莫名其妙的代币，要么名字奇特，要么与某些主流币种的名字非常相似。这些代币通常数量极少、几乎一文不值，因此被称为「粉尘」。

那么，它们是怎么出现的？真是奇怪。

粉尘攻击其实是新的电子邮件「垃圾信息」，两者有许多相似之处。首先，和垃圾邮件一样，大多数灰尘攻击靠数量取胜。

它们执行成本极低，攻击者几乎没有损失。他们会撒下一张大网，试图诱捕尽可能多的目标。即便 99.99% 的人毫发无伤，只要 0.01% 上钩，这场攻击就值回票价。

灰尘攻击大致可以分为三类：钱包去匿名化、网络钓鱼诈骗、地址污染。

1. 1. 钱包去匿名化

这种攻击只对比特币、Cardano、Dogecoin 以及其他基于 UTXO（未花费交易输出）的区块链有效。UTXO 链与以太坊等基于账户的链不同，交易可以把来自不同来源的输入合并在一起，作为一次操作处理。这意味着用户可以把多个不同地址的小额余额“一并打包”到一个新钱包中。这正是尘埃攻击的危险所在：如果用户不小心把来自被「撒尘」的地址的余额与自己控制的另一个地址的余额合并使用，就等于证明了他们同时拥有这两个地址，从而把这些地址关联起来，可能导致去匿名化。在极端情况下，地址可能被关联到某人的现实身份，进而面临胁迫、勒索甚至更严重的后果。即便拥有再强的加密安全，一旦面对持刀的歹徒也可能毫无用处。

1. 2. 网络钓鱼诈骗

尘埃攻击的大多数做法已经从上述方式转向更激进的策略。第二种攻击方式针对以太坊、Solana 及其他智能合约链。与通过关联地址寻找模式不同，这类攻击目标更直接，旨在诱导用户与恶意智能合约互动，从而掏空用户钱包。其典型流程通常如下：

• 1. 攻击者空投一个看起来像正规项目或收藏品的垃圾代币或 NFT
• 2. 可能数月过去，用户才注意到钱包里出现了陌生代币
• 3. 最终用户发现该代币并出于好奇开始调查
• 4. 快速搜索后，用户被引导到一个听起来很酷、带有新 DEX 的项目网站
• 5. 在网站上，用户看到可以出售或兑换所空投的代币
• 6. DEX 会提示用户的钱包进行授权或签名以发起交易
• 7. 一旦签名，攻击者就获得了转移和花费该钱包中“其他”代币的权限
• 8. 用户的钱包因此被攻破，资金可能被转走

攻击向量集中在诱导用户授予远超简单交易所需权限这一点。上文所述仅为一例，但有些尘埃攻击并不涉及其他网站或去中心化交易所（DEX），而是完全在用户钱包内部展开。如果攻击者真懂行，他们甚至可能设计出极其狡猾的合约，利用一些更晦涩的智能合约功能来发动攻击。

在以太坊网络上，一个普通的 ERC-20 代币（自身无特殊权限）通常只影响该代币的转移与持有。然而即便如此，我们仍建议保持谨慎，尤其当相关合约未经充分审计时。真正的危险在于其他代币标准，例如 ERC-777 和 ERC-1363。这类代币具备更高级的能力；因此在获得相应权限后，它们可能造成更大的破坏。可以说，攻击者的武器库更丰富了。

根据所涉智能合约的复杂性，仅仅尝试在用户自己的钱包中出售或兑换该代币就可能出现问题。用户可能需要先对代币进行授权交易，而在授权过程中无意中给恶意智能合约授予了其他无关的权限。即便是技术用户也可能中招，因为有时可以伪装操作的真实目的。合约表面上看起来像是在执行某个平凡的任务，实际上可能在后台做完全不同的事。钱包界面（UI）和去中心化应用（dApp）很容易被利用来隐藏恶意智能合约的真实意图，后果可能非常严重。即便使用硬件钱包的用户，如果在未仔细检查所需权限的情况下批准交易，也可能被攻破。

与其详尽列举恶意智能合约中可能出现的每一个危险函数，我们更简单直接地给出建议：不要与这些合约互动。尽管话题复杂且技术性强，但答案极其明确：

不要动你钱包里的「尘埃」。不要触碰任何你不认识的代币。无论在何种情况下都不要与它们互动。不要尝试销毁它们，也不要试图把它们发到销毁地址（burn address）。那是一个陷阱。离开它们，别理会。

1. 3. 地址污染

地址投毒与上述攻击大不相同。首先，这类攻击既能在 UTXO 链上发生，也能在账户模型链上发生；其次，地址投毒针对的是单一、具体的钱包。投毒骗局通常涉及真实且合法的加密货币，实施成功需要一定技巧。攻击流程如下：

• 1. 攻击者锁定一个高净值目标（大户）
• 2. 该大户需要在不同钱包间频繁转移资产
• 3. 攻击者创建与大户地址相似的新钱包地址
• 4. 攻击者从新钱包向大户发送少量「尘埃」资金
• 5. 大户误将攻击者的钱包当成自己的地址，从而向错误地址发起了转账

例如，这位「大户」可能经常将代币发送到以下地址：

0x32Be343B94f860124dC4fEe278FDCBD38C102D88

由于区块链技术的特性，攻击者可以利用专门的工具生成一个在开头和结尾字符上与目标地址相似的地址，例如：

0x32Be3477e6c13b6A6B25aBcAA29B393777102D88

而人们在核对地址时，往往就是这样做的：检查开头。检查结尾。看起来没问题。发送。等等……哦，糟糕。大户被攻击了。

一个有趣的案例发生在 2024 年 5 月，完全按照上述过程展开。受害的大户误将价值 6800 万美元的包装比特币发送到了错误的地址。接下来的几天里，这位大户通过多笔小额交易附带信息，试图与诈骗者谈判。第一条信息写道：「你赢了兄弟。留 10% 给自己，把 90% 还回来。然后我们就此揭过。我们都知道 700 万美元能让你生活更好，但 7000 万会让你睡不着。」

紧接着又发了一条：「我们都知道这笔资金没法清洗干净，你会被追踪到的。我们也都明白，『睡不着』这句话并不是在评价你的道德品质。」

令人震惊的是，诈骗者最后竟然把所有资金都退了回来，连那 10% 的分成都没要。不过，由于事件期间代币价格上涨，攻击者还是赚了约 300 万美元的差价。

地址投毒攻击通常专门针对高净值的加密货币持有者，但无论钱包大小，结论都是一样的：一定要仔细核对地址。

在涉及加密货币的事务中，结论几乎总是相同的。加密货币自诞生以来的核心理念，就是为人们提供一种不受他人控制的货币形式。而这种理念的直接结果是——用户必须对自己的资产负全部责任。有些人能承担这种责任；有些人不能。而那些愿意承担的人，面对的将是一条更艰难但也更自由的道路。