地址投毒：一笔 0 USDT 转账如何混进你的兑换记录（2026）
以太坊 20 个区块窗口里，25% 的 USDT 转账日志金额为 0。这种攻击不签名、不要私钥，只赌你下一次复制收款或退款地址。
2026 年 11 月 7 日，我把以太坊连续 20 个区块（26,363,482–26,363,501）里的 USDT Transfer 日志全部拉了出来：2,346 条中有 587 条金额为 0，占这大约四分钟里该代币转账流量的 25.0%。很多来自批量交易，但有一条不一样：从 0x8c6ff6…91e1 转到 0x8c6f58…91e1，两个地址的首 4 个和后 4 个十六进制字符完全相同。这就是地址投毒。没有私钥被偷、没有合约被授权、没有签名请求；攻击者只为收款人历史里的一行付了 gas，赌你下一次复制粘贴会选错。 (XMR 换 USDT 退出路线)
这个把戏怎么搭起来的。 攻击者先生成一个地址，让它开头和结尾的字符与目标一致。EVM 地址是 20 字节，显示成 40 个十六进制字符；固定前 k 个和后 k 个，中间就空着。虚荣地址搜索大约要 16^(2k) 次尝试：3+3 是 1,670 万次，笔记本几分钟；4+4 是 43 亿次，GPU 机器做得到，但不免费。然后攻击者从仿冒地址向目标发 0 USDT（或 0.000001），可以直接发，也可以通过批量合约发。交易合法、只花一点 gas，却把攻击者地址写进目标的历史。钱包和浏览器只显示首尾几个字符，所以假的乍看就是对的。 (XMR 换 USDT 退出路线)
实测说明了什么、没说明什么。 另一个 20 区块窗口里，0 值占比 14.6%（2,287 条中 333 条）；同期的 USDC 窗口是 19.0%（1,638 条中 311 条）。比例随垃圾波次浮动。0 值转账是廉价的噪音：第一个窗口里的一笔批量交易，向四个代币合约发出 116 条 0 值 Transfer 日志，花了 1,767,530 gas、46.5 gwei，即 0.0000822 ETH；按 14:10 UTC 的 2,243 美元/ETH 约 0.18 美元，摊到每条日志约 0.0016 美元。许多 0 值转账是空投垃圾或索引器把戏；投毒的信号是地址对，不是金额。
为什么这看起来是以太坊的形状。 TRON 连续 60 个区块（87,795,702–87,795,761）里有 27,423 笔交易、5,514 次 TRC20 transfer 调用，0 值调用为 0。用一个有余额的地址对 USDT-TRC20 合约（TR7NHqjeKQxGTCi8q8ZY4pL8otSzgjLj6t）模拟 transfer(0)，消耗 63,999 energy；按网络 100 sun/energy 是 6.3999 TRX，按 0.3196 美元/TRX 约 2.04 美元。以太坊那笔批量交易每条日志 0.0016 美元——便宜约 1,300 倍。这个成本差有助于解释为什么我们量到的批量 0 值垃圾出现在以太坊上。这不代表 TRON 安全：样本只有约三分钟，伪 TRC20 合约或别的转账方法照样能种地址。 (XMR 换 USDT 退出路线)
放到兑换表单上是什么意思。 一次兑换要你填收款地址和退款地址，站点给你入金地址。本站的入金地址按订单生成，下单后才出现，所以没法提前投毒。收款和退款不一样：它们来自你的钱包、地址簿或历史。仿冒地址粘进收款栏，兑换的兑出资产就付给攻击者；粘进退款栏，失败订单的退款就去那里。退款栏总是匆忙填的，还常从上一单页面复制——正是投毒依赖的习惯。门罗的 base58 地址更长也没用，钱包照样截断显示；规则是一样的。 (转错网络如何找回)
五个真正有用的检查。 一，收款/退款地址永远不要从交易历史、浏览器或聊天里复制；打开钱包的收款页，或扫自己钱包的二维码。二，比对整串地址，不是首尾四个字符——中间才是仿冒地址露馅的地方；硬件钱包要在设备屏幕上读完整地址。三，给每个常用的币和网络建一条地址簿记录并打标签；存好的记录不会被 0 值转账改掉。四，检查网络：EVM 地址在以太坊、BSC、Arbitrum、Base 上长得一模一样，一条以太坊的投毒地址可以被粘进 BSC 的收款栏。五，大额先另开一笔小额订单；直接给大单拆一笔入金，可能被当成部分付款，除非服务方明确支持。 (转错网络如何找回)
站点能做什么、不能做什么。 我们的订单表单只要五个字段，不要助记词，也不要签名；收款地址在建单时固定，订单页之后改不了。这去掉了授权钓鱼，但去不掉复制粘贴风险：地址就是你输入的那串。订单页显示入金地址和金额，退款地址存在订单里。钱包里出现 0 值代币，不要交互、不要复制它的地址，能隐藏就隐藏。没有任何东西需要撤销，因为你根本没做过授权。0 值转账动不了资金，它只能给一个地址打广告。 (转错网络如何找回)
清单，以及写作时的数字。 发送前：整串比对、核对网络、查地址簿、看硬件屏幕；大额另开一笔小额订单。那行 0 不是付款，也不是余额，它是广告。截至写作时（2026-11-07 14:23 UTC），100 USDT-TRC20 报 0.1434147 XMR，1,000 报 1.613784 XMR（两条路由，150bps 优势），1 XMR 卖 606.72 USDT（两条路由，201bps），0.01 BTC 买 1.224825 XMR（两条路由，101bps）；目录 438 种资产、65 条网络，其中 6 种需要额外 ID。报价会动，以页面实时报价为准。 (XMR 换 USDT 退出路线)