转帐前如何核对地址：辨识地址投毒与剪贴簿替换

全文

使用情境：熟悉的地址也需要重新确认

假设你每月支付一位合作伙伴，习惯从最近的转帐纪录复制地址。MetaMask 说明，攻击者可能以外观相似的地址传送极小额或零值交易，让陌生地址混入历史纪录。只认头尾字元，可能把「看起来熟悉」误当成同一位收款人。这是假设付款情境，不是本站实际受害案例。

本流程针对送出前的地址确认。看到陌生入帐本身，不足以证明私钥外泄；不要因为出现一笔零值交易，就跟着陌生讯息操作所谓修复。重点是避免把历史纪录当成已核实的通讯录。

先写下收款对象、付款用途、资产、网路及取得地址的管道。与固定合作伙伴付款时，使用既有且已确认的联络方式核对；临时收到改地址要求，应回到原管道确认，而不是只回覆那则新讯息。对自己的钱包，则从正式收款介面取得资料。

将已确认地址保存到通讯录时，标签应包含用途与网路，避免同名帐户混淆。标签方便辨识，不能替代首次核对。也不要把助记词、私钥或登入密码放进这份付款资料；地址与签名控制权是不同资讯。

第一步，从已核实的收款资料复制完整地址，不从陌生入帐纪录取用。第二步，贴入付款表单后展开完整内容，逐段比对全部字元，包含中间部分，同时确认资产与网路。第三步，送出前再检查金额与实际目的地，不因先前复制成功就略过最后画面。

使用硬体钱包时，再比对装置显示的交易目的地与预期资料。Trezor 文件强调，装置画面确认的是装置要处理的内容，不能判定别人提供的地址是否属于正确收款人。因此，确认对方身分与确认签名内容要分别完成。

人工比对与保存付款资料不需要链上交易费，但需要时间。若另外安排小额测试，会涉及实际交易成本及收款平台可能设定的最低入金条件；应先确认，不把任意小额都当成有效测试。测试后正式付款仍须重新核对。

MetaMask 文件描述了相似地址及首次互动地址的提醒。新地址提醒不代表对方必然恶意，而没有提醒也不能取代自己的核对。本流程提高的是付款资料的可查证性，不保证设备、网站或收款对象在所有方面都安全。

如果原始资料、贴入表单或装置画面不一致，先取消这次操作，记下在哪一步出现差异。不要只改几个字元后立即送出，也不要为了测试可疑地址而转入资金。重新从可信管道取得资料；若怀疑剪贴簿或装置环境有问题，先依官方支援流程排查。

如果已送出，保存交易识别码、网路、金额及实际地址，与收款端确认状态。不要预设可以取消或追回，也不要为了启动退款再付一笔钱。向官方支援提交必要资料即可，任何要求助记词或私钥的处理方式都不应采用。

送出前的检查表可以只列五项：地址来源已确认、完整地址相符、网路与资产相符、金额正确、最终确认画面符合本意。硬体钱包使用者另记装置比对结果；没有装置时不要假装完成这项检查。

付款后把交易识别码与原订单连结，等收款端确认后再结清。纪录应能区分「已完成地址核对」「已送出」「已收款」三种状态；未确认的步骤保留待处理，才能避免下一次把一笔尚未查清的纪录当成可信地址来源。