Varför din plånbok visar en överföring du aldrig skickade: nollvärdestransaktioner och adressförgiftning

En okänd utgående transaktion betyder inte automatiskt att din plånbok har hackats. Lär dig vad poster med nollvärde, förväxlingsbara adresser och verkliga tillgångsrörelser faktiskt bevisar.

Vad bevisar den här posten om min plånbok?

Om din historik plötsligt säger att du skickade 0 USDT till en okänd adress betyder det inte i sig att någon har fått tillgång till din privata nyckel. En tredje part kan skapa vissa poster om tokenöverföringar med beloppet noll och ange din adress utan din underskrift eller tillåtelse att spendera ett belopp över noll. Posten kan finnas på blockkedjan trots att du aldrig initierade den.

De användbara frågorna är mer specifika: Vilken tillgång gäller det? Hur mycket flyttades faktiskt? Vem skickade transaktionen? Vad godkände en eventuell verklig utgift?

• En tokenhändelse med nollbelopp bevisar inte att du signerade eller spenderade något. För en äkta token betyder exakt noll att den specifika överföringen inte flyttade några token.
• En överföring under ett välbekant tokennamn identifierar inte tillgången. Ett orelaterat kontrakt kan använda samma namn och symbol.
• En mycket liten inkommande betalning kan vara äkta samtidigt som den planterar en vilseledande avsändaradress i din historik.
• En bekräftad, oförklarad utgående rörelse av äkta tillgångar behöver undersökas. Avfärda den inte bara för att ett annat fält visar noll.

Den här guiden gäller Ethereum, BNB Smart Chain (BSC) och liknande nätverk med tokenkontrakt av Ethereum-typ. Exemplen är avsiktligt förenklade, påhittade poster, inte skärmbilder eller resultat från en viss plånbok.

Börja med att identifiera vilket fält som visar noll

Uttrycket nollvärdestransaktion används för flera olika saker. Bara en av följande visningar säger att antalet token är noll:

• Tokenbelopp: 0 USDC. För det äkta USDC-kontraktet betyder exakt noll att just den överföringen inte flyttar några USDC.
• Transaktionsvärde: 0 ETH. Ingen ETH bifogades huvudtransaktionen. Token kan ändå flyttas och kontraktsåtgärder utföras.
• Uppskattat värde: $0.00. Gränssnittet visar en värdering i fiatvaluta. Den fastställer inte antalet token.

På BSC använder fältet för nätverkets egen valuta normalt BNB i stället för ETH. En kontraktsinteraktion med noll i ursprungligt valutavärde kan överföra token, ändra spenderingsbehörigheter eller utlösa andra åtgärder. Det ursprungliga värdet är separat från transaktionens indata.

Ett litet positivt belopp kan avrundas till $0.00. En tillgång utan tillförlitlig prissättning kan också ha en missvisande fiatvisning. Visa tokenbeloppet med full precision; även ett visat belopp på 0.00 kan dölja ett mindre positivt belopp. En förändring av portföljvärderingen är inte ett tillförlitligt mått på enheter som kommer in på eller lämnar ett konto.

Noll är ett tillåtet tokenbelopp, så noll i sig bevisar inget angrepp. Snarlika adresser och kopierade betalningsuppgifter är ledtrådar att undersöka.

Varför de två Från-fälten kan skilja sig åt

En plånbokshistorik kan kombinera uppgifter från olika nivåer:

1. Transaktionen: den signerade instruktionen som skickats till nätverket. För en vanlig Ethereum-transaktion identifierar huvudfältet Från kontot som signerade.
2. Tokenhändelsen: en post som ett kontrakt avger under körningen. En Transfer-händelse har egna fält för Från, Till och belopp.
3. Historikraden: plånbokens eller blockutforskarens presentation av uppgifterna. Den kan märka en händelse OUT eftersom din adress anges som avsändare i händelsen.

Dessa två Från-fält är inte utbytbara. Att din adress förekommer i en händelse är inte en underskrift från din plånbok. Ett skadligt kontrakt kan lägga in din adress i händelsedata, men det gör inte att loggen kommer från det äkta tokenkontraktet. Kontraktet som avger händelsen är därför en viktig del av bevisningen.

På samma sätt identifierar en transaktionshash en transaktion, inte ditt samtycke. En inkluderad transaktion märkt Success visar att den yttre körningen inte återställdes. Det är inget godkännande av tokenen, mottagaren eller syftet.

Fem kommenterade exempel från transaktionshistoriken

Exempel 1: En utgående överföring av noll token som du aldrig signerade

Historikpost: OUT · 0 USDC · Från din adress till en okänd, snarlik adress.

• Transaktionens Från: ett orelaterat konto skickade transaktionen.
• Tokenhändelsens Från: händelsen anger din adress.
• Utfärdande tokenkontrakt: det äkta USDC-kontraktet på detta nätverk.
• Exakt tokenbelopp: noll.

Vad detta bevisar: det äkta tokenkontraktet registrerade en överföring med noll token där din adress angavs. Just den överföringen flyttade inga USDC. Det bevisar inte att din plånbok signerade transaktionen, att anroparen får spendera ett positivt belopp eller att din nyckel stulits.

Hur det går till: ERC-20, den vanliga tokenstandarden, kräver att överföringar med nollbelopp avger Transfer-händelser. I vanliga implementationer kontrollerar den delegerade överföringsfunktionen transferFrom om det begärda beloppet överstiger anroparens tillåtna belopp. Noll överstiger inte en tillåtelse på noll. Med förbehåll för kontraktets övriga regler kan anropet lyckas utan tidigare godkännande.

Det är ingen universell garanti för varje token. Enskilda kontrakt kan införa ytterligare begränsningar.

Vad du bör kontrollera härnäst: granska resten av transaktionen. En rad med noll beskriver bara just den raden; en annan åtgärd kan ha haft en annan effekt. Om det är en isolerad adressförgiftningspost utan misstänkta utgifter eller behörighetsändringar bör du undvika den planterade adressen, inte automatiskt anta att plånboken måste bytas.

Exempel 2: En falsk transaktion som visar ett stort tokenbelopp

Historikpost: OUT · 2,500 USDC · Från din adress till en okänd adress.

• Visad tokensymbol: USDC.
• Kontrakt som avgav händelsen: ett orelaterat kontrakt, inte äkta USDC.
• Rapporterat händelsebelopp: 2,500.
• Rörelse av äkta USDC i transaktionen: ingen.

Vad detta bevisar: ett annat kontrakt avgav en post som visas under etiketten USDC. Det bevisar inte att 2,500 äkta USDC lämnade ditt konto.

En falsk transaktion i en plånbok kan vara verkliga blockkedjedata med en vilseledande tolkning. Angripare kan kopiera en tokens namn och symbol och avge händelser som liknar dina tidigare betalningar, även deras belopp. Icke-standardiserade kontrakt kan också avge överföringsposter som inte motsvarar ändringar i deras egna saldon.

Vad du bör kontrollera härnäst: identifiera nätverket och det exakta kontrakt som avgav händelsen. Jämför adressen med utgivarens oberoende inhämtade kontraktsuppgifter för nätverket. En bekant kortkod, logotyp eller etikett om verifierad källkod räcker inte för att fastställa utgivarens identitet.

Exempel 3: En mycket liten verklig betalning från en snarlik adress

Historikpost: IN · 0.000001 USDC · Från en okänd adress till din adress.

Anta att det äkta tokenkontraktet bekräftar överföringen och att ditt tokensaldo ökar med detta minimala belopp. Här har riktiga token kommit in. Mottagandet krävde inte att du godkände avsändaren och ger inte avsändaren rätt att spendera.

Fällan är adressen. Betrakta de här påhittade exemplen, uppdelade med mellanslag så att alla tecken syns. Verkliga adresser innehåller inga mellanslag; de fetmarkerade mittgrupperna skiljer sig åt:

Verifierad mottagare: 0x7a2f 1111 2222 3333 4444 5555 6666 7777 8888 9c4d

Planterad adress: 0x7a2f aaaa bbbb cccc dddd eeee ffff 0000 1111 9c4d

Ett gränssnitt som bara visar början och slutet kan visa båda som 0x7a2f...9c4d.

Vad detta bevisar: någon skickade ett litet belopp till dig från den adressen. Det bevisar inte att avsändaren är din vanliga mottagare eller ett konto du kontrollerar. Att de synliga tecknen matchar bevisar inte ägarskap.

Vad du bör kontrollera härnäst: hämta den avsedda destinationsadressen från en separat verifierad kontakt eller mottagarens betrodda kontosida. Jämför hela adressen. Adressförgiftning försöker få dig att använda en planterad historikpost som adress för en senare betalning. Förlusten kan ske senare när du godkänner en helt giltig överföring till fel destination.

Exempel 4: Noll ETH, men 2,500 äkta token lämnar kontot

Transaktionshuvud: Value · 0 ETH.

• Nätverkets egna värde bifogat anropet: 0 ETH.
• Överföring av äkta token: 2,500 USDC från din adress.
• Förändring av USDC-saldot genom transaktionen: en minskning med 2,500 USDC.
• Körningsstatus: Success.

Vad detta bevisar: äkta USDC skickades ut i exemplet. Nollan beskriver mängden ETH som bifogades anropet. Den beskriver inte USDC-överföringen och utesluter inte gasavgifter.

Vad som fortfarande är okänt: varför betalningen skedde och om du avsåg den. Den kan motsvara ett byte, en insättning, en schemalagd åtgärd, en betalning till fel adress eller obehöriga utgifter. Jämför med åtgärden du utförde och den avsedda destinationen innan du klassificerar den.

Exempel 5: Äkta token lämnar kontot, men ett annat konto skickade transaktionen

Historikpost: OUT · 500 äkta USDC · En okänd destination.

Anta att den lyckade transaktionen minskade ditt saldo av äkta USDC med 500, men att dess huvudsakliga Från-fält anger någon annan.

Vad detta bevisar: tokenen flyttades. Att transaktionen har en annan avsändare gör inte förflyttningen falsk.

En tidigare godkänd spenderare kan använda en tokentillåtelse utan att du måste signera en ny transaktion för varje uttag. Vissa token stöder också permit-signaturer som godkänner en tillåtelse genom ett signerat meddelande som någon annan kan skicka in. Smarta konton och delegerade plånböcker ger fler sätt för andra att skicka en auktoriserad åtgärd.

Vad du bör kontrollera härnäst: granska spenderaren, relevant tillåtelse eller signerad behörighet och plånboksoperationen. Om debiteringen fortfarande saknar förklaring ska du behandla den som en säkerhetsincident. Bevisningen kan tyda på ett skadligt godkännande, en vilseledande signatur eller komprometterad kontokontroll; raden ensam avgör inte vilket.

För en vanlig, direkt signerad transaktion är din adress i transaktionens huvudsakliga Från-fält bevis på en giltig signatur för kontot. Det bevisar ändå inte att du förstod åtgärden, avsåg mottagaren eller personligen initierade transaktionen. Ett Från-fält i en tokenhändelse ger mycket svagare bevis.

Vad de 270 miljoner försöken till adressförgiftning faktiskt mätte

En tvåårig analys av aktiviteten på Ethereum och BSC från July 1, 2022 till June 30, 2024 identifierade omkring 270 miljoner förgiftningsposter som riktade sig mot 17 miljoner adresser.

Posterna delades in i tre kategorier:

• 147.7 miljoner överföringar med nollvärde.
• 118.4 miljoner överföringar med förfalskade token.
• 4.0 miljoner mycket små överföringar.

Det här var överföringsposter inom cirka 18.2 miljoner transaktioner, eftersom angripare kan samla flera poster. Adresser som varit måltavlor är inte detsamma som människor, komprometterade plånböcker eller offer som förlorat pengar.

Analysen identifierade 6,633 lyckade utbetalningsöverföringar på sammanlagt minst $83.8 miljoner. Vissa offer betalade mer än en gång. Upptäckten fokuserade på utvalda stablecoins, så förlustuppskattningen är en nedre gräns inom det området, inte totalsumman för alla token eller kedjor.

Den praktiska slutsatsen är att en kontroll enbart av nollbelopp missar en betydande del av angreppen. Förfalskade poster kan efterlikna en betydande betalning, och en mycket liten inkommande överföring kan flytta riktiga token och samtidigt introducera en farlig adress.

Så granskar du just din post

1. Öppna transaktionen i rätt nätverk. Använd plånbokens utforskarfunktion eller en känd blockutforskare som Etherscan eller BscScan. Kontrollera transaktionsstatusen. Du behöver inte ansluta en plånbok, godkänna token, signera ett meddelande eller ange en återställningsfras för att läsa offentliga transaktionsuppgifter.
2. Identifiera den faktiska tillgången. Skilj mellan nätverkets egen ETH eller BNB och en token som använder det namnet. För token ska du jämföra exakt nätverk och kontraktet som avgav händelsen med en betrodd referens från utgivaren.
3. Läs beloppet med full precision. Skilj antalet token från transaktionens värde i nätverkets egen valuta och uppskattningen i fiatvaluta.
4. Skilj transaktionens avsändare från händelsens avsändare. Undersök också plånboksoperationen och behörigheterna för ett smart konto. Att någon annan betalar gas är inget bevis för att dina tillgångar inte kan ha flyttats.
5. Granska hela transaktionen. Titta på alla tokenrörelser, överföringar av nätverkets egen valuta och relevanta behörighetsändringar. Om utforskaren visar saldoförändringar på transaktionsnivå kan du använda dem för att stämma av resultatet. Att saldot är oförändrat i dag är svagare bevis: senare insättningar eller motverkande överföringar kan dölja tidigare rörelser.
6. Verifiera destinationen oberoende. Använd mottagarens betrodda betalningsuppgifter eller en adressbokspost du verifierat tidigare. En nyligen tillagd historikrad är något att granska, inte bevis på rätt destination.

Om blockutforskaren inte klargör resultatet, lämna nätverket och den offentliga transaktionshashen till plånboksleverantörens officiella support. Beskriv vilken åtgärd du förväntade dig, om någon. Dessa uppgifter hjälper till att skilja en okänd men avsedd åtgärd från oförklarade utgifter utan att avslöja hemligheterna som styr din plånbok.

Vad du gör efter kontrollen

Om du bara hittade en isolerad förgiftningspost

Dölj eller rapportera skräpposten om plånboken stöder det, och undvik att använda dess adresser. Att dölja en rad ändrar gränssnittet; det raderar inte blockkedjans historik eller återkallar behörigheter.

En nollöverföring kan inträffa med en tillåtelse på noll, så posten i sig är inget skäl att återkalla alla godkännanden eller flytta alla dina medel. Det kanske inte finns någon spenderingsbehörighet knuten till posten att ta bort. Använd aldrig en tokens annonserade webbplats eller en främlings återställningslänk för att ”rensa” din plånbok.

Om du hittade en misstänkt spenderingsbehörighet

Använd plånbokens betrodda funktion för godkännandehantering för att granska och återkalla den relevanta tillåtelsen. Att koppla bort en webbplats från plånboken återkallar inte befintliga token-godkännanden på kedjan. En återkallelse hanterar den behörigheten; den kan inte åtgärda en stulen privat nyckel.

Om äkta tillgångar flyttades utan din avsikt

Spara transaktionshashen, nätverket, den berörda tillgången och relevanta adresser. Granska nyliga signaturer, godkännanden och plånboksoperationer via officiella supportkanaler.

Om det finns tecken på att din återställningsfras eller privata nyckel har röjts, skapa en ny plånbok med en ny återställningsfras på en betrodd enhet och följ en genomtänkt plan för att flytta återstående tillgångar. Ett annat konto som härleds från den komprometterade frasen löser inte exponeringen. Om medel försvinner automatiskt ska du inte fortsätta sätta in gaspengar: en automatisk tömningsmekanism kan ta dem.

Om du medvetet signerade en betalning men kopierade en förgiftad destinationsadress, dokumentera skillnaden. Betalningen kan ha signerats och utförts korrekt men gått till fel mottagare. Det resultatet bevisar inte i sig att din privata nyckel stulits.

Vanliga frågor om okända transaktioner

Fick angriparen mig att betala gasavgiften?

Vid vanlig adressförgiftning skickar angriparen transaktionen och betalar nätverksavgiften. Att bara ange din adress i en tokenhändelse belastar inte ditt konto. Sponsrade transaktioner och smarta konton betyder dock att betalaren av avgiften ensam inte kan visa om en åtgärd var ofarlig. Kontrollera de faktiska effekterna.

Vad händer om transaktionen misslyckades?

En återställd tokenöverföring slutförde inte överföringen, men gas kan ändå debiteras. Om plånboken använder kontodelegering ska du kontrollera det separat: Ethereum kan behålla en delegering även om en senare körning misslyckas. En okänd delegering bör granskas.

Skulle en hårdvaruplånbok förhindra adressförgiftning?

Den ger ytterligare en plats att kontrollera destinationen före signering. Den kan inte göra en angriparkontrollerad destination korrekt om du godkänner den. Jämför hela adressen på den betrodda signeringsskärmen med oberoende verifierade mottagaruppgifter.

Kan jag stoppa främlingar från att lägga till sådana poster?

Du kan vanligtvis inte hindra tredje parter från att skicka tillgångar eller skapa tillämpliga poster som involverar en offentlig adress. Filter i plånböcker och blockutforskare kan minska vad du ser. Spara verifierade mottagare och kontrollera hela destinationsadressen före betalning; att bara dölja poster med nollvärde fångar inte varje variant med förfalskade token eller små överföringar.