PeckShield：Bofur Capital遭遇地址投毒攻击损失200万美元
链上安全机构 PeckShield 近期对外发布安全风险预警，机构实体 Bofur Capital 在 DeFi 借贷协议 Compound 完成资金提取操作之后，不幸中招地址投毒攻击，直接造成 200 万美元的资产损失。
该类攻击手段并不涉及私钥泄露，而是利用地址视觉伪装诱导用户误转账，这一高频作案手法也值得各类机构用户高度警惕。
复盘攻击时间线
黑客的渗透布局早在北京时间8月21日凌晨4时20分便已启动。攻击者向目标钱包发送了一笔金额仅为0.0002枚USDC的粉尘交易，借此将一个精心伪造的黑客地址强行植入受害者的链上交互历史中。该伪造地址属于通过特定算法生成的虚荣地址，其首尾多个字符与受害者日常交互的真实地址高度一致。由于多数加密钱包前端用户界面通常隐去中间字符，这种视觉伪装极具迷惑性。
北京时间8月22日凌晨0时01分，Bofur Capital从Compound III的USDC流动性池中提现200万美元；仅半小时后，即凌晨0时31分，操作人员直接从钱包交易记录中复制了上述伪装地址进行转账，导致两百万资金瞬间落入黑客控制的账户中。从初期投毒到最终收网，黑客耐心潜伏了将近20个小时。
扩展文章：
两百万美元赃款火速兑换DAI
资金到账后，攻击者的首要动作是将全部USDC头寸全数转换为DAI。目前这笔折合逾199.99万美元的DAI以及价值不到2美元的ETH处于静止状态，暂存在由黑客控制的地址中。
这一洗钱路径在链上安全事件中颇为典型。USDC作为由Circle实体发行的法币抵押型稳定币，发行商具备底层干预能力，一旦确认资金涉案，Circle可直接将相关地址列入黑名单并实施强制冻结。相比之下，DAI等去中心化稳定币缺乏中心化的阻断机制，黑客通过跨币种置换，实质上是为赃款切断了被紧急冻结的风险开关。
截至发稿，该笔涉案资金尚未转移至Tornado Cash等混币器，也未执行跨链桥接操作。链上追踪系统还锁定了另一个疑似专门提供Gas费用的关联钱包。目前Bofur Capital方面暂未就此安全事故发表公开声明，亦未设立白帽退还赏金。
相关文章：
DAI是什么币？从发行机制到生态应用，一文搞懂去中心化稳定币
链上地址钓鱼频发
利用相似地址进行投毒诱导，在数字资产领域早已是高频发生的作案手法。回顾近年链上安全记录：2025年12月，某巨鲸账户因相同手法误转5000万枚USDT；2026年3月，知名NFT从业者Sillytuna亦遭此暗算，损失价值约2400万美元的资产；今年早些时候，另有一宗涉及50万美元的同类案件被曝光。
Bofur Capital此次巨额损失，根源在于操作人员依赖从历史记录中盲目复制粘贴地址，未能履行全字符核对的基本安全规范。针对日益泛滥的虚荣地址钓鱼，业内主流安全准则建议，机构与大资金用户应建立链上地址白名单制度，在执行大额调拨前务必先进行小额验证测试，并强制落实逐字核对完整地址串的风控流程。首尾字符一致在当前算力环境下已无法作为地址安全的有效判据。
总结
本次事故属于典型地址投毒攻击，黑客通过粉尘交易植入首尾字符高度近似的虚荣地址，利用钱包只展示部分地址的 UI 特性制造视觉欺骗，受害者直接复制交易历史内的伪装地址转账，最终造成巨额资产流失。黑客得手后迅速将 USDC 置换为 DAI，规避中心化稳定币的黑名单冻结机制，赃款现阶段尚未进一步混币转移。
纵观过往案例，地址投毒已经成为高发链上骗 局，多起巨鲸、从业者都曾因此蒙受重大损失。本次事件暴露出机构内部操作风控漏洞，盲目复制历史交互地址、缺少完整地址校验流程带来致命后果。对于大额资金操作，应当搭建地址白名单体系，执行转账前做好小额测试，完整核对全部地址字符，不能仅凭首尾字符判断地址真伪，以此抵御虚荣地址带来的钓鱼风险。
以上就是PeckShield：Bofur Capital遭遇地址投毒攻击损失200万美元的详细内容，更多关于Bofur-Capital因地址投毒攻击损失惨重的资料请关注脚本之家其它相关文章！
本站提醒：投资有风险，入市须谨慎，本内容不作为投资理财建议。
