PeckShield 稍早警告，標記為 Bofur Capital 的地址從 Compound 提款後 30 分鐘內，因「地址投毒」攻擊遭騙走 200 萬美元，贓款已全數換成 DAI。
（前情提要：巨鯨被投毒誤轉 5,000 萬 USDT！攻擊者速換 DAI＞ETH＞Tornado Cash）
（背景補充：1155枚WBTC沒了！巨鯨誤轉「零U投毒攻擊」相似地址、損失超7200萬美元）
資安公司 PeckShield 昨日在 X 發布警報指出，一個被標記為 Bofur Capital 的地址從 Compound 提款後，隨即遭遇「地址投毒」攻擊，損失金額高達 200 萬美元，贓款目前已全數換成 DAI，停在攻擊者控制的地址中。
#PeckShieldAlert The address labeled Bofur Capital got hit for $2M via address poisoning after withdrawing from #Compound.
Phisher sent a 0.0002 USDC dust tx to spoof the address, and the victim copy-pasted the wrong one -$2M drained.
Funds have since been swapped to 2M $DAI,… pic.twitter.com/gowY3GJnoD
— PeckShieldAlert (@PeckShieldAlert) August 22, 2026
灰塵交易埋伏近 20 小時，複製貼上出包
PeckShield 還原的時間軸顯示，攻擊者早在 8 月 20 日 20 時 20 分（UTC）就先動手：送出一筆僅 0.0002 USDC 的「灰塵交易」，把偽造地址植入 Bofur Capital 的交易紀錄。
這個假地址是刻意生成的「虛榮地址」（vanity address），開頭與結尾字元都跟受害者常用的交易對手幾乎一模一樣，唯一的破綻藏在中間，但多數錢包介面只顯示頭尾幾碼、中間以刪節號省略。
Bofur Capital 在 8 月 21 日 16 時 01 分把 200 萬 USDC 從 Compound III 的 USDC 市場提領出來，30 分鐘後、也就是 16 時 31 分，直接從交易紀錄複製貼上地址轉帳，結果挑中了那筆偽裝的灰塵交易地址，200 萬美元瞬間全數匯出。從植入假地址到受害者上鉤，中間足足埋伏了將近 20 小時。
贓款秒轉 DAI，刻意避開 USDC 凍結風險
資金到手後，攻擊者第一步就是把 USDC 全數換成 DAI，目前約 199.99 萬美元，外加等值不到 2 美元的 ETH，靜靜停在地址 0xe2eB…1816a 中。
這是竊賊常見的洗錢起手式：USDC 由 Circle 發行，一旦被鏈上分析盯上，Circle 有能力直接把地址列入黑名單、凍結資產；DAI 沒有這種中心化的凍結機制，換成 DAI 等於先把資金搬到一條沒有「開關」的軌道上。
截至目前，這筆錢尚未流入 Tornado Cash，也沒有跨鏈，仍停在單一可追蹤地址，另有一個疑似專門支付 Gas 費的錢包 0x692729bC…0F4e17251 牽涉其中。Bofur Capital 至今未發布公開聲明，也沒有祭出白帽賞金。
地址投毒早已是慣犯手法，錢包防線形同虛設
地址投毒不是新招。2025 年 12 月，一名巨鯨就因同樣手法誤轉 5,000 萬 USDT；2026 年 3 月，NFT 圈知名人物 Sillytuna 也遭地址投毒，損失約 2,400 萬美元的 aEthUSDC；今年稍早也發生過一起 50 萬 USDT 的投毒案。
Bofur Capital 這次栽在同一個老問題：從交易紀錄複製貼上地址，而不是逐字核對完整字串。想避開地址投毒，最實際的做法是把常用地址存進地址簿或白名單、大額轉帳前先送一筆小額測試，並養成核對完整地址而非只看頭尾的習慣，在虛榮地址氾濫的現在，頭尾相同早已不代表安全。
📍相關報導📍
零U投毒駭客上月獲利「203萬鎂USDC」，累計受害達 2237 萬美元
