以太坊可以随便声明我向外转出 Token？不需要我的同意和授权？

[renfei]

刚刚发生了两笔交易，不是我操作的，所以我有点懵，问问有经验的大佬怎么回事

两笔交易

• https://etherscan.io/tx/0x8c1c96f54cd2d2173bb54f2076f380740519643c49711bd4a85903c1038d64d6
• https://etherscan.io/tx/0xa6d50a0b063bcd778f32ae2242fbe1f520bc5f681bc32e77ea45cdc1379df2d8

涉及到的 Token

https://etherscan.io/token/0x96a4a852002fda2478b9dde6ba83485bd4efdac4

我的困惑

• 交易签名不是我，不是我操作的
• 但交易里说我给不认识的地址转了 10 个这个 Token
• 我账户里能查到我有 3,580,366 个这个 Token ，但是只能查到我转出的记录，却查不到转入的记录，不知道啥时候拥有的

我是新手，以太坊的世界都能这么玩吗？

结论：我刚刚收到了 [假地址投毒] 攻击



感谢 #8 的 finian ，我去了解了一下 [假地址投毒] 攻击，我确实经历了 [假地址投毒] 攻击，并不是我签了合约，使用了一种称为零值转账的技术，这种高级网络钓鱼方法利用了代币转账在用户交易历史中的显示方式，诱骗受害者信任伪造的地址。零值转账不需要私钥签名，使其隐蔽且有效。

黑客仿造我转账的真实地址前后结尾，等着我下一次转账时复制黑客的地址，导致我转错到黑客的钱包中

[nkidgm]

用的什么钱包？

[renfei]

@nkidgm 什么都没用，不是我提交的交易，不是我签名的，签名的发送方是：
0x5e84B55d512312AF65ed9b92c33Bd7ebd5815D76 ，不是我哈，所以我很懵逼

[q474818917]

approvefrom 已经受过权了

[renfei]

@q474818917 大佬这个在哪看的，我最担心就是我瞎签授权了，哎

[BeCool]

在这里查合约授权： https://revoke.cash/

[renfei]

@BeCool 感谢佬，曾经有一个授权，但已经撤销了，现在里面是空白的

[tellhow]

这属于链上垃圾邮件/钓鱼攻击，黑客创建 token 再通过智能合约权限批量操控这些 token 转入或者转出到一些链上比较活跃的地址上，目的就是引导你去授权或者去他们的钓鱼网站，遇到这类交易或者莫名多出来的 token 忽略就好了

[finian]

这是典型的假代币地址投毒，手法是这样的：
- 黑客监测到你的地址 A 往地址 B 发送了 X 枚 Y 代币
- 他马上用假代币 Y' 合约构造从你的地址 A 发送 X 枚 Y' 代币到地址 B' 的交易（地址 B' 和地址 B 首尾几个字母一样）
- 如果你下次转账时不验证目的地址，直接从交易历史复制地址 B'，就直接发到黑客伪造的地址 B' 去了

[renfei]

@finian 原来如此，学习到了，感谢大佬

[mimizi]

@finian 是的，所以一定要确认所有字母都是一致的，还有必须要进行小额转账测试。常用的地址最好加到联系人列表里