MetaMask 推出全新安全功能 Added Protection，旨在彌補自託管錢包處理交易預覽時長期存在的漏洞。該功能針對所謂的「紅色藥丸攻擊」，這是一種網路釣魚手法：惡意智慧型合約偵測到自身正在被模擬，因此在預覽階段表現無害，顯示乾淨、符合預期的結果（例如一筆小額轉入），待使用者簽署後才執行完全不同、往往具惡意的行為。實際運作上，Added Protection 會將交易的模擬結果嵌入其執行要求中，因此若簽署後的交易實際行為與向使用者顯示的預覽有所偏差，交易即會還原。

這種攻擊手法利用了大多數加密錢包普遍存在的結構性缺口。使用者於應用程式上核准交易之前，錢包會顯示交易預期結果的模擬預覽。這類預覽之所以存在，是因為原始交易資料對非技術使用者而言大多難以解讀，因此錢包會在區塊鏈當前狀態下模擬預定操作，並在實際廣播前將結果轉換為人類可讀的摘要。過去，這種預覽純屬資訊性質：從未有機制強制模擬結果與實際鏈上執行相符。因此，高明的攻擊者可撰寫一份在模擬期間傳無害資料、但在真實交易執行時耗盡使用者資金或將資產轉移他處的合約。由於預覽看起來合法，受害者在簽署前毫無理由猶豫。

MetaMask 於2026年9月17日在 X 上宣布此功能時寫道：

MetaMask is the first self-custody wallet that stops red pill attacks. The scam: a transaction looks safe in the preview, then drains your wallet after sign. Added Protection ensures what you see is what happens. If it doesn't match, it reverts. Your funds stay put.… pic.twitter.com/N7FeXjGGOg

— MetaMask (@MetaMask) September 17, 2026

將預覽鎖定進交易

Added Protection 的解決方式，是將預覽從單純的估算轉變為具約束力的條件。當使用者透過應用程式發起交易時，MetaMask 會照常進行模擬並呈現預期結果。關鍵差異在於，模擬結果如今被嵌入交易的執行要求中。若實際執行與所顯示的內容有所偏差——即紅色藥丸合約的簽署行為——交易將自動還原，資金也不會離開錢包。

使用者應注意一點：即使交易在此機制下失敗，嘗試執行所消耗的網路 Gas 費用仍會被收取。在 Ethereum 及類似的 EVM 鏈上，還原會取消交易的狀態變更，但仍須就已執行的運算補償網路，這就是為何即使轉帳本身被阻擋，費用仍然適用。MetaMask 本身對此功能不收取任何費用，也不會對被還原的交易收取手續費。該公司也指出，此保護措施防範的是蓄意操縱的結果，而非正常市場波動或因合法價格變動造成的滑價。

此功能反映了保留使用者自主權的更廣泛設計理念。MetaMask 不會阻擋使用者有意進行的交易；它僅保證在 Ethereum 或 EVM 應用程式上核准的交易，就是實際執行的交易。Added Protection 預設為啟用，但可直接在確認畫面上關閉，將風險管理交由使用者自行決定。

MetaMask 將自身定位為首家提供此保證的自託管錢包。該功能目前已於 MetaMask 瀏覽器擴充功能 13.45 版上線，涵蓋13個在 EIP-7702 標準下支援智慧型帳戶（Smart Accounts）的 EVM 網路，該標準允許傳統的外部擁有帳戶（EOA）具備智慧型帳戶能力。行動裝置支援預計將於後續版本推出。

此缺口的風險本質上是結構性的：在自託管模式下，沒有任何中介機構可以撤銷或退還已簽署的轉帳，因此簽署步驟將大部分安全責任集中於個別使用者身上。由於紅色藥丸攻擊對於核准大額交易或與不熟悉合約互動的使用者特別有效，對於日益增加的去中心化應用程式交易使用者而言，此功能很可能成為重要的基準保障。

來源：Metaverse Post