全部 通识 以太坊 比特币 Solana 公链 Solidity Web3应用 编程语言 安全 密码学 AI 存储 其他

零时科技 || Hopenlend 攻击事件详细技术分析

详细介绍抢跑者是如何进行攻击的。
抢跑  安全事件分析  区块链安全 

Paradigm CTF 2023 挑战 - Grains of Sand 和 Hopping Into Place

这篇文章详细记录了作者在Paradigm CTF 2023中解决两个挑战的过程，分别是“Grains of Sand”和“Hopping Into Place”。作者通过分析相关智能合约的漏洞和功能，成功实现了要求，从而获得了挑战的解答和旗帜。
CTF挑战  智能合约  区块链  漏洞利用  以太坊 
  • zellic
  • 发布于 2023-11-14
  • 阅读 ( 1181 )

SharkTeam：Raft攻击事件原理分析

in  智能合约安全
北京时间2023年11月11日，Raft遭受闪电贷攻击，项目方损失360万美元，但随后攻击者几乎将全部ETH转入黑洞地址销毁，不知是刻意还是失误。SharkTeam对此事件第一时间进行了技术分析，并总结了安全防范手段，希望后续项目可以引以为戒，共筑区块链行业的安全防线。一、事件分析攻击者地
安全事件分析  Raft  区块链安全 
  • SharkTeam
  • 发布于 2023-11-13
  • 阅读 ( 3342 )
  • ( 6 )

DAO治理中的DeFi攻击

本文深入探讨了去中心化自治组织（DAO）中常见的安全漏洞，包括利用闪电贷操纵提案结果、攻击者摧毁用户投票权、通过减少总投票权放大个人投票权、提案创建时快照总投票权不准确、无法达到法定人数以及利用委托金库投票权获取更多委托金库投票权等。文章还讨论了通过委任绕过投票限制、多次使用相同代币投票的风险，并提出了智能合约审计师可以使用的启发式方法来发现类似漏洞。
DAO  去中心化自治组织  智能合约  安全漏洞  闪电贷  投票权  审计 
  • Dacian
  • 发布于 2023-11-11
  • 阅读 ( 360 )

Sui的zkLogin审计公开报告 - ZKSECURITY

本文是对Sui Foundation的zkLogin应用程序进行安全审计的报告。zkLogin允许用户使用与SSO登录相关的临时公钥来签署交易，而无需管理复杂的密钥。该方案使用零知识证明来隐藏用户的身份，并依赖OAuth 2.0和JWT进行身份验证，其中报告详细分析了zkLogin的原理、实现，包括RSA的非原生算术以及向量编程在处理偏移量中的应用，同时深入探讨了zkLogin的MPC设置。
zkLogin  零知识证明  Sui  OAuth 2.0  JWT  Groth16 

为 Homebrew 添加构建来源

本文介绍了Homebrew与Alpha-Omega和OpenSSF合作的一个新项目，旨在提高Homebrew的透明度和安全性，通过为`homebrew-core`引入密码学上可验证的构建来源，使Homebrew的软件包符合SLSA Build L2标准，从而增强Homebrew的软件供应链安全，抵御潜在的供应链攻击。
供应链安全  Homebrew  SLSA  Sigstore  开源软件  构建来源 

零时科技 || Fount-running, MEV和Hacker

最近，我们监控到了一笔抢跑的攻击事件，被攻击者是HopeLend
抢跑  安全事件分析  区块链安全 

SharkTeam：Onyx Protocol攻击事件原理分析

in  智能合约安全
北京时间2023年11月1日，由于redeemUnderlying()函数存在精度损失漏洞，Ethereum链上项目OnyxProtocol遭受攻击，攻击者已获利210万美元。SharkTeam对此事件第一时间进行了技术分析，并总结了安全防范手段，希望后续项目可以引以为戒，共筑区块链行业的安全
SharkTeam  安全事件分析  区块链安全 
  • SharkTeam
  • 发布于 2023-11-02
  • 阅读 ( 3277 )
  • ( 9 )

Metamask Snaps：在沙盒中嬉戏

本文深入探讨了Metamask Snaps的安全机制，包括其沙盒环境的三个安全层：隔离的Iframe、LavaMoat和SES，并详细分析了一个属性欺骗漏洞，该漏洞允许恶意Snap绕过权限检查，执行未经授权的操作，例如发送以太坊交易。最后，文章展示了漏洞的PoC，并介绍了Metamask的修复方案。
Metamask Snaps  沙盒环境  LavaMoat  SES  属性欺骗  漏洞分析  安全 
  • osecio
  • 发布于 2023-11-02
  • 阅读 ( 1086 )

聚焦 Solidity、DeFi 与跨链桥：确保 opBNB 生态安全发展

opbnb的安全实践
Solidity  DeFi  跨链 

协议审计报告模板

这是一份由Cyfrin.io提供的协议审计报告模板，包括协议概要、风险分类、审计详细信息以及发现的安全问题。报告结构清晰，涵盖了审计的范围、角色和问题分类，虽然未提供具体的发现内容，但整体内容展示了安全审计的重要性和标准。
协议审计  风险分类  安全漏洞  以太坊  Solidity  审计报告 
  • Cyfrin
  • 发布于 2023-10-27
  • 阅读 ( 1008 )

CVE-2023-4004漏洞利用细节

该文章分析了CVE-2023-4004漏洞的成因，该漏洞是由于在nftables的`nft_pipapo_remove`函数中，当移除一个pipapo set中的元素时，没有正确处理`NFT_SET_EXT_KEY_END`的缺失，导致可以多次释放同一元素。
CVE-2023-4004  nftables  netfilter  double free  堆喷  ROP 
  • google
  • 发布于 2023-10-21
  • 阅读 ( 807 )

SharkTeam：Platypus Finance攻击事件原理分析

in  智能合约安全
北京时间2023年10月12日，PlatypusFinance遭受闪电贷攻击，获利约223万美元，目前追回57.5万美元。SharkTeam对此事件第一时间进行了技术分析，并总结了安全防范手段，希望后续项目可以引以为戒，共筑区块链行业的安全防线。一、事件分析攻击者地址：0x464073
SharkTeam  安全事件分析 
  • SharkTeam
  • 发布于 2023-10-20
  • 阅读 ( 3501 )
  • ( 3 )

SharkTeam：BH闪电贷攻击原理分析

in  智能合约安全
北京时间2023年10月11日，BNBChain上的BH代币遭受攻击，攻击者获利约120万美元。SharkTeam对此事件第一时间进行了技术分析，并总结了安全防范手段，希望后续项目可以引以为戒，共筑区块链行业的安全防线。一、事件分析攻击者地址：0xfdbfceea1de36036408
闪电贷  安全事件分析  SharkTeam 
  • SharkTeam
  • 发布于 2023-10-19
  • 阅读 ( 4026 )
  • ( 7 )

SharkTeam：2023年第三季度Web3安全报告

in  智能合约安全
一、概述全球数字化浪潮正迎来飞速发展，而区块链技术也正逐成为数字经济不可或缺的核心基础设施之一。然而，随着区块链应用场景不断扩展，这一领域所面临的安全挑战也愈发显著。在这一大背景下，深入了解Web3区块链的安全状况以及加密行业的监管政策，已经成为确保区块链应用安全和稳定运行的关键举措之一。本报
SharkTeam  Web3  区块链安全 
  • SharkTeam
  • 发布于 2023-10-19
  • 阅读 ( 3830 )
  • ( 4 )

ERC-4626 Vaults和类Vault合约的共享漏洞：深度分析 第2部分

本文深入探讨了 vault 和 vault-like 合约中常见的两种漏洞：份额膨胀和不正确的舍入。份额膨胀发生在攻击者操纵 shares-to-deposited-assets 比例时，通过成为第一个存款人并直接向合约转移资产来实现。不正确的舍入可能导致用户在提取资产时获得比预期更多的份额，从而耗尽合约资金。文章还提供了具体的攻击场景和代码示例，并将在后续文章中介绍针对这些漏洞的缓解措施。
ERC-4626  Vault合约  份额膨胀  舍入误差  智能合约安全  去中心化金融 
  • cr0___
  • 发布于 2023-10-18
  • 阅读 ( 82 )

SharkTeam：起底朝鲜APT组织Lazarus Group，攻击手法及洗钱模式

in  智能合约安全
国家级APT（AdvancedPersistentThreat，高级持续性威胁）组织是有国家背景支持的顶尖黑客团伙，专门针对特定目标进行长期的持续性网络攻击。朝鲜APT组织LazarusGroup就是非常活跃的一个APT团伙，其攻击目的主要以窃取资金为主，堪称全球金融机构的最大威胁，近年来多起
SharkTeam  安全事件分析 
  • SharkTeam
  • 发布于 2023-10-13
  • 阅读 ( 5481 )
  • ( 7 )

CSPRNGs：如何正确生成随机数

本文讨论了安全随机数生成的重要性，特别是在生成敏感数据（如非ces和私钥）时。文章介绍了不同类型的随机数生成器，包括伪随机数生成器（PRNG）和加密安全伪随机数生成器（CSPRNG），并分析了实际案例中的安全漏洞，如与比特币开发工具相关的漏洞。最后，提供了生成安全随机数的最佳实践。
随机数生成器  CSPRNG  安全漏洞  比特币  PRNG  ECDSA 
  • zellic
  • 发布于 2023-10-12
  • 阅读 ( 1380 )

智能合约审计终极指南

本文探讨了智能合约审计的重要性，包括以太坊虚拟机（EVM）、Solidity编程概念以及测试和识别安全漏洞的最佳实践。通过理解EVM的工作原理、Solidity的基础和高级概念、Foundry的使用以及Web3协议的交互，读者可以掌握智能合约审计的关键技能，并了解常见的攻击向量和安全报告，从而提高智能合约的安全性。
智能合约审计  以太坊虚拟机  EVM  Solidity  安全漏洞  Foundry 

2023 年智能合约审计完整路线图

本文为智能合约审计师的入门指南，概述了成为一名智能合约审计师的步骤，包括学习编程基础、Web3 概念、Solidity 语言、Defi 原理，并通过 Secureum 平台学习安全知识。
智能合约审计  Solidity  Web3  DeFi  安全漏洞  Code4rena