全部 通识 以太坊 比特币 Solana 公链 Solidity Web3应用 编程语言 安全 密码学 AI 存储 其他

BitsLab“Web3 护航计划”安全团队发现并已协助 Meme 交易平台 Android App 修复任意账号接管漏洞

5月21日，由BitsLab发起的'Web3护航计划'中的安全团队发现某知名Meme交易平台AndroidApp中存在任意账户接管漏洞，并协助其完成修复。通过对APP的审计发现其使⽤了第三⽅浏览器组件，该组件的onCreate⽅法中存在IntentRedirec
  • BitsLab
  • 发布于 2025-05-22
  • 阅读 ( 489 )

2025 年 Web3 安全现状

本文回顾了 DeFi Security Summit、DeFi World 和 DevCon 上关于 Web3 安全的讨论，总结了 2025 年 Web3 安全的风险和机遇，包括常见的智能合约漏洞、针对开发环境的钓鱼攻击，以及未满足的不变量等。
web3安全  智能合约漏洞  DevSecOps  fuzzing  静态分析  区块链防火墙 
  • cNoveron
  • 发布于 2025-05-20
  • 阅读 ( 1481 )
  • ( 19 )

保护隐私的机器学习：同态加密和联邦学习

本文探讨了两种保护隐私的机器学习方法：同态加密和联邦学习，并将其应用于欺诈检测。同态加密允许在加密数据上进行计算，而无需解密；联邦学习则允许多方在不共享原始数据的情况下协同训练模型。文章介绍了使用这两种技术进行信用卡欺诈检测的实践案例，包括使用OpenFHE库和联邦学习系统Starlit。
同态加密  联邦学习  欺诈检测  隐私保护  机器学习  OpenFHE 

跨链桥漏洞利用 – ImmuneBytes

本文回顾了Poly Network、Ronin、Harmony、BNB Bridge、Wormhole、Nomad Bridge和Qubit Finance等多个跨链桥被攻击的事件，分析了攻击的根本原因，包括不安全外部调用、密钥管理不当、加密证明伪造、签名验证绕过、初始化疏忽以及非回滚转账等问题。总结了跨链桥安全的关键经验教训，强调了在多链未来中桥梁的重要性和面临的巨大安全挑战。
跨链桥  安全漏洞  智能合约  攻击事件  密钥管理  加密验证 

使用 Picus 验证 SP1 电路的确定性：Veridise 与 Succinct 之间的合作

Veridise 与 Succinct 合作，使用 Veridise 的工具 Picus 来验证 Succinct 的 RISC-V zkVM，SP1 电路的确定性。通过将 Plonky3 电路转换为 LLZK，成功验证了多个 SP1 电路的确定性。同时，也发现了 Plonky3 到 LLZK 转换管道的局限性，并提出了改进方向，未来计划扩展 Picus 以验证 SP1 中的所有电路。
零知识证明  ZK电路  形式化验证  确定性  Plonky3  LLZK  SP1 

Damn Vulnerable DeFi V4 解决方案 — #11. Backdoor

本文分析了Damn Vulnerable DeFi V4的Backdoor挑战，该挑战利用了WalletRegistry和Safe钱包初始化过程中的漏洞。
智能合约安全  delegate call  漏洞分析  以太坊  Safe钱包  Damn Vulnerable DeFi 

智能合约安全审计：保护区块链应用

本文详细介绍了智能合约安全审计的重要性、流程、用例、常见漏洞、工具和最佳实践。强调了在区块链应用中进行安全审计的关键性，以防止潜在的漏洞利用和资产损失，并提供了智能合约开发和审计的最佳实践。
智能合约  安全审计  漏洞  重入攻击  溢出  前置交易  访问控制 

如何使用 Aderyn 逐步编写一个检测器

本文介绍了如何使用 Aderyn（一个基于 Rust 的 Solidity 静态分析器）创建一个自定义检测器，用于检测 Solidity 代码中常见的“先除后乘”的错误。文章详细解释了该错误可能导致的精度损失问题，并提供了逐步指南，包括编写包含漏洞的合约、分析抽象语法树（AST）、以及在 Rust 中实现和测试检测器。
Solidity  静态分析  Aderyn  漏洞检测  抽象语法树  Rust 
  • zealynx
  • 发布于 2025-05-16
  • 阅读 ( 112 )

Matter Labs GuardianRecoveryValidator 审计

该文档是对 matter-labs/zksync-sso-clave-contracts 代码仓库的审计报告，审计重点关注了 SsoAccount 合约及其相关的 GuardianRecoveryValidator 和 WebAuthValidator 合约。
智能合约  审计报告  安全漏洞  以太坊  zkSync  账户抽象 

SSO账户恢复电路审计

该文档是OpenZeppelin对Moonsong-Labs/zksync-social-login-circuit代码仓库进行的安全审计报告，主要内容是利用零知识证明验证Google账户所有权的Circom电路，用于智能账户恢复，审计发现了一些完整性和非确定性问题，并提出了改进代码质量的建议。
零知识证明  zkSync  智能合约  安全审计  circom  账户恢复 

SSO账户OIDC恢复Solidity审计

本次审计主要评估了 Matter Labs 的 zksync-sso-clave-contracts 仓库中关于使用 OpenID Connect (OIDC) 进行账户恢复的合约。
OIDC  账户恢复  零知识证明  智能合约  安全审计  签名重放攻击 

WASM与安全性

本文介绍了WebAssembly (WASM) 如何通过创建独立的沙箱环境、移除不安全的方法和提供内存保护来增强应用程序的安全性。同时，WASM 还能够提升如zkSnarks、HQC和McEliece等高性能要求的密码学算法的运行效率，并提供了相关的集成案例。
WebAssembly (WASM)  安全沙箱  zkSNARKs  HQC  McEliece  密码学 

日蚀攻击：揭示区块链安全的一个隐蔽威胁

本文深入探讨了区块链网络中的一种隐蔽而强大的攻击——Eclipse攻击。该攻击通过控制目标节点的P2P连接，使其与诚实节点隔离，从而操纵或审查交易，甚至破坏共识。文章详细解析了Eclipse攻击的原理、实施方式、潜在后果以及多种防御策略，强调了网络架构改进、节点安全措施和协议级防御的重要性，旨在提高区块链从业者对该威胁的认识和防范能力，从而维护区块链的安全和信任。
Eclipse攻击  P2P网络  双重支付  交易审查  节点安全  区块链安全 

零时科技入选安全牛第十二版《中国网络安全行业全景图》

安全牛第十二版《中国网络安全行业全景图》，零时科技强势入围“区块链安全”领域。
区块链安全  安全牛 

Web3 中的自动化安全：静态分析 vs. 动态分析 – ImmuneBytes

本文深入探讨了Web3安全领域智能合约审计中两种关键方法：静态分析和动态分析。静态分析通过代码检查在合约执行前发现潜在漏洞，而动态分析则通过在不同环境下运行合约来揭示运行时问题。文章详细介绍了这两种方法的原理、技术、优势与局限性，并强调了结合使用这两种方法以实现更全面、有效的安全审计的重要性。
静态分析  动态分析  智能合约  安全审计  web3安全  漏洞分析 

OKX研究院 | 账户抽象10年演进终局之战，透过EIP-7702看过去与未来

为什么EIP-7702能被称为账户抽象“终极形态”？它到底解决了啥问题？Pectra 升级后对钱包、开发者和普通用户意味着什么？
eth  Vitalik  账号抽象 
  • 十四君
  • 发布于 2025-05-13
  • 阅读 ( 1515 )
  • ( 29 )

Damn Vulnerable DeFi V4 解决方案 —— #10. Free Rider

本文分析了Damn Vulnerable DeFi V4挑战中的Free Rider漏洞，该漏洞存在于NFT市场的购买逻辑中，由于在支付卖家之前就将NFT转移给买家，导致买家可以免费获得NFT并退回付款。攻击者利用Uniswap V2闪电贷获得初始资金，购买所有NFT，然后将NFT转移到recoveryManager合约以获得赏金，最后偿还闪电贷。
智能合约  漏洞  NFT  闪电贷  重入攻击  以太坊 

Across Linea CCTP差异审计

本文是对Across协议的智能合约进行安全审计的报告，重点关注为了集成Circle CCTP V2版本协议对合约所做的修改，以支持在以太坊和Linea区块链之间桥接USDC代币。审计发现了一些低风险问题，包括CCTP版本检查的可靠性问题和文档不足，并提出了相应的改进建议。总体而言，代码变更实现了使用CCTP协议的第二个版本将USDC桥接到Linea区块链的功能。
CCTP  USDC  Linea  智能合约  安全审计  桥接协议  以太坊 

Across协议 SVM Solidity审计

本文是对Across协议的Solidity合约进行的安全审计报告，重点关注了为支持Solana网络和ERC-7683订单所做的代码更改。审计发现了包括潜在的资金池耗尽漏洞、地址转换错误、重复代码、缺少单元测试等问题，并提出了修复建议。报告还包括对之前提交的PR的审查以及客户端报告的问题。
智能合约  安全审计  Solidity  区块链安全  以太坊  Solana 

安全 - Across 审计

本次审核了across-protocol/contracts代码仓库，主要关注L3支持、ZkStack支持、可预测的中继哈希、支持最新版本的ERC-7683以及World Chain支持。发现了多个安全问题，包括缺少访问控制、错误的函数调用、不正确的ETH传输处理，以及潜在的重放攻击等。建议改进代码，增加测试，并确保代码符合最新的ERC-7683标准。
跨链桥  智能合约  安全审计  以太坊  ERC-7683  ZkStack