全部 通识 以太坊 比特币 Solana 公链 Solidity Web3应用 编程语言 安全 密码学 AI 存储 其他

我们如何攻破交易所：身份验证和客户端漏洞深度剖析

本文深入探讨了交易平台中身份验证和客户端漏洞，揭示了OAuth配置错误及CORS配置不当可能导致账户被盗的风险。文章通过实际案例，分析了localhost和http协议在不同浏览器中的安全隐患，并针对这些问题提出了相应的缓解措施，例如禁止在生产环境中使用localhost以及移除CORS配置中的http URL。
OAuth  CORS  身份验证  客户端漏洞  账户接管  Localhost  中间人攻击 
  • osecio
  • 发布于 2025-10-17
  • 阅读 ( 593 )
  • ( 40 )

迷你应用易于上手，信任不易建立：最易被利用的三种迷你应用

本文讨论了Farcaster迷你应用中存在的安全风险，重点关注了三种最容易被利用的应用类型：预测/投票应用、头对头应用和盲盒应用，并提出了使用“提交-揭示阈值加密”技术来解决这些问题。同时，文章也给出了用户如何初步判断迷你应用是否安全的建议。
Farcaster  迷你应用  安全漏洞  智能合约  预测市场  阈值加密 
  • shutter
  • 发布于 2025-10-16
  • 阅读 ( 546 )
  • ( 23 )

BlockThreat 安全周报 - 2025年第41周

本周加密货币领域发生多起安全事件，总损失超过2200万美元，其中Hyperliquid用户私钥泄露导致2100万美元损失。此外，Binance因价格预言机故障导致大规模清算，后向用户赔偿约2.3亿美元。文章还涵盖了朝鲜黑客攻击、密码安全、LockBit被黑、加密货币洗钱、网络钓鱼、恶意软件等领域的多个安全事件和研究报告。
加密货币安全  黑客攻击  预言机  私钥泄露  网络钓鱼  恶意软件 

BlockThreat 安全周报 - 2025年第40周

本周DeFi领域发生多起安全事件，损失近500万美元，Abracadabra协议遭受第三次攻击，损失180万美元；SBI Crypto损失2400万美元；7702钱包漏洞被利用，损失30万美元。此外，还讨论了英特尔和AMD的可信执行环境漏洞、Discord数据泄露事件，以及与加密货币相关的犯罪活动、政策和网络钓鱼攻击，以及多个安全研究和工具。
DeFi安全  智能合约漏洞  加密货币安全  网络钓鱼  区块链安全  漏洞分析 

Web3协议中作为攻击向量的治理

本文深入探讨了Web3协议和DAO中基于治理的攻击向量，例如内部人员利用其影响力，恶意提案通过审查，或隐藏的升级路径包含后门逻辑。文章分析了治理漏洞的类型，包括治理控制、恶意提案、后门升级路径等，并探讨了现实案例，如Compound和Beanstalk DAO的漏洞。此外，文章还提出了减轻治理风险的策略，旨在为评估DAO和可升级协议中的治理风险提供清晰的框架。
DAO  Web3  治理  攻击向量  内部威胁  智能合约安全 
  • cantina
  • 发布于 2025-10-10
  • 阅读 ( 647 )
  • ( 26 )

SP1 Hypercube的形式化验证

Nethermind Security Formal Verification 团队和 Succinct Labs 合作，使用 Lean 证明助手对 SP1 Hypercube 的所有核心 RV-64 芯片进行了形式化验证，并感谢以太坊基金会的慷慨支持。该团队将 RISC-V 操作码的行为对照官方 64 位 RISC-V Sail 规范进行了验证，证明了其在实际应用中的可行性。
形式化验证  RISC-V  Lean 证明助手  SP1 Hypercube  zkVM  Sail 规范 
  • Succinct
  • 发布于 2025-10-10
  • 阅读 ( 250 )
  • ( 2 )

【安全月报】| 9 月加密货币安全事件造成 1.16 亿美元损失

9 月加密货币领域因黑客攻击、诈骗和漏洞利用损失约 1.16 亿美元

Foundry、Echidna 与 Wake：模糊测试收缩算法比较

本文比较了 Foundry、Echidna 和 Wake 三种模糊测试工具中的 shrinking 算法。Shrinking 的作用是最小化重现 bug 所需的操作序列，从而简化调试过程。文章详细介绍了每种工具的 shrinking 算法及其优缺点，帮助读者选择最适合自己测试目标的工具。
模糊测试  智能合约  Foundry  Echidna  Wake  Shrinking 算法 
  • Ackee
  • 发布于 2025-10-08
  • 阅读 ( 523 )
  • ( 16 )

Recon 扩展：现在拥有更多 Halmos

Recon Extension 新版本发布，集成了 Halmos，并支持 Vyper。该扩展旨在改进模糊测试工作流程，可以更高效地定义和打破属性。通过使用 Chimera 框架，Recon Extension 可以运行 Halmos, Echidna 和 Medusa，生成报告，并将损坏的测试转换为 Foundry reproducer。
模糊测试  不变性测试  符号执行  Halmos  Echidna  Medusa  Foundry 
  • Recon
  • 发布于 2025-10-07
  • 阅读 ( 388 )
  • ( 16 )

Ethernaut 题解 01-35

本文是作者在ethernaut闯关时记录的解题思路，涵盖合约分析和攻击步骤，操作基本都是在浏览器控制台和Remix完成。如有错误之处，还望读者及时指出。

慢雾：2025年第三季度MistTrack被盗资金分析

本文是SlowMist发布的2025年第三季度被盗资金报告，分析了317起被盗事件，揭示了私钥泄露、假冒硬件钱包、EIP-7702网络钓鱼、恶意GitHub开源项目和社会工程攻击等常见盗窃手段。SlowMist团队协助追回约373万美元的被盗资产，并提供了防范这些攻击的建议，强调提高安全意识和警惕性，以保护Web3资产安全。
私钥泄露  硬件钱包  EIP-7702  社会工程学  网络钓鱼  GitHub 
  • slowmist
  • 发布于 2025-10-01
  • 阅读 ( 769 )
  • ( 40 )

跨函数重入：当函数互相背叛

本文介绍了跨函数重入漏洞，它指的是攻击者利用一个函数打开后门，然后在第一个函数完成之前，通过另一个函数进入。
跨函数重入  重入漏洞  智能合约安全  Checks-Effects-Interactions  ReentrancyGuard  以太坊 

BlockThreat - 2025年第39周

本周加密领域发生多起安全事件，损失超过5100万美元，其中UXLINK遭受多重签名劫持损失惨重。文章强调了多重签名安全配置的重要性，并讨论了LayerZero OFT劫持事件，以及其他加密货币诈骗、网络钓鱼和恶意软件攻击案例。此外，文章还分享了有关区块链安全、取证和智能合约漏洞研究的最新资讯与工具。
多重签名  网络钓鱼  供应链攻击  区块链安全  智能合约  漏洞 

数字身份终于在英国出现

英国政府宣布将推出数字身份计划，作者对此表示支持，并探讨了数字身份在英国的潜在应用，以及在隐私和安全方面面临的挑战。文章还提到了欧盟在数字身份方面的举措，以及爱沙尼亚在数字身份方面的成功经验，呼吁英国借鉴爱沙尼亚的经验，并建立安全可靠的数字身份体系。
数字身份  数字钱包  身份验证  网络安全  隐私保护  电子政务 

零时科技 || WET 攻击事件分析

我们监控到 BNB Smart Chain 上针对 WET Token 的攻击事件，共造成 40k USD 的损失。
黑客攻击  攻击事件  区块链安全 

新型高级X账户攻击目标锁定加密货币社区

一种新型网络钓鱼活动正在劫持加密货币领域知名人士的X（Twitter）账户，通过滥用X的应用程序授权系统绕过密码和双重验证。攻击者利用伪造的Google日历链接诱导用户授权恶意应用程序，从而获得账户的完全控制权限。用户应提高警惕，仔细检查应用程序权限请求，并定期审查已连接的应用程序。
网络钓鱼  X账户  双重验证  应用程序授权  加密货币  安全 

V12 发布 - 结合 AI、LLM 和传统静态分析技术的自主 Solidity 审计工具

Zellic 发布了 V12，一款结合 AI、LLM 和传统静态分析技术的自主 Solidity 审计工具，能有效发现高危漏洞，已在实际审计和竞赛中发现 39 个问题。V12 具备直观的界面，支持导出报告，并计划支持更多语言和 L1，旨在提供经济高效的漏洞查找能力，但不能替代全面的人工审计。
Solidity审计  AI  LLM  漏洞检测  智能合约安全  静态分析 
  • zellic
  • 发布于 2025-09-26
  • 阅读 ( 802 )
  • ( 36 )

供应链攻击正在利用我们的假设

文章深入分析了软件供应链中存在的信任漏洞，详细阐述了诸如拼写错误攻击、依赖混淆、秘钥泄露、管道投毒和恶意维护者等攻击手段，并介绍了TypoGard、Zizmor、PyPI可信发布和证明、Homebrew构建溯源以及Go Capslock等新兴防御技术，旨在将隐式信任转变为显式、可验证的保障，从而提高软件供应链的安全性。
软件供应链安全  依赖管理  类型错误劫持  CI/CD管道安全  构建溯源  攻击向量 

SP1 与 zkVMs：安全审计员指南

本文是对SP1（一个零知识虚拟机）的全面安全审计指南，重点介绍了SP1的架构、安全注意事项和审计方法，SP1使用户能够证明任意Rust程序的执行，审计需要关注 untrusted host 和 trusted guest 之间的边界，需要对输入进行严格的校验，以防止恶意输入破坏系统，同时，还需要进行外部验证。
SP1  zkVM  零知识证明  安全审计  Rust  RISC-V 

BlockThreat 安全周报 - 2025年第38周

本周发生了三起盗窃事件，损失超过300万美元。一名癌症患者因下载恶意Steam游戏损失3.2万美元，安全研究人员追踪到恶意软件操作者并促成逮捕。文章还报道了多个加密货币诈骗、网络攻击和漏洞利用事件，以及相关的政策和工具更新，涵盖了安全事件、恶意软件、钓鱼攻击以及相关的研究和工具。
加密货币  网络安全  恶意软件  钓鱼攻击  漏洞  区块链安全