全部 通识 以太坊 比特币 Solana 公链 Solidity Web3应用 编程语言 安全 密码学 AI 存储 其他

BlockThreat 周报 - 2025年第43周

本周安全事件相对平静，损失低于100万美元。文章汇总了加密货币领域的研究，重点关注链下安全、多重签名安全、行业领导者的访谈以及最新的犯罪事件。此外，还列举了近期发生的安全事件、网络犯罪、钓鱼诈骗以及恶意软件等，并推荐了一些研究报告和安全工具。
网络安全  区块链安全  智能合约  漏洞  攻击  加密货币 

Recon 扩展路线图

Recon 旨在通过 invariant testing 成为 Solidity 开发者的默认选择，从而发现难以推断的 bug，并降低在生产环境中被利用的风险。
Invariant Testing  Solidity  fuzzing  Formal Verification  Recon  智能合约 
  • Recon
  • 发布于 4天前
  • 阅读 ( 278 )
  • ( 12 )

第22篇：一行代码提升10%收益？教你用 freqtrade中的custom_roi 精准止盈

📘第22篇：一行代码提升10%收益？教你用freqtrade中的custom_roi精准止盈在Freqtrade策略中，custom_roi是一个非常实用的函数，允许你根据当前持仓状态、时间和收益率动态调整止盈目标。相比静态的minimal_roi，custom_roi更灵活，
freqtrade 

BlockThreat 周报 - 2025年第42周

本周的区块链安全事件包括多起黑客攻击，损失达370万美元。美国政府追回了2020年Lubian矿池攻击中被盗的价值150亿美元的资金。此外，Code is Law纪录片上映，深入探讨了DAO、Indexed Finance、KyberSwap、Mango Markets等重大黑客事件。
区块链安全  黑客攻击  漏洞  Lubian矿池  Code is Law  Tornado Cash 

Move语言安全吗？Typus权限验证漏洞

Typus Finance在Sui区块链上遭到黑客攻击，攻击者通过操纵预言机价格，利用LP池的漏洞进行套利，窃取了约344万美元的资产。文章分析了攻击的详细步骤，并探讨了Sui Move智能合约中权限控制的特点，强调了开发者在关键函数中进行适当权限检查的重要性。
Sui Move  智能合约  预言机  攻击分析  权限控制  DeFi 

深度｜当随机数不再随机：12 万枚 BTC 失窃真相

文|MaxHe@SafeheronLab近期，加密货币社区广泛讨论一则重磅消息：美国执法部门疑似已掌握2020年那次神秘转移的约12万枚比特币私钥，价值高达150亿美元。据Elliptic报告显示[1]，这些资产最初与矿池Lubian.com存在关联，后被美国司法
  • Safeheron
  • 发布于 2025-10-21
  • 阅读 ( 630 )
  • ( 17 )

虚假AI招聘人员如何以梦想工作为诱饵，分发五种恶意软件

BeaverTail恶意软件活动伪装成AI招聘人员，通过LinkedIn向开发者提供虚假的AI工程师职位。诱导开发者克隆包含恶意代码的GitHub仓库，执行后会扫描凭据、窃取浏览器信息、劫持剪贴板、收集系统信息并部署后门，最终通过AnyDesk实现远程控制，对受害者数字生活造成严重威胁。
恶意软件  信息窃取  后门  社会工程  AnyDesk  GitHub 

SlowMist 出品：区块链应用中常见的密码学风险

本文由 SlowMist 团队撰写，旨在揭示区块链应用中常见的密码学风险，涵盖私钥随机数安全、ECDSA 安全、EdDSA 安全、Schnorr 安全、BLS 安全、RSA 安全、哈希安全和 AES 安全等多个方面。针对每种风险，文章详细描述了其严重性、描述、利用场景和建议，旨在帮助 Web3 项目团队建立强大的密码学安全基础。
密码学  区块链安全  私钥安全  ECDSA  EdDSA  RSA 
  • slowmist
  • 发布于 2025-10-18
  • 阅读 ( 140 )
  • ( 8 )

【知识科普】| 常见的虚拟币骗局

本文科普区块链常见虚拟币骗局，涵盖虚拟币电信网络诈骗模式、“杀猪盘”、法币交易诈骗，及冒充平台工作人员 / 公检人员诈骗，拆解各类骗局核心套路。零时科技提醒：警惕高收益诱惑与虚假身份，做好风险防范，守护资产安全。
区块链安全  知识科普 

我们如何攻破交易所：身份验证和客户端漏洞深度剖析

本文深入探讨了交易平台中身份验证和客户端漏洞，揭示了OAuth配置错误及CORS配置不当可能导致账户被盗的风险。文章通过实际案例，分析了localhost和http协议在不同浏览器中的安全隐患，并针对这些问题提出了相应的缓解措施，例如禁止在生产环境中使用localhost以及移除CORS配置中的http URL。
OAuth  CORS  身份验证  客户端漏洞  账户接管  Localhost  中间人攻击 
  • osecio
  • 发布于 2025-10-17
  • 阅读 ( 281 )
  • ( 17 )

迷你应用易于上手，信任不易建立：最易被利用的三种迷你应用

本文讨论了Farcaster迷你应用中存在的安全风险，重点关注了三种最容易被利用的应用类型：预测/投票应用、头对头应用和盲盒应用，并提出了使用“提交-揭示阈值加密”技术来解决这些问题。同时，文章也给出了用户如何初步判断迷你应用是否安全的建议。
Farcaster  迷你应用  安全漏洞  智能合约  预测市场  阈值加密 
  • shutter
  • 发布于 2025-10-16
  • 阅读 ( 352 )
  • ( 21 )

BlockThreat 安全周报 - 2025年第41周

本周加密货币领域发生多起安全事件，总损失超过2200万美元，其中Hyperliquid用户私钥泄露导致2100万美元损失。此外，Binance因价格预言机故障导致大规模清算，后向用户赔偿约2.3亿美元。文章还涵盖了朝鲜黑客攻击、密码安全、LockBit被黑、加密货币洗钱、网络钓鱼、恶意软件等领域的多个安全事件和研究报告。
加密货币安全  黑客攻击  预言机  私钥泄露  网络钓鱼  恶意软件 

BlockThreat 安全周报 - 2025年第40周

本周DeFi领域发生多起安全事件，损失近500万美元，Abracadabra协议遭受第三次攻击，损失180万美元；SBI Crypto损失2400万美元；7702钱包漏洞被利用，损失30万美元。此外，还讨论了英特尔和AMD的可信执行环境漏洞、Discord数据泄露事件，以及与加密货币相关的犯罪活动、政策和网络钓鱼攻击，以及多个安全研究和工具。
DeFi安全  智能合约漏洞  加密货币安全  网络钓鱼  区块链安全  漏洞分析 

Web3协议中作为攻击向量的治理

本文深入探讨了Web3协议和DAO中基于治理的攻击向量，例如内部人员利用其影响力，恶意提案通过审查，或隐藏的升级路径包含后门逻辑。文章分析了治理漏洞的类型，包括治理控制、恶意提案、后门升级路径等，并探讨了现实案例，如Compound和Beanstalk DAO的漏洞。此外，文章还提出了减轻治理风险的策略，旨在为评估DAO和可升级协议中的治理风险提供清晰的框架。
DAO  Web3  治理  攻击向量  内部威胁  智能合约安全 
  • cantina
  • 发布于 2025-10-10
  • 阅读 ( 365 )
  • ( 16 )

【安全月报】| 9 月加密货币安全事件造成 1.16 亿美元损失

9 月加密货币领域因黑客攻击、诈骗和漏洞利用损失约 1.16 亿美元

Foundry、Echidna 与 Wake：模糊测试收缩算法比较

本文比较了 Foundry、Echidna 和 Wake 三种模糊测试工具中的 shrinking 算法。Shrinking 的作用是最小化重现 bug 所需的操作序列，从而简化调试过程。文章详细介绍了每种工具的 shrinking 算法及其优缺点，帮助读者选择最适合自己测试目标的工具。
模糊测试  智能合约  Foundry  Echidna  Wake  Shrinking 算法 
  • Ackee
  • 发布于 2025-10-08
  • 阅读 ( 330 )
  • ( 14 )

Recon 扩展：现在拥有更多 Halmos

Recon Extension 新版本发布，集成了 Halmos，并支持 Vyper。该扩展旨在改进模糊测试工作流程，可以更高效地定义和打破属性。通过使用 Chimera 框架，Recon Extension 可以运行 Halmos, Echidna 和 Medusa，生成报告，并将损坏的测试转换为 Foundry reproducer。
模糊测试  不变性测试  符号执行  Halmos  Echidna  Medusa  Foundry 
  • Recon
  • 发布于 2025-10-07
  • 阅读 ( 240 )
  • ( 11 )

Ethernaut 题解 01-35

本文是作者在ethernaut闯关时记录的解题思路，涵盖合约分析和攻击步骤，操作基本都是在浏览器控制台和Remix完成。如有错误之处，还望读者及时指出。

慢雾：2025年第三季度MistTrack被盗资金分析

本文是SlowMist发布的2025年第三季度被盗资金报告，分析了317起被盗事件，揭示了私钥泄露、假冒硬件钱包、EIP-7702网络钓鱼、恶意GitHub开源项目和社会工程攻击等常见盗窃手段。SlowMist团队协助追回约373万美元的被盗资产，并提供了防范这些攻击的建议，强调提高安全意识和警惕性，以保护Web3资产安全。
私钥泄露  硬件钱包  EIP-7702  社会工程学  网络钓鱼  GitHub 
  • slowmist
  • 发布于 2025-10-01
  • 阅读 ( 516 )
  • ( 25 )

跨函数重入：当函数互相背叛

本文介绍了跨函数重入漏洞，它指的是攻击者利用一个函数打开后门，然后在第一个函数完成之前，通过另一个函数进入。
跨函数重入  重入漏洞  智能合约安全  Checks-Effects-Interactions  ReentrancyGuard  以太坊