全部 通识 以太坊 比特币 Solana 公链 Solidity Web3应用 编程语言 安全 密码学 AI 存储 其他

第二部分：如何保护你的智能合约免受状态膨胀和Gas消耗攻击

本文深入探讨了智能合约中高级拒绝服务（DoS）攻击，重点介绍了状态膨胀和Gas消耗攻击（Gas Griefing）的原理、攻击方式以及实际案例，并通过代码示例展示了如何通过限制状态增长、批量处理数据、实施熔断机制等手段来构建具有DoS防御能力的智能合约。
智能合约安全  DoS攻击  状态膨胀  gas消耗攻击  Solidity  以太坊 

漏洞搜寻：零知识、充分偏执与反向凝视的AI - ZKSECURITY

本文探讨了AI在零知识电路和应用程序中发现漏洞的能力，zkSecurity开发了一款名为SnarkSentinel的AI驱动的ZK审计工具。
AI  零知识证明  审计  漏洞检测  SnarkSentinel  上下文工程 

Across协议OFT集成差异化审计

本文是对 Across 协议代码的审计报告，重点关注了引入 LayerZero OFT 桥接机制的更改，并评估了其安全性、集成性和潜在风险。报告内容包括高、中、低风险的问题，以及关于代码质量、测试覆盖率和文档的改进建议。同时，报告也强调了协议中存在的信任假设和未来集成时需要注意的关键点。
区块链  跨链桥  LayerZero  OFT  安全审计  智能合约  代码分析 

Periphery变更审计

本次OpenZeppelin对Across协议的合约仓库进行了差异化审计，重点关注SpokePoolPeriphery合约及其相关组件。审计发现了包括高、中、低风险在内的多个问题，主要集中在智能合约中swap逻辑，签名处理，EIP-712编码，重放攻击等方面，所有发现的问题均已被修复。本次审计旨在提升Across协议的跨链桥功能和用户体验，确保资产转移的安全性和效率。
跨链桥  智能合约  安全审计  EIP-712  重放攻击  Permit2 

安全 - 慢雾 - Slowmist

该报告总结了2025年上半年区块链安全领域的关键发现，包括安全事件回顾、欺诈手段、反洗钱形势、监管发展以及被冻结和追回的资金情况。报告强调了合规的重要性，并分析了Lazarus Group、Drainers和HuionePay等组织的活动及混币器的使用情况。
区块链安全  反洗钱  欺诈  漏洞  监管  加密货币 
  • slowmist
  • 发布于 2025-07-03
  • 阅读 ( 904 )
  • ( 35 )

慢雾：2025年Q2 MistTrack被盗资金分析

本文是慢雾科技发布的2025年Q2被盗资金报告，分析了429起用户提交的被盗资金案例，揭示了包括假冒硬件钱包、EIP-7702钓鱼、恶意浏览器扩展、微信账号劫持和社会工程攻击等多种盗窃手段，并提出了相应的防范建议，旨在帮助用户更好地了解和防范安全风险，保护自己的资产。
钓鱼攻击  硬件钱包  EIP-7702  浏览器扩展  社会工程学  资金盗窃 
  • slowmist
  • 发布于 2025-07-03
  • 阅读 ( 1069 )
  • ( 32 )

Cyfrin 2025年7月区块链安全与教育新闻通讯

Cyfrin发布了2025年7月的区块链安全和教育新闻通讯，内容涵盖了新的GMX交易课程、职业发展方向、Web3钱包安全课程和资格认证、Solodit更新以及CodeHawks Eagles的成功案例。此外，还包括高风险攻击事件的分析、Solana程序执行的深入探讨、以及关于使用EIP-7702从受损钱包中恢复资产的Bash脚本。
区块链安全  智能合约审计  DeFi安全  Web3钱包  Solidity  漏洞 
  • Cyfrin
  • 发布于 2025-07-03
  • 阅读 ( 1481 )
  • ( 46 )

Foundry作弊码第7部分：不变性测试详解

本文介绍了Foundry中的不变性测试，这是一种状态模糊测试，用于验证智能合约在随机调用序列下是否始终满足预定义的规则。通过编写以`invariant_`为前缀的测试函数，Forge会自动生成随机交易序列来尝试违反这些规则，从而帮助开发者在早期发现潜在的逻辑错误和安全漏洞。
Foundry  不变性测试  模糊测试  智能合约  安全  EVM 

Remitano、GAMBL、Rocketswap：当操作失误击败代码漏洞

本文分析了Remitano、GAMBL、DAppSocial和Rocketswap近期发生的四起安全漏洞事件，损失总计超过440万美元。这些事件主要由于私钥泄露、推荐系统漏洞和逻辑漏洞导致，强调了操作安全在Web3安全中的重要性。
私钥泄露  智能合约安全  安全漏洞  以太坊  Arbitrum  操作安全 

CoinEx、火币、FloorDAO：当密钥、逻辑和供应控制全部失效

本文总结了近期Huobi, CoinEx, BFCToken, FloorDAO等多个项目遭受的攻击事件，总损失超过6000万美元。攻击原因包括私钥泄露、价格操纵漏洞和逻辑漏洞等。同时，文章也推广了Olympix提供的Solidity分析工具，旨在帮助开发者识别和修复智能合约中的漏洞。
私钥泄露  价格操纵  逻辑漏洞  智能合约  安全漏洞  区块链安全 

CIVNFT、Themis、Shido：当访问控制、预言机和配置同时失效

本文总结了近期发生的四起智能合约漏洞利用事件，涉及CIVNFT、Themis Protocol、Shido以及DEPUSDT/LEVUSDT。
智能合约  漏洞利用  访问控制  价格操纵  安全审计  Solidity 

打破 Gas 陷阱：保护智能合约免受拒绝服务攻击

本文是智能合约安全系列文章的第一部分，主要讨论了智能合约中拒绝服务（DoS）攻击的威胁与防范。文章通过实际案例Fomo3D，讲解了DoS攻击如何利用以太坊的gas限制使合约不可用，并重点介绍了利用无限制循环和外部调用失败两种主要攻击手段。文章还提供了使用“拉取而非推送”模式、限制状态增长、熔断器等多种缓解措施，以及Slither、MythX、Foundry等高级工具，以构建更具弹性的智能合约。
拒绝服务攻击  DoS攻击  智能合约安全  Solidity语言  以太坊  Gas限制 

高级 Foundry 作弊码系列：第 6 部分 - 使用 Forge 进行高级模糊测试

in  Foundry 高级作弊码系列
本文是Advanced Foundry Cheatcodes系列文章的第六部分，介绍了 Foundry 的高级模糊测试功能，通过随机输入参数自动发现智能合约的边缘情况，包括溢出、回滚等问题。文章还涉及了如何使用 forking cheat-codes 与主网合约交互，以及如何通过 vm.assume 和 bound() 来缩小输入范围，从而提高测试效率。
Foundry  模糊测试  智能合约  边缘情况  EVM  Invariant Testing 

SafePal x GoPlus 联合报告

SafePal 和 GoPlus 联合研究发现针对钱包用户的钓鱼攻击迅速增长，主要包括假冒网站、应用、客服和社交媒体账号等。文章详细分析了这些钓鱼攻击的手段，并提供了相应的防范措施，例如验证官方网站、避免点击不明链接、保护敏感信息等，旨在帮助用户提高安全意识，防范资产损失。
钓鱼攻击  钱包安全  SafePal  GoPlus  私钥  助记词 

将威胁建模作为战略开发工具 - Optimism

本文介绍了OP Labs进行威胁建模的方法，旨在帮助读者识别和缓解加密协议中的安全风险。该方法通过构建“结果树”来分析潜在的安全漏洞，评估事件发生的可能性，并制定相应的缓解措施，以确保软件安全发布。OP Labs 通过这个方法，确保他们专注于正确的事情，以安全地发布软件。
威胁建模  安全风险  加密协议  风险评估  安全措施  漏洞 

【安全月报】| 6月份因黑客攻击、诈骗等导致损失约1.84亿美元

6月，加密货币领域因黑客攻击、诈骗和漏洞利用，损失金额约达1.84亿美元。其中，黑客攻击事件尤为突出，共发生了15起。
安全月报  黑客攻击  网络钓鱼 

安全指南：使用 Solodit 保护智能合约

本文介绍了 Solodit 社区维护的智能合约安全审计检查表，强调了智能合约安全的重要性，并列举了由于漏洞导致重大经济损失的案例。文章详细介绍了使用该检查表进行智能合约审计的前提条件、所需资源，并深入探讨了包括重入攻击、拒绝服务攻击、抢跑交易等常见的漏洞及其缓解措施，同时还介绍了安全开发的最佳实践。文章还提到了2025年最新的安全工具和技术更新。
智能合约  安全审计  Solodit 检查表  重入攻击  拒绝服务  前置交易  以太坊  漏洞 

OpenZeppelin Defender 将停止服务 - 常见问题

OpenZeppelin Defender将于2026年7月1日停止提供托管服务，用户需要迁移到开源版本。开源版本Relayers和Monitor将以Docker镜像形式提供，并支持KMS集成。迁移有12个月的缓冲期，OpenZeppelin将提供详细的迁移指南，并提供技术支持，以确保平稳过渡。
OpenZeppelin Defender  开源  迁移  relayers  Monitor  Docker 

利用形式化验证查找编译器 Bug

本文介绍了Certora团队开发的一款用于验证编译器优化的等价性检查工具，该工具通过比较优化前后程序的行为来检测编译器bug。文章还分享了该工具在Vyper编译器中发现的一个优化bug，该bug导致局部变量被错误地映射到相同的堆栈位置，从而改变了程序的行为。该bug已在Vyper 0.4.2版本中修复。
编译器优化  等价性检查  形式化验证  Vyper  Certora Prover  bug检测 
  • Certora
  • 发布于 2025-07-01
  • 阅读 ( 744 )
  • ( 3 )

EDE、Jimbos、CS Token 安全实践：预言机后门、滑点漏洞与闪电贷攻击

本文总结了近期DeFi领域发生的多起安全事件，包括El Dorado Exchange的价格预言机操纵漏洞、Jimbos Protocol的滑点控制不足问题、CS Token的闪电贷操纵价格漏洞、Local Traders的权限检查缺失漏洞以及Sell Token的输入验证不当漏洞。这些事件暴露出DeFi系统在面临攻击时的脆弱性，强调了输入验证、权限控制和对抗性环境设计的重要性。
DeFi  漏洞  预言机  闪电贷  权限控制  输入验证