全部 通识 以太坊 比特币 Solana 公链 Solidity Web3应用 编程语言 安全 密码学 AI 存储 其他

Crown BRL 稳定币审计

这是一篇OpenZeppelin对 crown-xyz 项目的 BRL 稳定币智能合约代码的审计报告。该报告评估了 BRLV, BRLY, YieldStripping, wBRLY 等合约，发现了一些低风险问题和建议，例如代码注释错误、缺少文档字符串、命名规范问题、未使用变量和多余的import。审计未发现任何严重或高风险漏洞。
智能合约审计  OpenZeppelin  BRL稳定币  Solidity  安全漏洞  代码质量  重构代币 

BlockThreat 周报 - 2025年第30周

本周发生了三起安全事件，损失超过 1500 万美元，其中大部分损失来自 Woo X 交易所被攻击。对Roman Storm的Tornado Cash审判由于错误的区块链追踪和对去中心化智能合约的误解而陷入困境。文章还列举了近期发生的安全事件、网络犯罪、钓鱼攻击、诈骗以及恶意软件等，并推荐了一些安全工具。
安全漏洞  智能合约  区块链安全  交易所攻击  网络钓鱼  恶意软件 

为什么 Keystone 要实现 Shamir 备份

本文介绍了 Keystone 硬件签名器实现的 SLIP39 Shamir 备份标准，该标准允许将种子词分割成多个片段，并设定阈值，只有达到阈值数量的片段才能恢复钱包。文章讨论了Shamir备份的优点、缺点，以及使用建议，例如，提醒用户在转入大量比特币之前先进行练习，并定期执行安全检查。
Shamir 备份  SLIP39  种子词  KeyStone  硬件签名器  私钥分割 
  • BTCStudy
  • 发布于 3天前
  • 阅读 ( 254 )
  • ( 3 )

去中心化物理基础设施网络（DePIN）安全最佳实践

本文讨论了去中心化物理基础设施网络（DePIN）的安全最佳实践。DePIN 将物理服务与区块链基础设施相结合，面临智能合约漏洞以外的独特攻击面，包括编排系统、物理设备、治理过程和行为激励。文章提出了一个全面的安全模型，涵盖 DePIN 协议的整个生命周期，强调风险评估、对抗性建模和跨层可见性。
DePIN  安全模型  智能合约  风险评估  物理基础设施  安全 
  • cantina
  • 发布于 3天前
  • 阅读 ( 114 )
  • ( 3 )

威胁情报：恶意Solana开源交易机器人分析

该文章分析了一个恶意Solana开源交易机器人的威胁情报。攻击者通过伪装成合法的开源项目，诱使用户执行恶意代码，该代码会窃取存储在本地.env文件中的私钥，并将其传输到攻击者控制的服务器。文章通过静态分析和动态分析，揭示了攻击的原理、恶意代码的位置，并给出了安全建议。
Solana  恶意机器人  私钥泄露  威胁情报  开源项目  社会工程 

2025年如何实施有效的MEV保护

本文讨论了2025年区块链生态系统中最大可提取价值（MEV）的管理和保护。文章分析了MEV是什么，以及它如何影响区块链的公平性和效率，深入探讨了各种MEV提取策略，如套利、三明治攻击、清算和JIT流动性，并提供了MEV检测的代码示例。此外，还介绍了高级MEV保护实施方法。
最大可提取价值  MEV  三明治攻击  抢跑交易  闪电机器人  区块链 

可升级智能合约系列：第二部分 - 顶级智能合约漏洞与真实世界的攻击

本文探讨了可升级智能合约中存在的关键风险，包括未初始化的代理、存储冲突和恶意升级。通过分析Wormhole、Parity Multisig Wallet、AllianceBlock和Audius Governance等真实案例，强调了在升级过程中可能出现的安全漏洞以及由此可能造成的严重后果，并为开发者提供了避免这些常见陷阱的建议。
可升级合约  智能合约  代理模式  存储冲突  安全漏洞  以太坊 

签名陷阱：为何Web3中的钱包用户体验正在让用户失望

本文深入探讨了一种名为“钱包欺骗”的网络钓鱼攻击，攻击者通过欺骗用户签署恶意消息或交易来盗取用户资产。文章分析了这种攻击方式的原理，即利用用户对钱包签名机制的不了解和Web3交互中存在的UX设计缺陷，并通过实际案例展示了这种攻击的危害性。最后，文章强调，要解决这个问题，需要改进钱包的用户体验，例如提供更清晰的消息解读、行为警告和风险提示，以帮助用户更好地理解签名内容的含义和潜在风险。
钱包欺骗  签名  MetaMask  EIP-712  用户体验  网络钓鱼 

Blockthreat 周报 - 2025年第29周

本周安全事件频发，多个交易所遭遇热钱包攻击，损失惨重。攻击者并非直接攻击私钥，而是控制了管理私钥的基础设施。此外，Tornado Cash 案件的审判正在进行中，涉及 NFT rug pull 的洗钱行为。同时，针对加密货币领域的恶意活动日益猖獗，包括网络钓鱼、恶意软件攻击等。
加密货币  安全漏洞  攻击事件  Tornado Cash  网络钓鱼  恶意软件 

加密内存池的局限性

本文探讨了使用加密内存池来解决区块链最大可提取价值（MEV）问题的挑战与局限性。文章分析了加密内存池的几种设计方案，包括使用可信执行环境（TEE）、密钥共享和延迟加密等技术，并深入研究了这些方案在技术、经济和效率方面所面临的挑战，例如元数据泄露、激励解密和价格不确定性等问题。最后，文章提出混合设计可能是MEV解决方案的一部分。
MEV  加密内存池  矿工可提取价值  密码学  区块链安全  交易排序 

追踪冻结：USDT黑名单及其与恐怖主义关联的链上分析

该报告分析了USDT黑名单模式及其与恐怖主义融资的联系，揭示了洗钱循环、跨链流动和执法延迟。分析发现，大量被冻结的USDT地址与恐怖主义融资有关，且交易所如币安和OKX在资金流动中扮演关键角色。
USDT  黑名单  恐怖主义融资  洗钱  区块链  交易所 

OpenZeppelin Uniswap Hooks v1.1.0 RC 2 审计报告

本文是对 OpenZeppelin 开发的 Uniswap V4 hooks 代码的审计报告，重点关注 AntiSandwichHook、LiquidityPenaltyHook 和 LimitOrderHook 三个合约，旨在增强 Uniswap V4 流动性池的功能性和安全性。
uniswap v4  Hooks  AntiSandwichHook  LiquidityPenaltyHook  LimitOrderHook  代码审计  智能合约安全 

OpenZeppelin Uniswap Hooks v1.1.0 RC 1 审计报告

本次审计报告详细分析了一组定制的Uniswap V4 hooks，包括AntiSandwichHook（防三明治攻击）、LiquidityPenaltyHook（流动性惩罚）和LimitOrderHook（限价订单）。 审计发现多个高危和严重漏洞，主要与Uniswap V4的内部机制有关。建议Uniswap团队修复这些漏洞，并对修复后的代码库进行新一轮的审计。
uniswap v4  Hooks  AntiSandwichHook  LiquidityPenaltyHook  LimitOrderHook  安全审计 

BlockThreat - 2025年第28周

本周，超过 4600 万美元的资金在七起事件中被盗。
ERC1967Proxy  EVM 链  白帽  漏洞  智能合约  代理合约 

区块链取证：追踪被盗资金实用指南

本文是一篇关于区块链取证的实用指南，详细介绍了如何追踪被盗资金。文章从理解威胁形势开始，深入探讨了区块链取证的调查方法、面临的挑战以及分析被盗资金和洗钱方法，为区块链调查人员提供了全面的技术和方法指导，旨在提升他们追踪和防范加密货币犯罪的能力。
区块链取证  链上分析  洗钱  被盗资金  交易追踪  威胁情报 

uniswap2进阶解读

本文将从以下几个角度对uniswap2进行进阶讲解EIP712签名permit函数是用来验证签名是否是传入地址发出的。具体的手续费feeto的手续费用户借贷uniswap2的手续费(X-0.003Xin)*(Y-0.003Yin)>=X.Y流动性token在市场中的价值举个例子，现有
uniswap2 
  • oo
  • 发布于 2025-07-16
  • 阅读 ( 350 )
  • ( 18 )

CPIMP 攻击：一种影响极其深远的漏洞，已成功缓解

CPIMP 攻击是一种复杂的中间人攻击，攻击者通过抢跑交易篡改代理合约的实现，使恶意代码透明地存在于多个DeFi协议中。该攻击通过各种技术手段隐藏自身，包括欺骗区块链浏览器，并具备持久控制、灵活路由和规避检测的能力，对多个区块链上的知名协议构成威胁。在各方合作下，大部分潜在损失已成功避免。
CPIMP攻击  代理合约  前置交易  EIP-1967  以太坊  DeFi安全 
  • Dedaub
  • 发布于 2025-07-16
  • 阅读 ( 653 )
  • ( 88 )

Web3前端攻击：黑客的新乐园

文章主要讨论了Web3安全中容易被忽视的Frontend安全问题，指出尽管智能合约安全性受到广泛关注，但Frontend作为用户与区块链交互的第一层，其安全风险日益突出。
web3安全  Frontend安全  智能合约  DNS劫持  恶意脚本  交易安全 

BlockThreat - 2025年第27周周报

本周，超过550万美元在三个协议中被盗，攻击手段包括价格预言机操纵和私钥盗窃。 一项针对休眠的2011年比特币钱包的链上活动被发现，该活动利用OP_RETURN交易发送法律声明，并链接到收集敏感钱包数据的在线表格。此外，还讨论了Web3安全公司Oak Security提供的审计、渗透测试等服务。
比特币  安全漏洞  网络钓鱼  恶意软件  智能合约  加密货币 

Stellar合约库v0.3.0-rc.2审计

OpenZeppelin 对 Stellar Contracts Library v0.3.0-rc.3 版本进行了安全审计，发现了包括严重、高、中、低风险在内的37个问题，该版本引入了架构增强、新功能和扩展的开发者实用程序，特别是通证模块的重构和基于角色的访问控制机制。审计报告强调了潜在的安全风险，并提出了改进建议。
智能合约  安全审计  Stellar  OpenZeppelin  访问控制  通证