全部 通识 以太坊 比特币 Solana 公链 Solidity Web3应用 编程语言 安全 密码学 AI 存储 其他

Damn Vulnerable DeFi - #2. Naive Receiver 漏洞

本文分析了Damn Vulnerable DeFi V4挑战中的 Naive Receiver 漏洞。该挑战结合了闪电贷滥用和元交易转发器的安全问题。攻击者可以通过强制对 FlashLoanReceiver 进行闪电贷，支付手续费来耗尽其资金。然后，通过构造包含池部署者地址的元交易，冒充部署者提取池中的所有资金。
闪电贷  元交易  重入攻击  漏洞分析  以太坊 

Damn Vulnerable DeFi 解决方案 — #3. Truster 漏洞

本文分析了Damn Vulnerable DeFi V4挑战中的Truster漏洞。该漏洞存在于flashLoan()函数中，允许通过target.functionCall(data)执行任意函数调用，攻击者可以利用此漏洞，无需借款即可通过调用approve()函数获得授权，转移pool中的所有tokens到攻击者地址，最终成功攻击。
DeFi  漏洞  flashloan  functionCall  Truster  重入攻击 

Damn Vulnerable DeFi 漏洞解决方案 — #4. 侧门攻击

本文分析了Damn Vulnerable DeFi V4挑战中的Side Entrance漏洞。该漏洞源于合约未能区分“偿还贷款”和“存款”，允许攻击者利用闪电贷，先借出资金并存回，然后在合约账户中获得信用，最后提取所有资金。文章提供了攻击流程以及相应的解决方案，并提出了预防措施，即闪电贷合约应使用transferFrom()函数从用户合约提取资金。
以太坊  智能合约  漏洞  闪电贷  重入攻击  安全 

Damn Vulnerable DeFi 解决方案——#5. The Rewarder 漏洞

本文分析了Damn Vulnerable DeFi V4第5题The Rewarder中的漏洞。该漏洞存在于claimRewards()函数中，由于合约在处理完所有claims后才标记为已领取，攻击者可以通过提交多个相同Merkle proof的claim，多次领取奖励，从而耗尽合约中的token。文章还提供了防止此漏洞的机制。
智能合约安全  重入攻击  Merkle Proof  漏洞分析  Damn Vulnerable DeFi 

Cyfrin 2025年5月区块链安全和教育新闻通讯

Cyfrin发布了五月份的区块链安全和教育新闻，内容涵盖了新的web3开发课程、智能合约重大安全事件、审计洞察、Aderyn更新以及区块链开发人员必备的安全编码提示。此外，还包括Cyfrin与Circle合作的消息、Rocket Pool集成课程，以及CodeHawks成功案例。最后，文章还讨论了高调黑客攻击和安全事件，并给出了行业新闻和建议。
智能合约安全  web3安全  区块链安全  漏洞  攻击  审计 
  • cyfrin
  • 发布于 1天前
  • 阅读 ( 122 )
  • ( 3 )

如何使用 MistTrack 查找恶意地址

本文介绍了如何使用 QuickNode Marketplace 上的 MistTrack 插件来分析以太坊、币安智能链 (BSC) 和 TRON 网络上的区块链地址，以检测恶意地址。
MistTrack  QuickNode  AML  恶意地址  风险评分  地址标签  反洗钱 

Damn Vulnerable DeFi 解决方案——#1. Unstoppable

本文分析了 Damn Vulnerable DeFi V4 的 Unstoppable 挑战，该挑战通过操纵会计系统实现拒绝服务攻击。
ERC4626  拒绝服务  DoS  闪贷  不变量  漏洞分析 

【安全月报】| 4月份因黑客攻击、诈骗等导致损失约3.57亿美元

4月加密货币领域因黑客攻击、诈骗和漏洞利用损失约 3.57 亿美元，其中绝大多数（3.18亿美元）与网络钓鱼攻击有关。
黑客攻击  网络钓鱼  web3安全  加密货币 

我们正在使用遗留系统！

文章讨论了当前企业IT基础设施对传统Windows Active Directory的依赖以及由此产生的安全风险。通过分析M&S遭受的攻击事件，揭示了攻击者如何利用NTDS.dit文件中的凭据进行横向渗透并最终部署勒索软件的问题。文章强调了监控NTDS.DIT文件访问、实施多因素身份验证以及进行安全投资的重要性。
Active Directory  NTDS.dit  漏洞  渗透  勒索软件  多因素认证 

Solodit检查清单详解：矿工攻击

本文解释了矿工攻击，即验证者如何利用智能合约中的 block.timestamp、随机性和交易排序。文章详细讨论了三种攻击类型：使用 block.timestamp 进行时间敏感操作的风险、使用区块属性生成随机数、以及交易排序敏感性。针对每种攻击，文章都提供了示例代码、漏洞解释、缓解措施以及测试用例，旨在帮助开发者保护智能合约免受这些微妙但潜在破坏性的攻击。
矿工攻击  block.timestamp  随机数生成  交易排序  前置交易  三明治攻击  MEV 
  • cyfrin
  • 发布于 2025-05-02
  • 阅读 ( 80 )
  • ( 3 )

使用加密密钥在 Hardhat 和 Foundry 中保护你的私钥

本文介绍了在智能合约开发中使用加密密钥的重要性，并提供了在 Hardhat 和 Foundry 框架中实现加密密钥的详细步骤。文章强调了明文存储密钥的风险，并提供了使用 AES 等加密技术保护密钥的方法，同时推荐了密钥管理和安全开发的最佳实践。
加密密钥  Hardhat  Foundry  智能合约  密钥管理  安全开发 
  • QuickNode
  • 发布于 2025-04-30
  • 阅读 ( 246 )
  • ( 19 )

预编译对齐错误：根本原因分析 - Anza

Agave的ed25519和secp256r1预编译程序中存在一个bug，该bug在新版v2.2引入的--transaction-structure view选项的验证器中被暴露。
Ed25519  secp256r1  预编译程序  交易结构体  Agave  漏洞 
  • Anza
  • 发布于 2025-04-25
  • 阅读 ( 69 )
  • ( 2 )

为什么形式化验证是DeFi和Web3安全的必需品

本文强调了形式化验证（FV）在Web3和DeFi安全中的重要性，指出传统测试方法不足以应对Web3的安全挑战。FV通过数学证明确保代码按预期运行，能预防高危漏洞，并已在多个知名DeFi项目中应用，同时建议将FV尽早集成到开发生命周期中，以提升代码质量和安全性。
形式化验证  Web3  DeFi  安全  智能合约  漏洞 
  • Certora
  • 发布于 2025-04-25
  • 阅读 ( 226 )
  • ( 15 )

使用 safe-utils 和 tenderly-utils 自动化你的安全运营

本文介绍了如何使用 safe-utils 和 tenderly-utils 这两个 Foundry 模块来简化协议的治理流程，尤其是在涉及 Safe 多签账户的场景下。
多重签名  智能合约  Foundry  治理  测试网络  模拟 
  • Recon
  • 发布于 2025-04-25
  • 阅读 ( 354 )
  • ( 24 )

Solana账户粉尘攻击与地址投毒

该文章深入探讨了Solana区块链上两种新兴的欺诈形式：基于域名的粉尘攻击和外科手术式地址投毒攻击。文章详细解释了这两种攻击方式的原理、识别方法，以及如何通过建立工具来检测和预防这些攻击。文章强调，通过简单的逻辑和可扩展的方法，可以在钱包层面有效减少这些攻击。
Solana  粉尘攻击  地址投毒  域名  钱包安全  区块链安全 

由 BitsLab 发起的 Web3 护航计划再结硕果：OneKey 安全升级正式发布，公开致谢 BitsLab 及白帽黑客

近日，知名硬件钱包服务商OneKey正式发布v5.8.0版本更新，在新增多项功能并优化用户体验的同时，重点修复了包括TON网络合约部署、dApp连接稳定性等在内的多个安全问题此次更新特别致谢了BitsLab主导的Web3SecuringPlan（Web3护航计划）以及白帽子安
  • BitsLab
  • 发布于 2025-04-23
  • 阅读 ( 81 )

选择审计竞赛：如何识别“灵丹妙药”

本文分析了审计竞赛平台常见的营销误导策略，包括虚报提交指标、参与人数、排他性承诺、顾问审计师参与、社交媒体互动、匿名评价以及个体审计对比。文章建议在选择审计竞赛平台时，关注透明度、沟通和有效指标，并提出了一系列问题，帮助读者识别并避免这些误导，从而选择真正能提高代码安全性的平台。
审计竞赛  安全研究  漏洞  智能合约  代码安全  安全审计 
  • zellic
  • 发布于 2025-04-23
  • 阅读 ( 543 )
  • ( 20 )

你的dApp是否足够安全，可以在链上运行？

本文探讨了Web3开发中常见的智能合约漏洞，并提供了防范措施。文章详细分析了重入攻击、数据溢出和下溢，以及价格预言机操纵这三种经典漏洞的原理、攻击方式和修复方法。此外，文章还介绍了Chainlink等工具在降低预言机操纵风险方面的应用，强调了安全第一的开发理念。
重入攻击  数据溢出  数据下溢  价格预言机  Chainlink  智能合约安全 

DeFi 中的舍入误差：1 Wei 如何让你损失数百万美元

DeFi领域中的rounding errors漏洞依然普遍存在，可能导致重大损失。文章解释了rounding errors的成因、危害以及难以被人类发现的原因，并通过Juice Finance的案例展示了如何利用Formal Verification技术来检测和预防此类漏洞，强调了Formal Verification在保障DeFi协议安全中的作用。
Rounding Errors  Formal Verification  DeFi安全  智能合约  Juice Finance  漏洞 
  • Certora
  • 发布于 2025-04-22
  • 阅读 ( 646 )
  • ( 15 )

Tornado Cash 案：起诉代码不是正义

Roman Storm 因为开发开源代码 Tornado Cash 面临联邦监狱的刑罚，该工具旨在以太坊区块链上进行隐私交易。检察官指控他参与“无牌经营汇款业务”的犯罪阴谋。文章批判了政府对开源软件开发者施加不合理的法律责任，认为这种行为威胁了技术创新。
Tornado Cash  隐私交易  开源代码  反洗钱  监管  刑事指控 
  • Paradigm
  • 发布于 2025-04-22
  • 阅读 ( 593 )
  • ( 3 )