全部 通识 以太坊 比特币 Solana 公链 Solidity Web3应用 编程语言 安全 密码学 AI 存储 其他

深入了解价值 1300 万美元的 Abracadabra GMX V2 漏洞攻击

in  攻击事件解析 2025
Abracadabra 平台的 GmxV2 CauldronV4 合约由于不完善的抵押品计算方式遭受了 1300 万美元的攻击。攻击者通过操纵失败的订单，绕过了偿付能力检查，从而提取了资金。文章详细分析了攻击的原理、流程，以及如何通过修改合约代码来防止此类攻击，并总结了此次攻击事件的影响。
GMX V2  Abracadabra  漏洞利用  智能合约  DeFi  重入攻击 

Solady 审计以增强整个生态系统的链上安全

Base 资助了 Solady 库的第三方安全审计，主动识别并解决了多个安全问题。Solady v0.1.1 已发布，建议开发者升级。审计发现并修复了包括 ERC-6492 实现中的严重漏洞在内的多个问题，这些漏洞可能导致未经授权的资金转移。Base 强调安全是其首要任务，并致力于通过投资安全研究和开源基础设施审计来提升整个以太坊生态系统的安全性。
Solady  智能合约  安全审计  ERC-6492  漏洞  以太坊 

慢雾：深入探讨 EIP-7702 与最佳实践

作者：Kong编辑：Sherry前言以太坊即将迎来Pectra升级，这无疑是一次意义重大的更新，众多重要的以太坊改进提案将借此契机被引入。其中，EIP-7702对以太坊外部账户(EOA)进行了变革性的改造。该提案模糊了EOA与合约账户CA之间的界限，是继EIP-4337之后
EIP-7702 

网络文件 - OpenZeppelin 文档

本文介绍了OpenZeppelin Hardhat Upgrades插件如何通过`.openzeppelin`文件夹中的网络文件来跟踪已部署的合约版本。
OpenZeppelin  Hardhat  升级  合约版本  存储布局  网络文件 

RISC Zero的ZK-VM安全性：Veridise如何帮助RISC Zero实现可证明和持续的零知识验证…

本文介绍了Veridise与RISC Zero在zkVM安全方面的合作，强调通过自动化零知识验证工具Picus实现持续的安全验证，确保RISC Zero开发的zkVM具备正式的安全保证。文中详细描述了三种关键漏洞及其修复方法，展现了如何通过深度合作提高零知识系统的安全标准。
zkVM  RISC-V  零知识证明  安全审计  自动化验证  形式化方法 
  • Veridise
  • 发布于 2025-03-27
  • 阅读 ( 1539 )
  • ( 23 )

WisdomTree Digital 白名单上下文审计

本文对WisdomTree Digital团队的白名单合规Oracle系统的全面审计，旨在识别潜在的漏洞和验证其遵循最佳实践的情况。审计过程中发现了20个问题，提出了许多改善建议，特别是在访问控制的粒度、代码可读性及审核合约的安全性方面。七个低严重性问题的提出使得系统在合规性和功能性上得到了增强。
白名单  审计  ERC-721  智能合约  安全性  访问控制 

模糊测试与不变性测试 - ImmuneBytes

本文介绍了模糊测试（Fuzz Testing）在智能合约中的应用，特别是在Solidity中。模糊测试通过生成随机输入来测试代码中可能被忽略的边界情况，结合不变性测试验证系统在各种情况下的预期行为。文章还探讨了有状态和无状态模糊测试、有界模型检查（BMC）以及端到端测试与模糊测试的结合，旨在提高智能合约的安全性。
模糊测试  智能合约  Solidity  不变性测试  有界模型检查  端到端测试 

案例研究：Lomads DApp 安全审查 – ImmuneBytes

Lomads是一个去中心化自治组织(DAO)创建和管理平台，通过多重签名保险箱、SWEAT Points贡献跟踪和直观的用户界面来促进社区协作，并委托进行了全面的渗透测试以确保安全。该渗透测试发现了未经授权的DAO详细信息修改、多重签名保险箱状态切换、XSS漏洞、SWEAT Points禁用等关键问题，并提出了加强访问控制、输入验证、内容安全策略等改进建议。
DAO  渗透测试  多重签名  XSS  访问控制  安全 

Web3 中加密技术的现状

本文探讨了Web3中端到端加密(E2EE)的现状和挑战，重点介绍了非对称加密标准缺失、钱包实现不一致以及使用钱包生成熵带来的安全风险等问题。同时，文章分析了几种E2EE方案，包括钱包生成熵、Passkey PRF扩展和阈值密码学，并讨论了在构建利用E2EE的Dapp时可以采取的策略，旨在帮助开发者构建具有隐私保护功能的Web3应用。
端到端加密  Web3  非对称加密  钱包  Passkey  阈值密码学  安全 

智能合约安全审计入门：将不同合约部署到同一地址

本文分析了一种利用`CREATE`和`CREATE2`操作码在不同时间将不同合约部署到同一地址的攻击技术，并提供了相应的防御策略。
智能合约安全  CREATE  CREATE2  selfdestruct  delegatecall  代码哈希 
  • slowmist
  • 发布于 2025-03-22
  • 阅读 ( 1350 )
  • ( 9 )

RISC Zero通往首个形式化验证RISC-V zkVM之路

RISC Zero正与Veridise合作，使用Picus工具对zkVM的组件进行形式化验证，以提升ZK安全性。通过数学方法证明电路的确定性，从而消除约束不足的错误，已成功验证Keccak加速器电路的确定性，并正在验证RISC-V电路。此举旨在创建一个既快速又安全zkVM，使开发者无需在性能和安全性之间妥协。
zk  zkVM  RISC-V  形式化验证  确定性  Picus 

OpenZeppelin 审计月刊 - 那些臭名昭著的错误 第2期

本篇文章为《臭名昭著的错误月刊》第2期，探讨了Web3领域内最近的漏洞与安全事件，详细分析了针对叉沙攻击、zkLend黑客事件的教训以及多个未验证合约的漏洞。通过审计发现的问题，比如属性宏遗漏后续属性和UniswapHook的Hook状态覆盖等，强调了安全性在合约开发中的重要性。
漏洞分析  web3安全  合约安全  黑客事件  审计发现  叉沙攻击 

零时科技 || Four.meme 攻击事件分析

我们监测到four.meme平台遭受遭受黑客攻击，此次攻击导致损失约 180,000 USD 
黑客攻击  攻击事件  web3安全 

零时科技 || H2O 攻击事件分析

我们监测到一起针对 BNB Smart Chain 链上项目 H2O 攻击事件，此次攻击共造成 22,000 USD 的损失。
黑客攻击  攻击事件  web3安全 

访问控制 - OpenZeppelin文档

本文深入探讨了智能合约中访问控制的重要性，并介绍了OpenZeppelin Contracts提供的多种访问控制方案，包括Ownable、AccessControl、TimelockController和AccessManager。文章详细阐述了每种方案的原理、使用方法和适用场景，并讨论了如何在实际应用中选择合适的访问控制方案，以确保智能合约的安全性和灵活性，同时还强调了安全实践和潜在风险。
访问控制  智能合约  ownable  AccessControl  TimelockController  AccessManager 

编写可升级合约 - OpenZeppelin 文档

本文介绍了在使用 OpenZeppelin Upgrades 编写可升级合约时需要注意的关键事项，包括使用 initializer 代替 constructor，避免在字段声明中定义初始值，以及如何安全地修改合约存储结构。
可升级合约  OpenZeppelin Upgrades  initializer  存储布局  storage gaps  Namespaced Storage Layout 

工厂克隆的自动监控 - OpenZeppelin 文档

本文介绍了如何使用OpenZeppelin Defender监控通过工厂模式创建的合约克隆。通过设置Monitor监控工厂合约的事件，触发Action自动将新创建的克隆合约地址添加到Defender的地址簿和另一个Monitor的监控列表中，简化了对大量克隆合约的追踪和监控。
OpenZeppelin Defender  工厂模式  合约克隆  监控  自动化  区块链安全 

Fireblocks gasless 合约审计

这篇文章对Fireblocks的Gasless合同进行了全面的审计分析，详细介绍了系统架构、功能、存在的低级别问题以及解决方案。文章强调了GaslessFactory合约的功能和限制，并提出了多项改进建议，以提升其可用性和效率。此外，审计发现了多个代码问题，并已通过合并请求予以解决。
Gasless协议  智能合约  ERC-2771  审计  火块  Solidity 

Fireblocks 可升级代币审计 - ERC20F

本文详细介绍了Fireblocks的可升级ERC20代币合约的审计过程，涵盖了系统概述、权限角色及信任假设。总结中指出发现了一项低严重性问题，并提出了多个提高代码质量和文档的建议。最重要的是，该代币合约支持访问控制功能，符合ERC-20标准。
ERC20代币  可升级合约  审计  访问控制  Fireblocks  Solidity 

Fireblocks 可升级代币审计 - ERC1155F

本篇文章介绍了对Fireblocks升级可转让代币的审计过程及其结果，主要关注ERC-1155标准的实现及其附加的访问控制功能。审计中发现了12个问题，其中1个为低级别问题，并提出了多项改进建议，以提升代码质量和文档清晰度。
ERC-1155  访问控制  审计  Solidity  智能合约  Fireblocks