智能合约安全审计：私有数据的“公开秘密”
引言 在智能合约开发中， private 关键字常被开发者视为数据安全的“保险箱”，认为被标记为私有的状态变量无法被外部读取。然而，区块链的本质决定了链上所有数据都是公开透明的。本文将深入剖析 Solidity 中私有数据的存储机制，揭示其可被读取的技术原理，并给出专业的安全审计建议。 数据存储机制…
阅读全文CZB RESEARCH LIBRARY
学术研究文章
钱包无法访问时，先从场景指南核对备份与设备状态。下方保留安全研究、外部来源整理和市场资讯归档；具体事实请结合文内来源与发布时间核验。
学术研究
共 172 篇 · 第 3 / 9 页
区块链黑暗森林生存指南：从认知到实践的完整防御体系
前言 区块链技术作为一项革命性创新，在某种程度上重构了生产关系，为“信任”这一稀缺资源提供了技术解决方案。然而，现实中普遍存在的认知误区，使得恶意攻击者得以频繁入侵用户资产，造成巨额经济损失。这片数字疆域，早已演变为名副其实的黑暗森林。 基于此，查找币安全团队系统梳理了区块链安全防御体系，形成这份技…
阅读全文链上追踪深度解析：TRON生态中的USDT洗币手法全揭秘
前言 在区块链安全领域，洗币手法一直是追踪与反追踪的博弈焦点。比特币生态中，Wasabi钱包等混币工具为资金隐匿提供了便利；以太坊上，Tornado.Cash等协议也曾是黑客的“避风港”。然而，在波场TRON生态中，由于缺乏成熟的混币协议，黑客如何实现大规模USDT的洗白？本文将以一起真实的530万…
阅读全文29枚Moonbirds NFT被盗事件深度技术溯源分析
事件概述 2022年5月25日，安全社区监测到一起针对Moonbirds系列NFT的大规模钓鱼攻击事件。攻击者通过钓鱼网站 p2peers.io 成功盗取29枚Moonbirds NFT，涉案金额超过70万美元。查找币安全团队在接到情报后，立即启动应急响应机制，对该事件进行了全面的技术溯源分析。 攻…
阅读全文2000万OP代币被盗事件深度解析：交易重放攻击的技术原理
背景概述 2022年6月9日，Optimism与Wintermute联合发布公告，披露了一起涉及2000万枚OP代币的安全事件。Optimism委托Wintermute为其原生代币OP在二级市场提供流动性服务，并计划向Wintermute提供2000万枚OP代币作为流动性支持。Wintermute向…
阅读全文假钱包黑产全景追踪：技术视角下的深度剖析
前言 2023年11月，一位用户小A收到某交易所的营销短信后，在浏览器中搜索“xx钱包官方”，点击排名首位的链接下载了App。从创建钱包到转入资产，整个过程看似顺利，但短短几分钟后，小A收到了转账成功的通知——他钱包内价值1000万美元的ERC20-USDT全部归零。事后调查发现，这个App是精心伪…
阅读全文智能合约安全审计：CREATE vs CREATE2 —— 同一地址部署不同合约的攻击向量分析
概述 在以太坊生态中，合约地址的确定性生成机制为开发者提供了便利，但同时也引入了新的攻击面。查找币安全团队在近期审计中发现，部分项目因未充分理解 CREATE 与 CREATE2 操作码的底层差异，导致攻击者能够利用地址复用技术在不同时间点将不同合约部署到同一地址，进而实施破坏性操作。本文将深入剖析…
阅读全文深入解析delegatecall：从变量覆盖到权限劫持
背景回顾 在上一篇文章《智能合约安全审计入门篇——delegatecall（1）》中，我们探讨了 delegatecall 的基础原理及其引发的一个典型漏洞。今天，我们将进一步挖掘这一函数的危险性，通过一个进阶案例演示攻击者如何利用存储布局的差异实现权限劫持。这不仅是对知识的巩固，更是一次实战演练。…
阅读全文智能合约安全审计：随机数生成机制的深度剖析与风险防范
背景概述 在智能合约安全审计的系列研究中，我们此前深入分析了 delegatecall 函数的特性与安全使用规范。本期，我们将聚焦于区块链开发中一个高频使用的核心组件—— 随机数 。随机数在去中心化应用（DApp）中扮演着至关重要的角色，从彩票类合约的抽奖逻辑，到NFT数字藏品的属性生成，都离不开可…
阅读全文2022上半年区块链安全态势与反洗钱技术深度剖析
前言 查找币安全团队发布《2022上半年区块链安全及反洗钱分析报告》，聚焦上半年区块链行业重大安全事件，系统梳理各赛道安全状况，提炼典型攻击手法与资金流向规律。本报告首次公开一种针对混币器资金追踪的高级分析方法，为行业反洗钱实践提供技术参考。 因篇幅限制，本文仅呈现报告核心内容，完整技术细节可通过文…
阅读全文2022上半年区块链安全态势深度剖析：攻击手法与生态风险全景
引言 在查找币安全团队发布的《2022上半年区块链安全及反洗钱分析报告》中，我们系统梳理了这一时期区块链生态面临的安全挑战。本文将聚焦于安全事件的技术特征、攻击手法演变及生态风险分布，为行业从业者提供可操作的风险防范参考。 一、总体安全态势：损失规模与攻击类型分布 截至2022年6月30日，查找币区…
阅读全文2022上半年区块链反洗钱态势深度剖析：技术视角与实战方法论
引言 区块链的匿名性与不可逆性构成了加密货币交易的核心特征，然而这一特性也使其成为黑客、欺诈者及黑色产业链的洗钱温床。面对日益猖獗的链上犯罪，反洗钱（AML）已成为守护区块链生态安全的最后防线。本报告基于2022上半年的链上数据与安全事件，系统梳理了区块链反洗钱的整体态势、关键工具及技术分析方法。 …
阅读全文2022上半年区块链安全事件深度剖析：攻击手法与反洗钱追踪
前言 在上一期的技术分享中，我们深入剖析了2022上半年区块链反洗钱的整体态势与工具方法论。本期，查找币安全团队将聚焦于该时期发生的典型安全事件，并结合我们的追踪系统，对部分事件进行反洗钱路径分析，揭示攻击者的资金流转模式。 典型安全事件盘点 本节选取了2022上半年损失规模较大、发生频率较高、影响…
阅读全文Ronin Network 安全事件深度剖析：从漏洞利用到反洗钱追踪
事件回顾：6.1亿美元的链上劫案 2022年3月29日，Axie Infinity侧链Ronin Network发布安全预警，披露了一起震惊行业的重大安全事件：攻击者通过私钥伪造提款交易，分两次从Ronin bridge中盗取17.36万枚ETH和2550万枚USDC，总损失超过6.1亿美元。这一数…
阅读全文EVM 底层剖析：从 Solidity 到字节码的执行哲学
By：Flush@查找币安全团队 --- 导语：理解 EVM 是安全与开发的基石 在智能合约的世界里，以太坊虚拟机（EVM）及其算法与数据结构构成了最底层的“第一性原理”。我们编写的每一行 Solidity 代码，最终都会被编译并部署到 EVM 上执行。无论你是希望成为顶尖的 Solidity 开发…
阅读全文暗夜窃贼：Redline Stealer 木马盗币技术深度分析
查找币安全团队 技术研究 事件背景 近期，查找币安全团队接到多起社区反馈，用户因遭遇钓鱼木马攻击导致加密货币被盗，累计损失已达数百万美元。这类攻击主要针对加密货币用户，利用社交工程手段诱导用户执行恶意程序，进而窃取钱包信息。 攻击手法分析 攻击流程 攻击者主要通过以下渠道传播木马： - Discor…
阅读全文区块链硬分叉的技术风险与安全防护策略
引言 区块链分叉是分布式系统中常见的现象，分为软分叉和硬分叉两种类型。本文聚焦于硬分叉——一种不支持向后兼容的协议升级方式。硬分叉本质上是共识规则的分裂，而共识正是区块链系统中各节点达成数据一致性的核心算法。以比特币为例，其采用基于 PoW（工作量证明）的共识机制；以太坊则通过“The Merge”…
阅读全文深度解析智能合约拒绝服务攻击：从原理到审计实践
背景概述 在上一期的技术分享中，我们深入探讨了智能合约中随机数生成机制的安全隐患。今天，查找币安全团队将聚焦另一个在传统网络安全与区块链安全领域均具有重大威胁的攻击向量—— 拒绝服务（Denial of Service, DoS）攻击 。 拒绝服务攻击的本质是破坏系统的可用性，使合法用户无法正常访问…
阅读全文EVM 内存管理机制深度解析：从字节码到数据结构
引言 在上一篇文章中，我们探讨了 EVM 如何通过函数签名和调用栈来定位需要执行的字节码。今天，我们将深入合约内存的核心机制，解析 EVM 如何管理和操作内存数据。 内存数据结构：字节数组的奥秘 合约内存本质上是一个简单的字节数组，支持以 32 字节（256 位）或 1 字节（8 位）为单位进行数据…
阅读全文EVM 深入探析（四）：从区块头到合约存储的技术溯源
查找币安全团队技术研究 --- 引言 在“EVM 深入探讨”系列的第三部分中，我们深入剖析了合约存储的运作机制。本期，我们将视角提升至更宏观的层面——探究单个合约的存储如何融入以太坊链的“世界状态”。我们将系统性地梳理以太坊链的架构、核心数据结构，以及 Go Ethereum（Geth）客户端的内部…
阅读全文