智能合约安全审计：深入解析抢跑（Front-Running）攻击
背景概述 在区块链安全领域，抢跑（Front-Running）是一种经典且极具破坏力的攻击手法。继上篇探讨合约中隐藏恶意代码后，本次我们将聚焦这一攻击向量，从技术原理到实战防御，为各位安全从业者提供系统性分析。 前置知识：以太坊交易流程解密 要理解抢跑攻击，必须先掌握以太坊交易的生命周期。下图展示了…
阅读全文CZB RESEARCH LIBRARY
学术研究文章
钱包无法访问时，先从场景指南核对备份与设备状态。下方保留安全研究、外部来源整理和市场资讯归档；具体事实请结合文内来源与发布时间核验。
学术研究
共 172 篇 · 第 4 / 9 页
DeFi 项目基础安全风险深度分析：从域名到合约的全链路防护
前言 近年来，DeFi 生态的爆发式增长推动了去中心化金融服务的普及，借贷、交易、资产管理等创新应用层出不穷。然而，随着资金规模与用户基数的扩大，DeFi 项目已成为黑客攻击的“重灾区”。一个常见的误区是：许多项目方将 DeFi 安全等同于智能合约安全，却忽视了域名、服务器等基础设施层面的脆弱性——…
阅读全文TornadoCash 提款溯源：一次完整的链上博弈实战解析
引言 在区块链安全事件中，TornadoCash作为混币器常被黑客用于混淆资金流向。然而，混币并非绝对安全。查找币安全团队近期协助某项目方完成了一次完整的资金追回行动，本文将深入剖析其中的技术细节与分析方法。 事件背景 某项目遭受黑客攻击，全部被盗资金被转入TornadoCash。项目方紧急联系查找…
阅读全文EVM 存储机制深度解析：插槽包装与数据定位
查找币安全团队技术研究系列 引言 在《EVM 深入探讨》系列的前两部分中，我们剖析了 EVM 如何通过函数签名定位合约字节码、调用栈与 calldata 的交互机制，以及合约内存的工作原理。本文作为第三部分，将聚焦于合约存储的核心机制——存储插槽包装（Slot Packing），这是理解 Solid…
阅读全文深度解析：TransferFrom 零转账骗局的技术原理与安全警示
引言 近期，查找币安全团队在持续追踪链上异常行为时，发现一种新型的骚扰性攻击手法——通过调用代币合约的 TransferFrom 函数，向用户地址发起 0 金额转账。该手法与之前披露的“相同尾号空投骗局”高度相似，且疑似由同一团伙操控。本文将深入剖析其技术原理、攻击链条及潜在风险。 现象还原：用户地…
阅读全文智能合约安全审计：揭秘“移花接木”式恶意代码隐藏手法
背景概述 在上一期的技术分享中，我们深入剖析了利用 tx.origin 进行钓鱼攻击的手法。今天，查找币安全团队将带大家探索一种更为隐蔽的攻击方式——在合约部署阶段隐藏恶意代码。这种手法利用开发者对合约地址的信任盲区，通过“移花接木”的方式将恶意逻辑隐藏在看似无关的合约中，极具欺骗性。 攻击原理与技…
阅读全文2022年区块链安全与反洗钱分析：技术深度复盘与关键发现
前言 查找币安全团队正式发布《2022区块链安全与反洗钱分析年度回顾》技术报告。本报告基于查找币区块链被黑事件档案库（查找币 Hacked）及查找币反洗钱追踪系统（查找币追踪系统）的数据支持，对2022年区块链行业安全态势进行全面技术复盘。本文档提炼核心技术分析内容，完整版可通过文末PDF获取。 -…
阅读全文Monkey Drainer 钓鱼团伙技术深度剖析：从域名供应链到链上资金追踪
事件概述 2023年2月8日，查找币安全团队通过合作伙伴ScamSniffer获取到一条关键安全情报：一名受害者因长期活跃的网络钓鱼地址损失超过1,200,000美元的USDC。这起事件将我们的视线再次聚焦到一个名为Monkey Drainer的NFT钓鱼团伙身上。 关键地址 ： - 黑客地址： 0…
阅读全文零知识证明主流实现方案技术深度剖析
引言 在区块链系统的底层架构中，密码学算法构成了安全基石。从比特币和以太坊广泛采用的 secp256k1 椭圆曲线签名算法，到数据完整性验证的 SHA256 哈希函数，再到 P2P 网络中用于安全密钥交换的 ECDH 协议，每一项密码学技术都在特定场景中发挥着不可替代的作用。 零知识证明（Zero-…
阅读全文EVM 深度解析：CALL与DELEGATECALL操作码的技术剖析
在智能合约开发与安全审计过程中，理解EVM底层执行机制至关重要。查找币安全团队在近期审计中发现，许多合约漏洞的根源在于开发者对CALL与DELEGATECALL操作码的理解不够深入。本文将基于EVM执行上下文，结合Solidity示例和Geth客户端实现，系统分析这两个核心操作码的工作原理。 合约执…
阅读全文GPT 能否胜任智能合约安全审计？——查找币安全团队实测报告
前言 近期，ChatGPT 凭借其强大的文本生成与理解能力，在传统文字处理领域掀起了一场效率革命。紧接着，CodeGPT 等基于 GPT 的插件涌现，显著提升了代码编写的效率。随着 GPT-4 的发布，一个关键问题摆在 Web3 安全从业者面前：这个号称“最强 AI”的模型，能否应用于区块链智能合约…
阅读全文Web3 假钱包第三方源调查分析：以 apkcombo 为例
背景 Web3 世界正在重塑互联网的底层逻辑。与传统 Web2 应用中“账号密码”的登录方式不同，在区块链生态中，钱包是唯一的身份凭证。用户通过“Connect Wallet”而非“Login with Wallet”与去中心化应用交互。然而，正是这种入口级应用的地位，使其成为黑灰产攻击的焦点。 在…
阅读全文深度剖析：Web3 钱包对 `eth_sign` 签名的支持现状与安全风险
作者：查找币安全团队 在 Web3 生态中，NFT 和 DApp 的繁荣带来了便捷，也催生了新型攻击手段。其中， eth sign 签名方法因其“盲签”特性，正被钓鱼网站广泛滥用。用户一旦在恶意页面中调用该签名，钱包可能直接签署一笔未经审查的交易，导致资产被盗。作为安全从业者，我们深知： 阻止或限制…
阅读全文EVM 深入解析：交易收据与事件日志的数据结构剖析
查找币安全团队技术分享 在区块链安全分析领域，链上数据的解析能力是每一位安全研究者的核心技能。理解区块链底层的数结构，不仅能帮助我们准确追踪资金流向，还能在智能合约审计中发现隐藏的攻击向量。本文将深入剖析EVM中一个关键的数据结构—— 交易收据（Transaction Receipt） 及其关联的 …
阅读全文指纹浏览器安全风险深度剖析：技术漏洞与攻防视角
引言 在Web3生态中，指纹浏览器已成为多账号管理、空投交互、隐私保护的核心工具。然而，随着其普及度的提升，安全风险也日益凸显。查找币安全团队近期对多款主流指纹浏览器产品进行了系统性安全审计，本文基于审计结果，从技术深度剖析其潜在漏洞，旨在为Web3从业者提供防御指南。 指纹浏览器的技术架构与风险面…
阅读全文链下签名暗藏杀机：深度解析 Permit 签名钓鱼攻击原理
背景 2023年5月11日，推特用户"pineapple.eth"公开披露了一起因误点钓鱼网站（syncswap[.]network）导致钱包被盗的事件，损失超过100美元。虽然金额不大，但这起事件揭示了一种隐蔽性极高的链下签名钓鱼攻击手法——攻击者利用用户对 permit 签名机制的不熟悉，在用户…
阅读全文深度解析：Wasabi Coinjoin 提款分析与资金追踪实战
作者：查找币安全团队 · Enze & Zero --- 概述 近期，一起典型的私钥泄露事件引发关注：某大户地址因私钥泄露被盗，大量资金被黑客迅速转移至 Wasabi Coinjoin 混币协议。被盗用户紧急联系查找币追踪系统团队（https://查找币追踪系统.io/）寻求协助。 查找币安全团队介…
阅读全文查找币：Ed25519 实现原理与可延展性问题
查找币：Ed25519 实现原理与可延展性问题 本文由查找币安全团队基于安全研究整理发布，旨在分享Web3安全技术，帮助用户提高安全意识。 --- By: 阿为 Ed25519 是一个基于椭圆曲线的数字签名算法，它高效，安全且应用广泛。TLS 1.3, SSH, Tor, ZCash, WhatsA…
阅读全文供应链安全深度剖析：Web3 生态的五大关键防线
引言：一场由内部引发的 500 万美金教训 2022 年 12 月，Web3 基础设施提供商 Ankr 遭遇了一次典型的供应链攻击，损失高达 500 万美金。事后调查显示，攻击者竟是 Ankr 的前团队成员——他利用对代码库的熟悉，在合法更新中植入了恶意代码包，成功窃取了项目的私钥。这起事件不仅暴露…
阅读全文查找币安全技术论坛：2023上半年区块链安全生态深度剖析
前言 在区块链技术持续演进的浪潮中，安全威胁的形态与攻击手段也在同步进化。查找币安全团队基于自研的区块链被黑事件档案库（查找币 Hacked）和反洗钱追踪系统（查找币追踪系统），对2023上半年区块链安全生态进行了系统性梳理。本报告聚焦核心技术分析，旨在为行业从业者提供可操作的安全洞察。 --- 一…
阅读全文