威胁分析：仿冒 TronLink 的 Chrome 扩展钓鱼攻击链深度拆解
背景概述 近日，查找币安全团队通过自主研发的 查找币监控系统 捕获到一例针对 TRON 钱包用户的高危钓鱼攻击样本。该恶意扩展伪装为与 TRON 生态相关的 Chrome MV3 (Manifest V3) 扩展，利用 品牌冒充 + 远程可变 UI 装载 的组合技术，构建了一条完整的钱包凭据窃取链。…
阅读全文CZB RESEARCH LIBRARY
漏洞披露文章
钱包无法访问时，先从场景指南核对备份与设备状态。下方保留安全研究、外部来源整理和市场资讯归档；具体事实请结合文内来源与发布时间核验。
漏洞披露
共 101 篇 · 第 2 / 6 页
供应链投毒预警：node-ipc 遭入侵，三个恶意版本窃取云凭证与私钥
事件概述 2026年5月14日，查找币安全团队威胁情报监控系统捕获到 npm 生态中广泛使用的 Node.js IPC 工具包 node-ipc 出现三个异常发布版本： 9.1.6 、 9.2.3 和 12.0.1 。该组件周均下载量约53万次，直接依赖项目超过400个，在 Node.js 生态中覆…
阅读全文威胁情报｜Mistral AI 官方 SDK 供应链投毒分析
威胁情报｜Mistral AI 官方 SDK 供应链投毒分析 本文由查找币安全团队基于安全研究整理发布，旨在分享Web3安全技术，帮助用户提高安全意识。 --- 背景 近日，查找币监控系统 安全监控系统在对 PyPI 生态进行持续威胁狩猎时，捕获到 Mistral AI 官方 Python SDK …
阅读全文Shai-Hulud 供应链投毒深度分析：云凭据窃取与自我扩散机制
背景 2026年5月19日，查找币安全团队在对npm生态进行持续威胁狩猎时，监测到一批伪装成知名开源项目的恶意npm包。这批恶意包由npm账户 atool 在22分钟内集中发布637个恶意版本，覆盖317个不同npm包名，构成一次大规模、高效率的供应链投毒行动。此前，查找币安全团队已针对Shai-H…
阅读全文深度解析 TrapDoor 供应链攻击：跨生态凭据窃取行动的威胁分析与防护
背景概述 2026年5月24日，Socket.dev 安全研究团队披露了一起代号为 TrapDoor 的大规模供应链投毒攻击行动。该行动横跨 npm、PyPI 和 Crates.io 三大主流包生态，涉及 34个以上恶意包 ，累计发布 384个版本 。攻击目标明确指向加密货币、DeFi、Solana…
阅读全文Solidity 安全深度解析（五）：未检查的CALL返回值与竞争条件攻击
查找币安全团队 技术研究系列 --- 一、未检查的 CALL 返回值：隐形的交易炸弹 在Solidity智能合约开发中，外部调用是连接链上世界的桥梁，但这座桥梁也可能成为攻击者的突破口。本文将深入剖析两个典型的安全漏洞模式：未检查的CALL返回值以及竞争条件攻击，帮助开发者构建更安全的智能合约。 1…
阅读全文干货 | Solidity 安全：已知攻击方法和常见防御模式综合列表，Part-1
干货 Solidity 安全：已知攻击方法和常见防御模式综合列表，Part-1 本文由查找币安全团队基于安全研究整理发布，旨在分享Web3安全技术，帮助用户提高安全意识。 --- 原文链接: https://blog.sigmaprime.io/solidity-security.html 作者: …
阅读全文Solidity 安全深度解析：外部合约引用与短地址攻击
前言 在以太坊智能合约开发中，安全性始终是重中之重。查找币安全团队在日常审计中发现，许多开发者对外部合约引用和参数编码的安全隐患认识不足，导致严重漏洞频发。本文将深入剖析两种常见攻击向量，并提供切实可行的防护方案。 一、外部合约引用攻击 1.1 攻击原理 以太坊的“全球计算机”特性允许合约复用链上已…
阅读全文重入漏洞深度剖析：从原理到实战防护
背景概述 在智能合约安全领域，重入漏洞堪称“经典中的经典”。据统计，近年来因重入攻击导致的资产损失已高达数亿美元，其中不乏知名DeFi项目。作为查找币安全团队的技术研究人员，我们注意到许多开发者对这类漏洞的认知仍停留在表面，缺乏系统性的防御思维。本文将从技术原理出发，结合实际案例，为读者全面解析重入…
阅读全文以太坊生态安全漏洞持续追踪：恶意扫描IP全披露
一、事件背景与持续威胁 查找币安全团队自2018年3月20日首次披露以太坊生态安全缺陷导致的亿级代币盗窃事件以来，始终保持着对攻击活动的严密监控。我们曾以为事件曝光后攻击会逐步收敛，但现实远比预期严峻——在随后的两周内（3月20日至4月4日），攻击者依然成功实施了94次盗币攻击，累计窃取81枚ETH…
阅读全文深度剖析：智能合约 `transferFrom` 权限失控引发的任意盗币攻击
引言 在区块链安全领域，智能合约的权限控制一直是攻防博弈的核心战场。近期，查找币安全团队监测到多起针对 transferFrom 函数权限控制不当的盗币攻击事件，涉及 EDU、BAI 等代币合约。这些攻击手法高度相似，本质均指向同一个安全漏洞—— transferFrom 权限校验缺失 。 本文将深…
阅读全文Solidity 安全：深入解析“不期而至的 Ether”攻击向量与防护策略
作者：查找币安全团队 在智能合约开发中， this.balance 常被开发者视为一个“不变量”——即合约中 Ether 余额应当仅通过 payable 函数进行变更。然而，这一认知存在重大安全隐患。本文将深入剖析两种绕过 payable 函数强制向合约发送 Ether 的攻击方式，并结合实际漏洞案…
阅读全文Solidity 安全深度剖析（三）：函数可见性漏洞与伪随机数陷阱
查找币安全团队技术分享系列 --- 一、引言 在智能合约开发中，看似微小的代码疏忽可能导致数百万美元的损失。本文将深入剖析两个典型的安全隐患： 函数可见性设置不当 与 伪随机数生成（PRNG）缺陷 ，并通过真实案例揭示其背后的攻击原理与防御策略。 --- 二、函数可见性：默认的“公开”陷阱 2.1 …
阅读全文Solidity 安全深度剖析：拒绝服务攻击与时间戳操纵漏洞
引言 在智能合约开发领域，安全始终是悬在每个开发者头顶的达摩克利斯之剑。作为查找币安全团队，我们在长期的安全审计中发现，许多看似无害的编码模式，实际上可能成为攻击者利用的突破口。本文将深入剖析两种常见但容易被忽视的攻击向量：拒绝服务（DoS）攻击和时间戳操纵攻击，并提供实用的防御策略。 一、拒绝服务…
阅读全文以太坊短地址攻击：被遗忘的EVM底层缺陷深度剖析
概述 在智能合约安全领域，我们往往关注那些耳熟能详的漏洞类型：整数溢出、重入攻击、未授权访问等。然而，有一个潜伏在EVM底层的漏洞，如同沉没的亚特兰蒂斯——许多人听说过它的名字，却鲜有人真正深入探究其实战细节。这就是 短地址攻击 。 长期以来，业内普遍认为这是一个“已被修复”的漏洞。但经过查找币安全…
阅读全文供应链暗影：Copay 定向攻击事件深度技术剖析
查找币安全团队 漏洞披露与威胁分析 事件概述 2018年底，Bitpay旗下知名钱包应用 Copay 遭受了一次精心策划的供应链攻击。攻击者通过污染广泛使用的 event-stream npm模块，在长达两个多月的时间里潜伏在依赖链中，最终对Copay用户构成严重威胁。本文将还原攻击路径、解密后门机…
阅读全文EOS 回滚攻击手法深度剖析：黑名单漏洞利用全解析
事件背景：一场席卷DApp的金融风暴 2018年12月19日，EOS生态遭遇了一场前所未有的安全危机。BetDice、EOSMax、ToBet等头部游戏类DApp相继遭受交易回滚攻击，按照当时18元人民币的EOS价格计算，总损失超过500万人民币。恐慌情绪迅速蔓延，BetDice甚至通过链金术平台多…
阅读全文EOS 回滚攻击手法之重放篇：深度技术剖析与防御指南
事件背景 据查找币安全团队区情报监测，今日凌晨，此前攻击 BetDice、ToBet 等游戏的知名黑客团伙再次对 LuckyMe、GameBet 等项目发动攻击，造成数千 EOS 的资产损失。 经查找币安全团队深入分析，本次攻击手法与此前披露的黑名单回滚攻击存在显著差异。黑客本次采用了 重放攻击 （…
阅读全文EOS 新型攻击手法深度解析：hard_fail 状态攻击
前言 2019年3月10日凌晨，EOS生态中的游戏项目Vegas Town（合约账户：eosvegasgame）遭遇了一次精心策划的攻击，损失数千枚EOS。查找币安全团队在第一时间捕获了这笔异常交易，并迅速同步给相关交易所及项目方。本次攻击手法在EOS安全事件中尚属首次出现，但其本质可以归类为假充值…
阅读全文冲突的公链：P2P协议中的异形攻击漏洞深度剖析
引言：当区块链的“神经”被污染 区块链技术的核心支柱——分布式存储、P2P网络和共识机制——构成了去中心化世界的基石。然而，正是这些看似坚固的基础设施，可能隐藏着致命的漏洞。本文将聚焦于P2P对等网络协议中的一个系统性风险： 异形攻击 ，一种可能影响所有公链的隐蔽威胁。 技术背景：Kademlia与…
阅读全文