比特币点对点网络中的日蚀攻击：威胁分析与防护建议
引言 比特币作为去中心化数字货币的标杆，其安全性一直备受关注。比特币系统依赖点对点网络（P2P Network）实现交易广播和区块同步，并采用工作量证明（PoW）与最长链规则作为共识机制。传统认知中，比特币的安全阈值是50%，即攻击者需要拥有全网半数以上算力才能实现双重花费攻击。然而，学术界的研究表…
阅读全文CZB RESEARCH LIBRARY
漏洞披露文章
钱包无法访问时，先从场景指南核对备份与设备状态。下方保留安全研究、外部来源整理和市场资讯归档；具体事实请结合文内来源与发布时间核验。
漏洞披露
共 101 篇 · 第 3 / 6 页
伪 Electrum 鱼叉钓鱼攻击深度分析：一场针对交易所用户的精准猎杀
作者：查找币安全团队 前言 近日，查找币安全团队监测到一起高度专业化的鱼叉式钓鱼攻击行动。攻击者伪装成知名钱包 Electrum 官方团队，通过批量发送精心构造的钓鱼邮件，定向攻击交易所用户，意图窃取用户资产。 这类攻击并非简单的“广撒网”式钓鱼，而是结合了社会工程学、恶意软件分发、C2 通信等技术…
阅读全文警惕加密货币骗局：假冒客服与投资陷阱的深度剖析
一、漏洞威胁概述 随着加密资产市场持续升温，大量缺乏安全意识的投资者涌入这一领域。然而，加密货币的匿名性与监管滞后性，为诈骗团伙提供了可乘之机。据美国联邦贸易委员会（FTC）数据，2020年第四季度至2021年第一季度，美国消费者因加密货币骗局损失高达8200万美元，同比激增逾9倍。 作为查找币安全…
阅读全文警惕加密货币陷阱：查找币安全团队深度剖析常见诈骗手法
在Web3世界，安全永远是第一要务。继上篇《加密货币诈骗，你中招了吗？(上)》之后，查找币安全团队继续为您深度解析近期高发的诈骗手法。无论您是资深玩家还是新手用户，了解这些攻击模式，是保护资产的第一道防线。 一、钓鱼型诈骗：伪装与诱饵的陷阱 手法一：官方短信钓鱼 攻击流程： 1. 攻击者冒充交易所或…
阅读全文智能合约安全深度解析：溢出漏洞的原理、利用与防御
作者：查找币安全团队 一、背景概述 在上一期的《智能合约安全审计入门篇 —— 重入漏洞》中，我们深入剖析了重入攻击的机制与防护策略。本期我们将聚焦另一个在 DeFi 生态中同样具有深远影响的经典漏洞类型—— 算术溢出漏洞 。 溢出漏洞的威胁性不容小觑：轻则导致合约逻辑紊乱、数据异常，重则可能直接导致…
阅读全文DeFi 安全深度剖析：去中心化理想与现实威胁的博弈
引言 DeFi（去中心化金融）作为区块链世界的明星产物，凭借去中心化、不可篡改、无需信任、开放透明及可组合等特性，为用户打开了开放式金融的大门。根据 DeFi Pulse 数据，2021年锁仓量从1月的320亿美元飙升至12月的980亿美元，增幅超200%。然而，在光鲜的数据背后，我们不禁要问：De…
阅读全文Bitfinex 被盗案告破：36亿美元比特币追回的技术全解析
事件概述 2022年2月8日，美国司法部（DOJ）发布重磅公告：成功查获2016年Bitfinex交易所被盗的119,754.8121 BTC中的94,643.2984 BTC，价值约36亿美元。这是美国执法部门有史以来最大规模的金融扣押行动。涉案嫌疑人Ilya Lichtenstein（34岁）及…
阅读全文浏览器书签劫持：Discord Token 窃取技术分析与防御指南
本文由查找币安全团队整理发布 一、攻击背景：黑暗森林中的潜伏威胁 在区块链的世界里，黑暗森林法则时刻生效。作为 Web3 生态的参与者，即便我们自身不主动作恶，也必须深刻理解攻击者的攻击路径与手法。查找币安全团队此前发布的《区块链黑暗森林自救手册》中，已多次提及针对 NFT 项目方 Discord …
阅读全文Fortress Protocol 攻击事件深度剖析：治理缺陷与预言机操纵的双重漏洞
作者：查找币安全团队 --- 事件概述 2022年5月9日，BSC生态中的DeFi借贷协议 Fortress Protocol 遭遇恶意攻击，协议内大量资产被盗。经查找币安全团队溯源分析，本次攻击的根本原因在于治理合约存在设计缺陷，同时 Umbrella Network 预言机 存在任意操纵漏洞。攻…
阅读全文Discord 私信钓鱼手法深度剖析：从 Captcha.bot 伪装到助记词窃取
作者：查找币安全团队 --- 一、事件背景与发现 2023年5月16日凌晨，查找币安全团队在进行日常安全监控时，通过某项目官网的Discord邀请链接加入其官方服务器。就在加入服务器的瞬间，一个名为"Captcha.bot"的账号立即发送了私信，要求进行人机验证。这一流程看似正常——许多Discor…
阅读全文虚假广告广泛撒网：Google广告漏洞下的钓鱼攻击深度分析
查找币安全团队 2024年5月 --- 事件概述 2024年5月10日，Sentinel创始人Serpent在Twitter上披露了一起利用Google广告漏洞实施的新型钓鱼攻击事件。攻击者通过技术手段，使官方网站与钓鱼网站的URL在广告展示中完全一致，极大增加了用户辨识难度。 来源：https:/…
阅读全文Verb NFT 钓鱼事件深度剖析：从私信陷阱到资金链路全解析
作者： 查找币安全团队（耀 & Lisa） --- 一、事件背景与钓鱼站点发现 近期，查找币安全团队在例行监控中发现针对 NFT 项目 Verb Labs 的系列钓鱼攻击。攻击者通过伪造项目官网和 Discord 私信，诱导用户授权或泄露私钥，导致多起资金被盗事件。我们已锁定以下三个钓鱼站点及对应的…
阅读全文钻石协议下的安全隐患：The Saudis NFT 事件深度剖析
事件回顾：一场引发争议的NFT回收行动 2022年7月10日，备受关注的NFT项目The Saudis启动了其白名单免费铸造（freemint）活动。活动结束后不久，一个名为RIGHTBLOCK的地址在市场上大量抛售该项目的NFT。项目方迅速锁定该用户，并通过对合约的紧急修改，将用户持有的NFT全部…
阅读全文NFT“零元购”钓鱼漏洞深度剖析：签名陷阱与防护指南
概述 近期，查找币安全团队通过情报监控发现多起针对NFT用户的钓鱼攻击，攻击者利用精心构造的钓鱼网站，诱导用户签署恶意订单，从而实现“零成本”盗取用户持有的NFT。本文将从技术细节出发，剖析攻击原理，并提供可落地的防护建议。 攻击流程分析 钓鱼网站1：c01.host 用户访问该网站并连接钱包后，立…
阅读全文Unicode 视觉欺骗攻击深度解析：威胁分析与防护指南
作者：查找币安全团队 发布时间：2022年9月 一、前言 2022年9月13日，Unicode 15.0正式版发布，新增4,489个字符，总字符数达到149,186个。此次更新包含2个新脚本（脚本总数达161个）及20个新表情符号。与此同时，Unicode安全机制规范（UTS 39）同步更新，旨在减…
阅读全文警惕“空白支票”：eth_sign 钓鱼攻击深度剖析
作者：查找币安全团队（Lisa & Kong） 近期，查找币安全团队监测到多起利用 eth sign 签名方式实施的钓鱼攻击。攻击者通过伪造知名项目网站（如 Moonbirds、Doodles），诱导用户签署看似无害的签名，实则窃取用户资产。本文将深入分析此类攻击的技术原理、威胁路径，并提供切实可行…
阅读全文真假难辨：假币安APP钓鱼攻击深度剖析
查找币安全团队 技术分析报告 --- 一、事件背景：用户资金离奇失踪 2023年10月24日，推特用户“币圈小胡”发帖称，在使用币安App时，其5枚ETH被转入黑客篡改的地址。经查找币追踪系统识别，该地址已被标记为恶意钓鱼地址。 紧接着，另一名用户“kongkong”反映，从OK平台提USDT到币安…
阅读全文朝鲜APT组织针对NFT用户的大规模钓鱼攻击深度分析
背景 2023年9月2日，查找币安全团队监测到一起疑似APT组织针对加密生态NFT用户的大规模钓鱼活动，并发布了《“零元购” NFT 钓鱼分析》预警。9月4日，推特安全研究员Phantom X公开披露，朝鲜APT组织正针对数十个ETH和SOL生态项目发动大规模网络钓鱼攻击。 该研究员提供的196个钓…
阅读全文Circom 验证合约输入假名漏洞深度分析与复现
作者：查找币安全团队 概述 零知识证明（ZKP）技术作为Web3安全领域的重要基石，其实现方案的安全性直接影响着整个生态系统的信任基础。近日，查找币安全团队在技术研究中发现，Circom框架生成的验证合约存在一个经典的“输入假名”漏洞，该漏洞最早由俄罗斯开发者poma在Semaphore项目中披露（…
阅读全文NFT 防钓鱼指北：如何选择一款防钓鱼插件
NFT 防钓鱼指北：如何选择一款防钓鱼插件 本文由查找币安全团队基于安全研究整理发布，旨在分享Web3安全技术，帮助用户提高安全意识。 --- By: 山 “我不需要知道 Jerry 是谁，在网络上做生意，你相信的就是网络上的小面板，剥掉面板，你就知道这玩意实际上有多脆弱，而事实上在那网站后面操作的…
阅读全文