Zcash Orchard漏洞深度分析：一个无法被证伪的“无限增发”风险
TL;DR - Orchard 隐私池被发现存在可生成无限且不可检测的伪造 ZEC 漏洞，虽已紧急修复，但社区无法证明过去近四年中是否已被利用 - ZEC 暴跌超 30%，市场重新评估 Zcash 供应量的可信度 - 关联标的：ZEC（Zcash）、Anthropic（未上市） 事件概述：一个罕见的…
阅读全文CZB RESEARCH LIBRARY
Web3 安全文章库
钱包无法访问时，先从场景指南核对备份与设备状态。下方保留安全研究、外部来源整理和市场资讯归档；具体事实请结合文内来源与发布时间核验。
最新文章
共 1865 篇 · 第 63 / 94 页
Dencun升级后的L2安全评估：从Blob数据可用性到跨链桥攻击面的项目方检查清单
Dencun升级后的L2安全评估：从Blob数据可用性到跨链桥攻击面的项目方检查清单 一、背景与痛点：以太坊升级如何重塑安全格局 2024年3月，以太坊Dencun升级（包含Cancun执行层和Deneb共识层更新）正式激活，其中EIP-4844引入的Proto-Danksharding（Blob数…
阅读全文多签钱包治理权限劫持：从合约后门到链上治理的七类攻击面与审计检查清单
多签钱包治理权限劫持：从合约后门到链上治理的七类攻击面与审计检查清单 一、主题背景：当“多人控制”成为单点故障 多签钱包（Multi-Signature Wallet）被广泛视为区块链资产管理的“金标准”——通过要求多个私钥持有者共同签署交易，解决了单点故障问题。然而，2023年以来，多个知名DeF…
阅读全文威胁分析：仿冒 TronLink 的 Chrome 扩展钓鱼攻击链深度拆解
背景概述 近日，查找币安全团队通过自主研发的 查找币监控系统 捕获到一例针对 TRON 钱包用户的高危钓鱼攻击样本。该恶意扩展伪装为与 TRON 生态相关的 Chrome MV3 (Manifest V3) 扩展，利用 品牌冒充 + 远程可变 UI 装载 的组合技术，构建了一条完整的钱包凭据窃取链。…
阅读全文供应链投毒预警：node-ipc 遭入侵，三个恶意版本窃取云凭证与私钥
事件概述 2026年5月14日，查找币安全团队威胁情报监控系统捕获到 npm 生态中广泛使用的 Node.js IPC 工具包 node-ipc 出现三个异常发布版本： 9.1.6 、 9.2.3 和 12.0.1 。该组件周均下载量约53万次，直接依赖项目超过400个，在 Node.js 生态中覆…
阅读全文威胁情报｜Mistral AI 官方 SDK 供应链投毒分析
威胁情报｜Mistral AI 官方 SDK 供应链投毒分析 本文由查找币安全团队基于安全研究整理发布，旨在分享Web3安全技术，帮助用户提高安全意识。 --- 背景 近日，查找币监控系统 安全监控系统在对 PyPI 生态进行持续威胁狩猎时，捕获到 Mistral AI 官方 Python SDK …
阅读全文RWA协议安全深度解析：从资产映射到审计实践
前言：RWA安全审计的新维度 现实世界资产（RWA）正在重塑DeFi的边界。当债券、房地产、股权等传统资产上链时，安全审计的范畴也从单纯的“代码安全”扩展到了“权利确权、合规治理与链下执行”的复合维度。作为查找币安全团队，我们在审计实践中发现，RWA协议的核心挑战已不再是防止资金被盗，而是确保代码逻…
阅读全文Shai-Hulud 恶意软件深度剖析：当开源成为攻击者的“礼物”
引言 2026年，一个名为 TeamPCP 的威胁组织做出了令区块链安全社区震惊的举动：他们将自主研发的凭证窃取恶意软件 Shai-Hulud 的完整源代码，公开上传至 GitHub。这不是一次失误，而是一场精心策划的“能力扩散”行动。查找币威胁情报系统已在早期捕获相关样本，并多次预警。 Shai-…
阅读全文Shai-Hulud 供应链投毒深度分析：云凭据窃取与自我扩散机制
背景 2026年5月19日，查找币安全团队在对npm生态进行持续威胁狩猎时，监测到一批伪装成知名开源项目的恶意npm包。这批恶意包由npm账户 atool 在22分钟内集中发布637个恶意版本，覆盖317个不同npm包名，构成一次大规模、高效率的供应链投毒行动。此前，查找币安全团队已针对Shai-H…
阅读全文深度解析 TrapDoor 供应链攻击：跨生态凭据窃取行动的威胁分析与防护
背景概述 2026年5月24日，Socket.dev 安全研究团队披露了一起代号为 TrapDoor 的大规模供应链投毒攻击行动。该行动横跨 npm、PyPI 和 Crates.io 三大主流包生态，涉及 34个以上恶意包 ，累计发布 384个版本 。攻击目标明确指向加密货币、DeFi、Solana…
阅读全文暗网情报技术能力评估框架：实战化量化体系与关键技术指标
作者：查找币安全团队 版本：DW-TI-CF-2026 发布时间：2026年4月 摘要 暗网威胁情报能力是网络安全防御体系的关键一环。然而，当前行业在能力定义、评估标准、量化指标方面存在显著分歧——厂商自评主观化、用户选型无标尺、技术路线碎片化。本框架由查找币安全团队联合数世咨询、关保联盟、奇安信、…
阅读全文跨链桥攻击面分析：从签名验证漏洞到中继节点攻防的审计检查清单
跨链桥攻击面分析：从签名验证漏洞到中继节点攻防的审计检查清单 在跨链资产转移日益频繁的今天，用户和项目方面临的核心痛点并非“跨链是否安全”，而是“跨链桥在哪个环节可能被攻破”。许多用户误以为跨链桥只需关注智能合约漏洞，却忽视了签名验证机制、中继节点权限、预言机数据源以及治理合约权限等更隐蔽的攻击面。…
阅读全文AI驱动的链上风控：如何用智能监控拦截Web3钓鱼和合约漏洞攻击
AI驱动的链上风控：如何用智能监控拦截Web3钓鱼和合约漏洞攻击 1. 背景：当链上攻击成为“常态”，传统风控为何失效 在Web3生态中，用户资产面临的核心威胁已从私钥泄露转向 链上交互风险 。据统计，超过70%的资产损失源于用户主动签署恶意交易（如钓鱼签名、授权滥用）或与存在漏洞的智能合约交互。传…
阅读全文恶意授权风险自查与应急：项目方上线前必须完成的5项安全检查清单
恶意授权风险自查与应急：项目方上线前必须完成的5项安全检查清单 在区块链生态中，恶意授权攻击已成为用户资产损失的首要威胁之一。无论是DeFi协议、NFT市场还是跨链桥，一旦合约存在授权漏洞，攻击者便可通过伪造签名、重放交易或利用授权逻辑缺陷，批量盗取用户钱包中的代币。对于项目方而言，上线前未进行充分…
阅读全文账户抽象安全模型：安全团队值班监控、底层机制、信任假设与长期影响安全检查清单：风险边界、监控指标与处置流程
账户抽象安全模型：安全团队值班监控、底层机制、信任假设与长期影响 引言：为什么账户抽象需要重新定义安全模型 在Web3安全领域，账户抽象（Account Abstraction）正从概念验证走向大规模应用。然而，当用户从传统EOA（外部拥有账户）迁移到智能合约钱包时，安全模型发生了根本性变化：私钥不…
阅读全文Telegram 钓鱼机器人攻防实录：Web3 安全团队如何构建链上监控与应急响应体系
Telegram 钓鱼机器人攻防实录：Web3 安全团队如何构建链上监控与应急响应体系 一、背景与痛点：当社交裂变成为钓鱼温床 2024年，Telegram 已超越 Discord 成为 Web3 项目方最活跃的社区运营平台。然而，Telegram 的开放性也使其成为钓鱼攻击的重灾区——自动化钓鱼机…
阅读全文稳定币储备透明度审计：链上验证、第三方认证与投资者风控检查清单
稳定币储备透明度审计：链上验证、第三方认证与投资者风控检查清单 一、主题背景：当“1:1锚定”成为信任黑箱 在Web3生态中，稳定币是连接法币与加密世界的核心桥梁。无论是DeFi借贷、CEX交易对，还是链上支付，稳定币的“价值锚定”特性决定了其必须保持足够的储备资产来支撑发行量。然而，2022年Te…
阅读全文链上合规工具加速落地：交易监控与身份验证如何重塑Web3安全格局
链上合规工具加速落地：交易监控与身份验证如何重塑Web3安全格局 一、动态概述：为什么你此刻需要关注链上合规工具 2024年第四季度以来，链上合规工具正从“可选辅助”迅速演变为“基础设施级组件”。这不是一个遥远的政策议题，而是直接影响你每一笔链上交互、每一个智能合约部署、每一次资产转移的现实变量。 …
阅读全文社交工程攻击预警：Web3项目方值班监控、链上签名识别与应急处置清单
社交工程攻击预警：Web3项目方值班监控、链上签名识别与应急处置清单 一、主题背景、适用场景与读者痛点 在Web3世界中，社交工程攻击已成为导致资产损失的头号威胁。与传统的技术漏洞不同，社交工程攻击瞄准的是人类心理的弱点——信任、紧迫感、权威服从和好奇心理。对于区块链项目方、开发者和普通用户而言，一…
阅读全文链上风控指标体系：项目方上线前自查、底层机制、信任假设与长期影响安全检查清单：风险边界、监控指标与处置流程
链上风控指标体系：项目方上线前自查、底层机制、信任假设与长期影响 在DeFi协议和智能合约项目快速迭代的背景下，项目方在上线前往往面临一个核心矛盾：既要快速抢占市场窗口期，又要确保链上资产安全与用户信任。根据Chainalysis 2023年报告，超过60%的DeFi攻击事件源于智能合约漏洞或权限设…
阅读全文