Knowledge Base 慢雾安全团队知识库

慢雾科技：https://www.slowmist.com 慢雾区：https://www.slowmist.io

我们在努力成为区块链世界的“安全基础设施”。未知的才是有趣的，已知的如果不分享将会变得索然无味。

目录

• Knowledge Base 慢雾安全团队知识库
  • 目录
  • 区块链生态安全研究
  • 翻译资料
  • 开放报告
  • 思维导图
  • 技术分析
    • DeFi 攻击手法分析
    • EOS 攻击手法分析
    • 链上追踪技术分析
    • 其他区块链技术分析
    • :fire: 针对数字货币交易平台充值入账的攻击手法
  • 其他资料

区块链生态安全研究

Blockchain ecological security research, include: Bitcoin, Monero, Ethereum, EOS and other top blockchains.

• :fire: cryptocurrency security
• :fire: Blockchain-dark-forest-selfguard-handbook
• Paper of SlowMist
• Threat Intelligence of SlowMist
• Public topic of SlowMist HackingTime
• Ontology Triones Service Node security checklist
• vechain core nodes security checklist
• EOS BP nodes security checklist
• EOS BP nodes security audit
• EOS smart contract security best practices
• EOS 天眼(EOS MonKit)
• FireWall.X — 强大的 EOS 智能合约防火墙
• FireWall.X GitHub
• Open of SlowMist

翻译资料

Some translated blockchain security documents.

• DASP Top10 中文版
• Solidity 安全：已知攻击方法和常见防御模式综合列表
• 全面解析公共区块链系统攻击面

开放报告

Some open security audit reports of SlowMist.

• Open Security Audit Report
  • Blockchain Security Audit Report
  • Blockchain Application Security Audit Report
  • Smart Contract Security Audit Report

思维导图

Some mind maps of blockchain security.

• DApp Attack & Defense
• Exchange or Wallet Attack & Defense
• Evil Blockchain & how to be evil

技术分析

DeFi 攻击手法分析

慢雾安全团队对各类 DeFi 被黑事件保持紧密跟进，并及时对其攻击手法进行分析，如下是慢雾安全团队对攻击事件的手法的剖析文章。

• :pushpin: 慢雾：详解 DeFi 协议 bZx 二次被黑
• :pushpin: 慢雾：IOTA 重大被盗币事件的分析与安全建议
• :pushpin: 慢雾：DeFi平台Lendf.Me被黑细节分析及防御建议
• :pushpin: 慢雾协助：Lendf.Me 黑客攻击事件真相还原
• :pushpin: 慢雾：详解 Uniswap 的 ERC777 重入风险
• :pushpin: 慢雾：VETH 合约被黑分析
• :pushpin: 慢雾：Balancer 第一次被黑详细分析
• 慢雾：Opyn 合约被黑详细分析
• :pushpin: DeFi YAM，一行代码如何蒸发数亿美元？
• 慢雾：YFValue，一行代码如何锁定上亿资产
• 慢雾：DeFi Saver 用户的 31 万枚 DAI 是如何被盗的？
• 慢雾：Harvest.Finance 被黑事件简析
• 无中生有？DeFi 协议 Akropolis 重入攻击简析
• Value DeFi 协议闪电贷攻击简要分析
• 闪电贷+重入攻击，OUSD 损失 700 万美金技术简析
• 假钱换真钱，揭秘 Pickle Finance 被黑过程
• :pushpin: 以小博大，简析 Sushi Swap 攻击事件始末
• 采用延时喂价还被黑？Warp Finance 被黑详解
• Cover 协议被黑简要分析
• :pushpin: 简析 SushiSwap 第二次被攻击始末
• :pushpin: yearn finance 被黑简析
• 简析 Alpha Finance & Cream被黑
• 可避天灾，难免人祸 —— Furucombo 被黑分析
• 铸币疑云 —— Paid Network 被盗细节分析
• :pushpin: 狸猫换太子 —— DODO 被黑分析
• 开心做聚合，无奈被攻击 —— Rari 被黑事故分析
• 代币闪崩，差点归零 - PancakeBunny 被黑简析
• 我竟骗了我自己？—— BurgerSwap 被黑分析
• 走过最长的路，竟是自己的套路 —— Alchemix 事件分析
• “不可思议” 的被黑之旅 —— Impossible Finance 被黑分析
• 强扭的瓜不甜 —— SafeDollar 被黑分析
• 梅开二度 —— PancakeBunny 被黑分析
• 又一经典的闪电贷套利 —— Wault.Finance 被黑事件分析
• 空手套白狼 —— Popsicle 被黑分析
• :pushpin: 被黑 6.1 亿美金的 Poly Network 事件分析与疑难问答
• 权利的游戏 —— DAO Maker 被黑分析
• :pushpin: 慢雾：Cream Finance 被黑简要分析
• Zabu Finance 被黑分析
• :pushpin: 天价手续费分析：我不是真土豪
• :pushpin: DeFi 平台 Cream Finance 再遭攻击，1.3 亿美金被盗
• （更新）老调重弹 —— “通缩型代币” 兼容性问题
• :pushpin: 千万美元被盗 —— DeFi 平台 MonoX Finance 被黑分析
• 环环相扣 —— Gnosis Safe Multisig 用户被黑分析
• :pushpin: 8000 万美元不翼而飞 —— QBridge 被黑简析
• 重建世界：The Sandbox 任意燃烧漏洞回顾
• “零元购” —— TreasureDAO NFT 交易市场漏洞分析
• 大意失荆州 —— Paraluni 被黑分析
• 故技重施 —— Hundred Finance 被黑分析
• 慢雾：OneRing Finance 被黑分析
• Jet Protocol 任意提款漏洞
• 损失超 6.1 亿美元 —— Ronin Network 被黑分析
• Revest Finance 被黑分析
• 慢雾：Rikkei Finance 被黑复现分析
• 智能合约安全审计入门篇 —— 重入漏洞
• 智能合约安全审计入门篇 —— 溢出漏洞
• 智能合约安全审计入门篇 —— 自毁函数
• 智能合约安全审计入门篇 —— 访问私有数据

EOS 攻击手法分析

慢雾安全团队对 EOSIO 生态的各类新型攻击手法进行分析，如下是分析文章。

• :pushpin: EOS 回滚攻击手法分析之黑名单篇
• EOS 回滚攻击手法之重放篇
• EOS 新型攻击手法之 hard_fail 状态攻击
• EOS 假充值(hard_fail 状态攻击)红色预警细节披露与修复方案
• 随机数之殇 — EOS 新型随机数攻击手法技术分析
• :pushpin: EOS DApp 现新型交易排挤攻击及通用防御建议

链上追踪技术分析

慢雾安全团队对 DeFi 被黑事件保持跟进，协助被黑的项目方进行链上追踪，并深入研究各类混币平台，寻找突破混币进行追踪的可能。

• 慢雾：复盘 Liquid 交易平台被盗 9000 多万美元事件
• 链上追踪：洗币手法科普之 Peel Chain
• 链上追踪：洗币手法科普之 Tornado.Cash
• 慢雾 AML：“揭开” Tornado.Cash 的匿名面纱
• THORChain 连遭三击，黑客会是同一个吗？
• :pushpin: 被黑 6.1 亿美金的 Poly Network 事件分析与疑难问答
• :pushpin: 2022 上半年区块链安全及反洗钱分析报告

其他区块链技术分析

慢雾安全团队不断深入主流公链的生态，专注研究公链生态的安全。

• :pushpin: 以太坊黑色情人节
• :pushpin: 以太坊生态缺陷导致的一起亿级代币盗窃大案
• :pushpin: Billions of Tokens Theft Case cause by ETH Ecological Defects
• :pushpin: Bitpay 旗下 Copay 被定向供应链攻击事件分析
• :pushpin: ⼀个通杀绝⼤多数交易平台的 XSS 0day 漏洞
• 假币的换脸戏法 —— 技术拆解 THORChain 跨链系统“假充值”漏洞
• :pushpin: 引介｜一种安全的 LP 价格的获取方法
• 技术干货 | 聊聊区块链安全攻防实践
• 技术干货 | 比特币点对点网络中的日蚀攻击
• :pushpin: 慢雾安全团队关于 ETC 51% 算力攻击的分析
• 关于 Cosmos & IRISnet Validator 安全部署的一些思考
• :pushpin: 冲突的公链！来自 P2P 协议的异形攻击漏洞
• BCH 升级攻击事件安全分析
• 关于 Edgeware 锁仓合约的拒绝服务漏洞
• 慢雾分析：门罗币钱包之“狸猫换太子”
• 遗忘的亚特兰蒂斯：以太坊短地址攻击详解
• 以太坊智能合约重放攻击细节剖析
• 以太坊 Solidity 未初始化存储指针安全风险浅析
• :pushpin: 慢雾：假钱包 App 已致上万人被盗，损失高达十三亿美元
• 慢雾：伪 Electrum 鱼叉钓鱼攻击分析
• 价值两百万的以太坊钱包陷阱
• 区块链诈骗手法之假币骗局揭秘
• 慢雾：揭露浏览器恶意书签如何盗取你的 Discord Token

:fire: False Top-up

慢雾安全团队依靠多年的区块链安全行业经验，深入研究了各种针对数字货币交易平台充值入账的攻击手法(假充值)，并对各类假充值的攻击手法进行披露，为交易平台提供安全检查服务，保障交易平台的充值入账安全。

• USDT 假充值手法
• EOS 假充值手法
• XRP 假充值手法
• 以太坊代币假充值手法
• 比特币RBF假充值手法
• XMR锁定转账手法
• 以太坊假充值手法
• IOST 假充值手法-未公开
• FileCoin 假充值手法-未公开
• NEM 假充值手法-未公开
• Solana 假充值手法-未公开
• 波场代币 假充值手法-未公开
• terra 假充值手法-未公开
• BTC/dogcoin/LTC 假充值手法-未公开

其他资料

Other awesome collections.

• Hacked
• Awesome Blockchain Bug Bounty
• 慢雾科普：区块链安全入门笔记