相关新闻
Tornado Cash 出现可疑 DAO 提案，或威胁 2300 万美元 DAO 资金
L2BEAT 研究员 sergeyshemyakov 发推表示，Tornado Cash 于 6 月 25 日出现一项可疑的 DAO 提案。该提案试图将治理合约地址替换为一个与真实地址高度相似的「伪装地址」，同时也在质押治理代理上进行类似操作。提案创建者地址于 4 天前通过 Railgun 获得资金。若提案通过并执行，治理合约将对该目标合约进行 delegatecall 调用。sergeyshemyakov 表示，Tornado Cash 资金池本身安全，但该提案可能直接针对 Tornado Cash DAO 发起攻击，该 DAO 目前持有价值约 2300 万美元的 TORN 代币。
谁在偷走你的加密资产？2025 Web3 用户安全与风险趋势报告
安全不再是事后补救的成本，而是决定 Web3 能否走向主流的关键基础设施。
UXLINK：正与内部和外部安全专家合作，并冻结可疑的 UXLINK 存款
UXLINK 针对多签钱包攻击事件发推表示，「我们已发现我们的多重签名钱包存在安全漏洞，导致大量加密货币被非法转移到 CEX 和 DEX。我们的团队正与内部和外部安全专家全天候合作，以查明根本原因并控制事态发展。我们已联系主要的 CEX 和 DEX，紧急冻结可疑的 UXLINK 存款，并正在与他们密切合作，以防止资金进一步流动。该事件已报告给警方和相关部门，以加快法律行动和追偿工作。我们将继续致力于透明度，并将在出现新进展时继续及时向社区提供更新。」Foresight News 此前消息，安全公司 Cyvers 发布预警称，其系统检测到涉及 UXLINK 的可疑交易约 1130 万美元。一个以太坊地址执行了 delegateCall，移除了管理员角色，调用「addOwnerWithThreshold」函数后转移了 400 万 USDT、50 万 USDC、3.7 枚 WBTC 和 25 枚 ETH。所有 USDC/USDT 已被转移。
Cyvers：UXLINK 疑似遭黑客攻击，约 1130 万美元资金被盗
安全公司 Cyvers 发布预警，其系统检测到涉及 UXLINK 的可疑交易约 1130 万美元。一个以太坊地址执行了 delegateCall，移除了管理员角色，调用「addOwnerWithThreshold」函数后转移了 400 万 USDT、50 万 USDC、3.7 枚 WBTC 和 25 枚 ETH。所有 USDC/USDT 已被转移。
一个 transfer 方法引发的惨案：Bybit 攻击事件黑客视角复盘
惊魂一刻：一切看似正常的攻击
为何黑客已成加密最大风险之一？
加密世界的隐秘敌人，黑客安全事件正在偷走行业信心。
慢雾：Bybit 攻击者利用恶意合约中的后门函数 sweepETH 与 sweepERC20 偷空了热钱包
慢雾在 X 平台表示，以下是 Bybit 黑客的一些作案细节： 恶意的实现合约在 UTC 2025-02-19 7:15:23 被部署：0xbDd077f651EBe7f7b3cE16fe5F2b025BE2969516； 攻击者在 UTC 2025-02-21 14:13:35 利用三个 owner 签署了将 Safe 实现合约替换为恶意合约的交易：0x46deef0f52e3a983b67abf4714448a41dd7ffd6d32d32da69d62081c68ad7882； 恶意的升级逻辑通过 DELEGATECALL 被嵌入 STORAGE[0x0]：0x96221423681A6d52E184D440a8eFCEbB105C7242； 攻击者利用恶意合约中的后门函数 sweepETH 与 sweepERC20 偷空了热钱包。
Art Blocks 引入 BytecodeStorage V1 以增强链上存储能力，并与 EOF 规范保持一致
生成 NFT 艺术平台 Art Blocks 发推称，在现有 SSTORE 2 基础上引入 BytecodeStorage V1 以增强平台的链上存储能力，同时与以太坊核心路线图、以及后续即将推出的以太坊对象格式（EOF）规范保持一致，新模型将支持把读取和写入分离到不同的数据库中。随着 EOF 路线图的完善，团队将把其纳入 post-EOF BytecodeStorage V2 计划中，以缓解 DApp 处理过渡到不支持 EOF 合约、直接对传统合约进行 EXTCODECOPY 的过程中。此外，团队还决定增加对使用 BytecodeStorage V0 实现编写的合约以及使用 SSTORE2 编写的合约的向后兼容读取的支持。在 post-EOF 中，与 BytecodeStorage V1 共享阅读器的交互需要通过 CALL 而非基于读取传统合约的 DELEGATECALL。
技术解析预编译合约漏洞利用原理与实现过程
项目方在开发过程中需考虑 delegatecall 和 call 的不同之处，被调用合约能通过 delegatecall 调用的，需全方位思考其应用场景及底层原理，做好严格的代码测试。
学习 Solidity——智能合约开发手册（二）
这本手册旨在为初学者和中级开发人员提供参考，以便快速解答在你深入学习该语言时的问题
引介｜EVM 深入探讨 Part 5
EVM 深入探讨系列之解读 CALL 和 DELEGATECALL 操作码。
Move 合约开发与合约安全
近期，围绕 Aptos 和 Sui，新兴的高性能 L1 链 以及这些新链背后的 Move 智能合约编程语言引起了很多关注，社区也非常活跃，很多开发者和项目已经开始积极转向 Move。但 Move 相对 Solidity 差别较大，即使是相对比
2023 年 1 月安全事件盘点
一、基本信息 2023 年 1 月安全事件共造成约 1438 万美元损失，相比上个月的安全事件损失金额大幅度...
链上卫士：2023 年 1 月安全事件盘点
2023 年 1 月安全事件共造成约 1438 万美元损失，相比上个月的安全事件损失金额大幅度下降。其中多链项目 LendHub 被攻击，损失高达 600 万美元，为本月资金损失最大的安全事件。本月 RugPull 数量基本与上月持平。社媒诈骗等事件依然频发，Twitter 与 Discord 的攻击诈骗成为重灾区。
超长干货 | 十大 Web3 安全最佳实践方式
本文将为你分享 DeFi 安全的 10 个最佳实践，这将有助于防止你的应用程序成为攻击的受害者。
链上卫士：Paradigm CTF 2022 题目浅析—Sourcecode
在 Paradigm CTF 2022 中有着这样一道 DeFi 金融赛题：
Solidity 最强对手：MOVE 语言及新公链崛起
从 Solidity 到 Move 是合约安全能力的变革。
Solidity 最强对手：MOVE 语言及新公链崛起
聊一聊 Move 语言系公链三巨头，以及从技术视角出发看 Move 语言究竟好在哪里。
链上卫士：2022 年 7 月安全事件盘点
7 月 1 日，Optimism 生态最大 NFT 平台 Quixotic 出现严重漏洞，大量用户资产被盗，原因在于 Quixotic 平台在市场合约的 fillSellOrder 函数中仅对卖单信息进行了检查，并未对买单信息做检查。故攻击者通过自己创建的 NFT 合约，发送大量交易来调用 fillSellOrder 函数生成卖单，将 buyer 参数传为受害者地址、paymentERC20 参数传为需要盗取的代币地址，即可将对该市场合约有授权的用户的代币转走获利。
Premint 恶意代码注入攻击细节分析
加强安全意识，时刻保持怀疑。