大V推荐
-
@cz_binance-暂无简介-
@cz_binanceCZ 🔶 BNB
@cz_binance-暂无简介-
-
@Bitcoin-暂无简介-
-
Nayib Bukele
@nayibbukele-暂无简介-
-
@VitalikButerin我选择平衡。第一级的平衡。 mi pinxe lo crino tcati slatestarcodex.com/2018/09/12/in-…
@VitalikButerinvitalik.eth
@VitalikButerin我选择平衡。第一级的平衡。 mi pinxe lo crino tcati slatestarcodex.com/2018/09/12/in-…
-
@coinbase-暂无简介-
@coinbaseCoinbase 🛡️
@coinbase-暂无简介-
-
@Cointelegraph自2013年以来的可靠加密媒体 · 新闻、研究、播客等 · 探索：linktr.ee/cointelegraph_…
@CointelegraphCointelegraph
@Cointelegraph自2013年以来的可靠加密媒体 · 新闻、研究、播客等 · 探索：linktr.ee/cointelegraph_…
最近活跃
-
@MyriadMarkets将观点与信息转化为可交易市场。 在加密货币、体育、政治、游戏等多个领域预测结果。t.me/myriad
@MyriadMarketsMYRIAD
@MyriadMarkets将观点与信息转化为可交易市场。 在加密货币、体育、政治、游戏等多个领域预测结果。t.me/myriad
-
Carl Moon 🌙
@TheMoonCarl-暂无简介-
-
@dYdX-暂无简介-
-
@IOHK_Charles-暂无简介-
-
EllioTrades
@elliotrades追求真理，保持凸性 Building @superverse @blackholedex @supernovadex Disclosures bit.ly/3DzSZlX
@elliotradesEllioTrades
EllioTrades
@elliotrades追求真理，保持凸性 Building @superverse @blackholedex @supernovadex Disclosures bit.ly/3DzSZlX
-
@fundstratCIO Fundstrat Capital @FundstratCap $GRNY ETF | 研究主管 @fs_insight | @CNBC 撰稿人 | @BitMNR $BMNR Bitmine 董事长 | Wikipedia: bit.ly/3JkWhtw
@fundstratThomas (Tom) Lee (not drummer) FSInsight.com
@fundstratCIO Fundstrat Capital @FundstratCap $GRNY ETF | 研究主管 @fs_insight | @CNBC 撰稿人 | @BitMNR $BMNR Bitmine 董事长 | Wikipedia: bit.ly/3JkWhtw
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
火绒误报 slowmist-agent-security，结果影响 VirusTotal，进而影响了 ClawHub，导致 OpenClaw 用户被提醒我们的 slowmist-agent-security 是恶意软件…
在腾讯云安全老朋友的帮助下，迅速对接了火绒，解除误报后，等 VirusTotal 结果更新，再接着等 ClawHub 更新，发现不能等，于是 Issue 提交反馈，得到 OpenClaw Bot 的快速响应，需要我发布新版本才会触发再次安全扫描，于是 slowmist-agent-security skill 被迫从 v0.1.2 更新到了 v0.1.3，问题解决…
欢迎喜欢瞎折腾的朋友给自己的 Agent 配上我们的安全检测工具：
多一层轻防御。
最后，特别感谢 @Hansen1018 的反馈！
Cos(余弦)😶🌫️
- 202
- 442
- 982
- 104
- 40
- 620
- 30
- 10
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
有假冒色情直播、波场能量站、退款流程、漏洞预警等等的网页，如果旧版本 iPhone 用户的 Safari 浏览器打开了这种网页，没有关闭的情况下，此时解锁钱包 App 准备使用，明文私钥就可能会被这种网页里的恶意 JavaScript 利用代码给盗走。
系统更新要重视，尤其看到有安全漏洞修复有关的更新。否则你的那些钱包怎么被盗的你都知道。
细节我们会看情况再决定披露。
23pds (山哥)
DarkSword 攻击程序已经泄漏，其核心能力为：通过 HTTP 接口从 iOS 设备中提取取证级数据。
在实际攻击中，攻击者可结合社工或水坑攻击诱导用户中招，进而窃取 iPhone / iPad 内数据，并上传至攻击者控制的服务器。
- 105
- 894
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
- 101
- 221
- 603
- 97
- 78
- 96
- 20
- 310
- 15
- 5
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
不过几个细节这里补充优化下：
1. 所谓 Grok 钱包（被盗钱包），其实和 Grok 官方无关，可以认为本质属于 @bankrbot 为 X 号 @grok 生成的钱包，私钥权限在 Bankr 依赖的三方钱包服务那。BaseScan 也纠正了标记（Grok -> Bankr 1）
2. 被盗钱包的 Bankr Club 会员确实被开通了，但不是直接给个 NFT 就开通，应该是中心化机制，所以这部分链上没证据，但是有来自 Bankr 的开通确认：
3. 提示词注入最点睛之笔是借 @grok 之力来打了 @bankrbot ，被盗 tx
案例很经典，所以细节更需严谨对待。至于是不是剧本，没法完全说不是。Grok 确实被借力且被太多人乱扣了被盗大帽子，但事件主角并不是 Grok…
Cos(余弦)😶🌫️
- 231
- 45
- 12
- 87
- 56
- 456
- 110
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
注：Bisq 是比较老牌的去中心化点对点比特币交易平台。
Bisq
- 221
- 809
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Blockaid
由这些金库铸造的所有Wasabi/Spicy LP份额代币应被视为受损——支持它们的基础资产已被耗尽或处于风险之中，而Wasabi: Deployer密钥（0x5c629f8c…fb0c8）仍然有效。持有这些代币的最终用户显示的是账面价值，但赎回价值为0（或迅速接近0）。我们强烈建议客户（a）在其用户界面中将这些代币标记为受损，（b）提示对Wasabi金库合约有活跃授权的用户立即撤销授权。
以太坊受损金库合约：
• 0x630ed8220f9cbc98358a2e2ecb0727d7b9d61397 (wWETH)
• 0x7d7bb40f523266b63319bc3e3f6f351b9e389e8f (sUSDC)
• 0xb533c682553f518a3961eeec2bfdc645c60289f0 (sREKT)
• 0xb86510bfdcd229a66f0617162ef1c45db1ceaba8 (wPEPE)
• 0x8d48b8d948726d4636aa15a9d6124422f461e153 (wMog)
• 0x127d3615a8865812f76ff8f214f9955c3a74820a (wBITCOIN)
• 0x10432bc30396e70f792b538d7e810c83dd7bfe71 (sZYN)
• 0xd2502e8e253a48d229df0e642a404c5bbff1c1b4
• 0x8e0edfd6d15f858adbb41677b82ab64797d5afc0 (Long Pool)
Base受损金库合约：
• 0x1c4a802fd6b591bb71daa01d8335e43719048b24 (sUSDC)
• 0x197d5c29072c1444acb4f0935c219738a47e4a18 (wWETH)
• 0xb152e957ab1210153ba0ef07c52f5b559f1ad8c9 (sBTC/cbBTC)
• 0x833fd94958e35d55f2921f45bee4ae8ac82766b6 (sVIRTUAL)
• 0xb8da93ded809ac035c72b543ab728a55017239a0 (sAERO)
• 0x95c81f13d78449b3a02b39e41f26b18a5597fe95 (sBRETT)
• 0xe6c109b1f8052f1977c572a952f66677f49962a2 (sWELL)
• 0x078b931f7759ec09d74dd31316c610e09aac94fc (sSKI)
根本原因：Wasabi部署者密钥（wasabideployer.eth 0x5c629f8c0b5368f523c85bfe79d2a8efb64fb0c8，PerpManager OZ AccessManager中唯一的ADMIN_ROLE持有者）的泄露。
调用的函数是grantRole(roleId=0 ADMIN, account=orchestrator, delay=0)，这使得攻击者的协调者成为管理员，并绕过了WasabiVault.strategyDeposit的onlyAdmin修饰符。单一EOA管理员，没有时间锁/多重签名。相同的攻击者/相同的协调者+策略字节码攻击了Wasabi。
授权角色交易
以太坊
Base
Bera
Blast
- 962
- 536
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
MimbleWimble 这个隐私协议 2019 年火了一段时间，再次相遇😃
Litecoin
- 120
- 180
- 210
- 50
- 80
- 60
- 30
- 50
- 70
- 20
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
PANews丨APP全面升级
据 a16z Crypto 研究报告，AI 代理在复现 DeFi 价格操纵漏洞时，若获得结构化知识辅助，成功率最高可达 70%。
该研究选取 20 个以太坊价格操纵漏洞案例进行测试。结果显示，在没有领域知识、且无法访问未来信息的沙盒环境中，AI 代理的基准成功率仅为 10%；但在加入从真实攻击事件中提炼的结构化知识后，成功率提升至 70%。
- 101
- 221
- 491
- 52
- 20
- 822
- 15
- 5
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
- 101
- 221
- 491
- 52
- 20
- 310
- 15
- 5
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
- 101
- 221
- 491
- 52
- 20
- 310
- 15
- 5
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
23pds (山哥)
- 112
- 35
- 203
- 1173
- 5
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Dune | We Are Hiring!
在约2,665个独特的OApp合约中：47%采用1-of-1 DVN安全基线，45%采用2-of-2，约5%采用3-of-3或更高。
众所周知，KelpDAO的rsETH属于第一类。
开放查询，公开方法，欢迎反馈：
- 101
- 221
- 611
- 132
- 150
- 200
- 20
- 310
- 64
- 5
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Lido
- 221
- 371
- 571
- 122
- 200
- 100
- 20
- 360
- 35
- 15
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
- 其使用的 LayerZero 跨链是 1/1 DVN 配置，也就是经典的“单签”配置，而 LayerZero 官方文档默认推荐的是 2/2
- 这个“单签单点”可能也是被社工手法干掉，当然这是猜测，具体等调查
- 攻击者在以太坊成功卷走 116,500 rsETH，实际上还尝试了两次继续卷 40,000 rsETH 失败了，攻击者手续费来自 Tornado Cash
- 116,500 rsETH 分散洗走，压力丢给了各质押平台，尤其 Aave，现在巨额坏账
- 那么最终谁来承担这些损失？就看相关受影响平台的进一步信息了…
@SlowMist_Team 我们会持续跟进。
Kelp
- 101
- 221
- 491
- 52
- 20
- 620
- 15
- 5
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
为了以后触发方便及稳定，你可以这样告诉你是 Agent：
以后我提 smas 就指 slowmist-agent-security，这样方便我们后续操作。
玩起来吧。
- 120
- 80
- 150
- 200
- 49
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
A. 一个不错的 Agent 框架（如 Hermes Agent，当然 OpenClaw 也可以折腾）
B. 一个还不错的模型（许多时候真不需要最聪明的，钞能力者除外）
C. 一套强大的提示词组合+相关工具+流程（这是灵魂）
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
AppSail
- 101
- 221
- 491
- 52
- 20
- 720
- 104
- 5
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
- 510
- 489
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
- 231
- 232
- 80
- 150
- 100
- 356
- 49
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Blockaid
由这些金库铸造的所有Wasabi/Spicy LP份额代币应被视为受损——支持它们的基础资产已被耗尽或处于风险之中，而Wasabi: Deployer密钥（0x5c629f8c…fb0c8）仍然有效。持有这些代币的最终用户显示的是账面价值，但赎回价值为0（或迅速接近0）。我们强烈建议客户（a）在其用户界面中将这些代币标记为受损，（b）提示对Wasabi金库合约有活跃授权的用户立即撤销授权。
以太坊受损金库合约：
• 0x630ed8220f9cbc98358a2e2ecb0727d7b9d61397 (wWETH)
• 0x7d7bb40f523266b63319bc3e3f6f351b9e389e8f (sUSDC)
• 0xb533c682553f518a3961eeec2bfdc645c60289f0 (sREKT)
• 0xb86510bfdcd229a66f0617162ef1c45db1ceaba8 (wPEPE)
• 0x8d48b8d948726d4636aa15a9d6124422f461e153 (wMog)
• 0x127d3615a8865812f76ff8f214f9955c3a74820a (wBITCOIN)
• 0x10432bc30396e70f792b538d7e810c83dd7bfe71 (sZYN)
• 0xd2502e8e253a48d229df0e642a404c5bbff1c1b4
• 0x8e0edfd6d15f858adbb41677b82ab64797d5afc0 (Long Pool)
Base受损金库合约：
• 0x1c4a802fd6b591bb71daa01d8335e43719048b24 (sUSDC)
• 0x197d5c29072c1444acb4f0935c219738a47e4a18 (wWETH)
• 0xb152e957ab1210153ba0ef07c52f5b559f1ad8c9 (sBTC/cbBTC)
• 0x833fd94958e35d55f2921f45bee4ae8ac82766b6 (sVIRTUAL)
• 0xb8da93ded809ac035c72b543ab728a55017239a0 (sAERO)
• 0x95c81f13d78449b3a02b39e41f26b18a5597fe95 (sBRETT)
• 0xe6c109b1f8052f1977c572a952f66677f49962a2 (sWELL)
• 0x078b931f7759ec09d74dd31316c610e09aac94fc (sSKI)
根本原因：Wasabi部署者密钥（wasabideployer.eth 0x5c629f8c0b5368f523c85bfe79d2a8efb64fb0c8，PerpManager OZ AccessManager中唯一的ADMIN_ROLE持有者）的泄露。
调用的函数是grantRole(roleId=0 ADMIN, account=orchestrator, delay=0)，这使得攻击者的协调者成为管理员，并绕过了WasabiVault.strategyDeposit的onlyAdmin修饰符。单一EOA管理员，没有时间锁/多重签名。相同的攻击者/相同的协调者+策略字节码攻击了Wasabi。
授权角色交易
以太坊
Base
Bera
Blast
- 962
- 536
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
- 101
- 221
- 491
- 52
- 20
- 310
- 15
- 5
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
- 101
- 221
- 491
- 52
- 20
- 310
- 15
- 5
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
为了以后触发方便及稳定，你可以这样告诉你是 Agent：
以后我提 smas 就指 slowmist-agent-security，这样方便我们后续操作。
玩起来吧。
- 120
- 80
- 150
- 200
- 49
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Dune | We Are Hiring!
在约2,665个独特的OApp合约中：47%采用1-of-1 DVN安全基线，45%采用2-of-2，约5%采用3-of-3或更高。
众所周知，KelpDAO的rsETH属于第一类。
开放查询，公开方法，欢迎反馈：
- 101
- 221
- 611
- 132
- 150
- 200
- 20
- 310
- 64
- 5
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
- 120
- 80
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
A powerful Chrome extension for security researchers to inspect and edit localStorage, sessionStorage, and Cookies.
扩展本地加载使用即可，安全可控。@SlowMist_Team
- 101
- 221
- 491
- 52
- 20
- 310
- 15
- 5
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
- 120
- 80
- 150
- 100
- 49
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Piz0n
【1】停掉线上服务的版本( by NexVault”；
【2】为践行我们之前“对个人用户免费开放”的承诺，在2026Q1会出一个本地开源版本，专门给个人用户和轻量级的小团队使用，这个版本会完全开源免费，提供超过10条主链、多款软硬件钱包支持的原生多签管理能力；
【3】为了加强机构合作深度与专业度，我们会持续维护更新我们的交易所风险指南，包括security list（
未来我个人和团队都会更多精力专注于机构服务，也欢迎机构和资本大佬们多交流、多沟通 ~ 以上 🤪🤪🤪
- 435
- 274
- 56
- 78
- 155
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
本手册旨在解构此类系统的核心架构，剖析风险场景，并为智能合约安全审计师或区块链安全研究员提供实战审计检查清单。
from 九九@SlowMist_Team
- 101
- 221
- 491
- 52
- 20
- 310
- 15
- 5
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Safe{Labs}
我们发现恶意行为者协调行动，创建了数千个类似的Safe地址，旨在诱骗用户将资金发送到错误的目的地。这是社会工程与地址投毒的结合。
重要提示：这不是协议漏洞，不是基础设施入侵，也不是智能合约漏洞。
尽管如此，我们对此类报告极为重视，因为最终结果相同：用户的资金可能面临风险。
Etherscan参考（用于部署恶意Safe的攻击者工厂）：
在SEAL911、Hypernative和Blockaid的帮助下，我们调查了攻击模式并识别了约5,000个恶意地址。这些地址已通过SafeShield（由我们的安全合作伙伴提供支持）标记为恶意地址，并从Safe Wallet的UI中移除，降低了意外交互的风险。
请注意：类似方案对恶意行为者来说很容易复制。因此，遵循安全的签名程序至关重要，尤其是高价值转账（例如，验证完整地址，使用地址簿/允许列表，通过其他渠道确认接收方，先进行小额转账）。
地址投毒和社会工程攻击，如钓鱼攻击，是加密领域中不断演变且持续的威胁。防御这些威胁需要持续投入检测和用户体验改进，以减少人为错误。
对于不熟悉此攻击模式的人，我们强烈建议在此阅读更多信息：
在safe中使用地址簿：
在spaces中使用地址簿：
保持警惕：不要信任——始终验证完整地址，而不仅仅是前缀和后缀。🛡️
非常感谢SEAL911、Hypernative和Blockaid的快速支持。
- 102
- 744
- 492
- 53
- 102
- 21
- 698
- 16
- 6
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
然后，昨天 axios 被投毒事件，还好被及时发现，否则除了一堆新版 OpenClaw 所在设备被干掉，还有许多直接间接依赖 axios 的设备会被干掉…
难说真实影响面如何，且看之后可能暴雷的一些被黑被盗事件。
BlockBeats｜We're hiring!
谷歌威胁情报团队（GTIG）和 Mandiant 将昨日 axios 供应链攻击归因于 UNC1069，一个自 2018 年起活跃、以金融动机为主的朝鲜背景黑客组织，历史攻击目标以加密货币和 AI 行业为主。
归因依据是此次部署的 WAVESHAPER.V2 后门与 UNC1069 历史使用版本的直接代码传承，以及 C2 基础设施（sfrclak[.]com / 142.11.206.73）与其过往活动记录的重叠。
- 512
- 976
- 30
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
- 120
- 379
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
AppSail.dev
- 101
- 52
- 15
- 5
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
1. 访问控制漏洞（权限，不仅是针对人的权限，还有合约互操作之间的，跨链消息的等，很痛）
2. 业务逻辑漏洞（增加“业务”两字，审计最关键的挑战点）
3. 价格预言机操纵（痛）
4. 闪电贷辅助攻击（加了个“辅助”两字）
5. 缺乏输入验证（比如危险的 calldata）
6. 未检查的外部调用（比如危险的 delegatecall/call）
7. 算术错误（新增，比如去年的 Balancer v2/Yearn yETH/Truebit 等造成了巨额损失）
8. 重入攻击（这个从 2023 Top1 掉到 2025 Top 5，现在 Top 8，很大原因是防御体系很成熟了）
9. 整数溢出与下溢（溢出确实还没有消失…）
10. 代理与可升级性漏洞（新增，这个其实很常见，比如去年疯狂一波的这个：攻击者利用未初始化的 ERC1967Proxy 合约，抢在部署者之前设置恶意实现合约，然后埋伏，等时机下手。搞了好些项目）
一个稍微复杂点的攻击，其实就是漏洞组合拳利用了。
现在 AI 在迅猛发展阶段，对于攻防双方来说都是挑战，随着安全基建成熟，我预计 8/9/10 未来会趋于下降，然后填补上一些新的漏洞姿势…
@SlowMist_Team
OWASP® Foundation
- 120
- 290
- 200
- 150
- 560
- 210
- 199
- 30
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
- 两个智能合约有关项目（其中一个带前端），目前只在测试网
- 一个简洁的 HIDS，已经稳定运行在我的云服务器上
- 一个钱包安全有关工具，支持比特币（各地址类型）、EVM、Solana、Tron
- 一个 iOS App，方便我离线打开某些纯网页工具（我非常喜欢可以单页运行的网页工具）
- 一个打飞机战斗的网页小游戏（用了 agents .md）
- 一个与浏览器扩展钱包私钥及助记词文件安全分析有关的工具
- 一个浏览器扩展，方便分析和利用 Storage 里的内容
- 一份 130 页的 Web3/Crypto 安全 PPT
- 几个漏洞研究与 PoC 验证
分享些心得：
工具类的都通过 AI 及我的安全审计，自建自用，完全驾驭。许多我并不打算开放，原因很简单，我喜欢把事情做简单，自用得舒服才是第一，任何人其实都可以创造自己想要的工具，在 AI 纪元，重复造轮子不是贬义。
我本来还想用 AI 改造我之前 GitHub 开源的项目，后来一想不对劲，以前都是手写的代码，留着纪念吧，别被 AI 交叉影响了，如果真要做，可以完全 fork 着做。
至于这些分别用什么 IDE，什么模型，其实我记得不是很清楚，各种主流的我都有尝试对比，包括跑在 Mac/Win 的，也有跑在云服务器上的，对我来说，它们都是劳动力，我需要勤劳地去调度和验收。我个人倾向上，比起 GUI 我更喜欢 TUI，终端跑 Codex、Claude 这两个，如果服务器，跑在 Tmux 里，结合上古神器 VIM 等做相关代码的人肉 review，效率非常不错。这部分的操作衔接简直是为早年玩 Linux 的人量身定做的。
我发现我最大的效率是往 iPhone 上转移，配合一些不错的 iPhone 应用，比如 SSH 终端、WorkingCopy、Pythonista、Surge 等，再加上那些知名的 AI App，真移动办公。我司自己的安全产品也是往移动端尽可能适配。
好了，这篇心得先到这，过段时间再看，肯定不得不做更多更新了，一切都在加速。超级个体会越来越多。
- 187
- 433
- 970
- 103
- 120
- 90
- 19
- 309
- 31
- 11
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
在线玩耍在这：
感兴趣的可以看看对应的 agents .md 文件。
漏洞研究麻了，玩点自己创作的小游戏，换换脑子。😂
- 102
- 397
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
这个钓鱼团伙不是主流的，这单收获有点大…很快把钓来的资金换成 ETH，通过 Tornado Cash 洗走了…
钓鱼团伙相关钱包地址：
0x1CCAF86F3C8C8f7dFCd5Ad37eBc498cdfEb38ff0
0x0385E38457feA1B25E8175837fBE67400E0FE9fD
Scam Sniffer | Web3 Anti-Scam
- 1300
- 49
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
SlowMist_Team创始人 // 分身一号/捉虫大师/救火运动员 // 🕖备用频道 t.me/greyhatcos
Cos(余弦)😶🌫️
Passkey 的缺点我思来想去，有这几个：
1. 许多人还不熟悉，可能会出现理解偏差甚至忘记开启过这个功能，导致误会
2. 如果目标网站换了域名，那么之前所有 Passkey 原地失效，需要用户再绑定一遍
3. 如果目标网站域名被黑客接管，整整齐齐凉凉（但涉及 Passkey 2FA 的操作还是需要用户来确认，没那么凉）
4. 如果用户没开这个 Passkey，黑客接管账号后，帮你开启，麻烦就多了
总结下，Passkey 很重要也很有前途。如果你不想用 PC 本地存储你的 Passkey，也可以固定一台手机来扫码支持，比如 iPhone 相机扫码，Passkey 存在 Keychain 里，再 iCloud 同步。你只要确保你的 iPhone 账号安全（包括 iCloud 账号），那么恭喜你，你的 iPhone 已经是一台安全系数非常高的 2FA 设备了，而且便利性也不错。
- 127
- 83
- 231
- 58
- 512
今日快讯
-
7 分钟前
Xphere (XP) 价格预测 2026–2030：XP能否很快突破0.1美元？
-
7 分钟前
哈佛减持贝莱德BTC ETF股份，加密货币去杠杆化持续至第一季度
-
7 分钟前
Circle能否挽回USDC流失局面？用户投诉再次引发旧议 注：我理解您需要的是标题的直接翻译。因此，我以“Circle能否挽回USDC流失局面？用户投诉再次引发旧议”为题，力求在保持原意的基础上进行中文润色，使其更适合中文语境下的新闻标题风格。
-
7 分钟前
霍斯金森估计：量子计算机或在2033年前破解加密，几率达五成
-
7 分钟前
美国参议院委员会批准《清晰法案》：对加密货币意味着什么
-
7 分钟前
朗巴德放弃LayerZero采用Chainlink以确保10亿美元比特币资产安全
-
7 分钟前
VanEck与灰度提交BNB ETF申请至美国证券交易委员会。
-
7 分钟前
Linux复制失败漏洞如何使加密货币基础设施进入警戒状态
-
8 分钟前
当前XRP结构暗示波动性压缩。这意味着什么
-
8 分钟前
比特币DeFi市场达50亿美元大关，VerifiedX平台正式上线
交易所
交易所排行榜
24小时成交排行榜
人气排行榜
交易所比特币余额
交易所资产透明度证明
去中心化交易所
资金费率
资金费率热力图
爆仓数据
清算最大痛点
多空比
大户多空比
币安/欧易/火币大户多空比
Bitfinex杠杆多空比
ETF追踪
索拉纳ETF
瑞波币ETF
香港ETF
比特币持币公司
加密资产反转
以太坊储备
HyperLiquid钱包分析
Hyperliquid鲸鱼监控
大额转账
链上异动
比特币回报率
稳定币市值
期权分析
新闻
文章
财经日历
专题
钱包
合约计算器
账号安全
资讯收藏
自选币种
我的关注