omnispace的博客

HTC EXODUS 1手机带有集成的硬件钱包。该钱包允许通过拆分并将其发送给“受信任的联系人”来备份其主种子。通常需要三个受信任的联系人来重建整个种子。我们表明，任何受信任的联系人或破坏了该受信任联系人的电话的攻击者都可以收回全部种子并窃取EXODUS 1所有者的所有资金。如果在2019年4月之前使用社交密钥恢复功能，我们强烈建议HTC EXODUS 1用户将其资金转移到另一种子。介绍...

Our analysis and further investigation on proxyOverflow (CVE-2018–10376) and batchOverflow (CVE-2018–10299) vulnerabilities. Verichains Lab has performed a scan on all Ethereum smart contracts with ab...

This shows you how the Ethereum Virtual Machine works, and how to reverse engineer a smart contract.To disassemble the smart contract, I am using Trail of Bits’ Ethersplay plugin for Binary Ninja. If ...

In my previous tutorial, we began reversing engineering the Greeter.sol contract. Specifically, we looked at Greeter.sol’s dispatcher, the portion of the contract that takes your transaction data and ...

作者：RickGray作者博客：http://rickgray.me/2018/05/17/ethereum-smart-contracts-vulnerabilites-review/（注：本文分上/下两部分完成,下篇链接《以太坊智能合约安全入门了解一下（下）》）最近区块链漏洞不要太火，什么交易所用户被钓鱼导致 APIKEY 泄漏，代币合约出现整数溢出漏洞致使代币归零， MyEtherWalle...

作者：RickGray作者博客：http://rickgray.me/2018/05/26/ethereum-smart-contracts-vulnerabilities-review-part2/（注：本文分上/下两部分完成，上篇链接《以太坊智能合约安全入门了解一下（上）》） 接上篇3. Arithmetic Issues算数问题？通常来说，在编程语言里算数问题导致的漏洞最多的就是整数溢出了，...

作者：zxx友善@360 0KEE Team来源：https://www.jianshu.com/p/c5363ffad6a7最近通过对智能合约的审计，发现了一些智能合约相关的安全问题。其中我们发现智能合约Hexagon存在溢出攻击，可产生无数的token，导致整个代币都没有意义。 Token地址：https://etherscan.io/address/0xB5335e24d0aB29C190A...

译者：爱上平顶⼭来源：慢雾区原文链接：https://www.dasp.co/这是分布式应⽤安全项⽬（或DASP）2018 年排名前10的漏洞第⼀次迭代该项⽬是NCC集团的⼀项举措。这是⼀个开放的合作项⽬，致⼒于发现安全社区内的智能合约漏洞。要参与，请加⼊github⻚⾯。1.重⼊漏洞也被称为 或与空⽩竞争，递归调⽤漏洞，未知调⽤这种漏洞在很多时候被很多不同的⼈忽略：审阅者倾向于⼀次⼀个地审查函数...

Vulnerability CreditYuki Chen of Qihoo 360 Vulcan TeamZhiniang Peng of Qihoo 360 Core SecurityVulnerability DescriptionWe found and successfully exploit a buffer out-of-bounds write vulnerability in E...

大家都还记得，前一段时间发生的BEC智能合约的安全漏洞问题。近日，智能合约安全问题再次上演，火币Pro发布公告，暂停EDU冲提币业务，随后EDU智能合约被爆出存在严重漏洞！在智能合约漏洞频出的背景下，我们利用形式化验证工具对上百个智能合约进行深入分析，又发现一个存在严重安全漏洞的智能合约——RMC代币合约！这一漏洞造成的影响是，直接把曾经市值300多万美元的RMC和一度飙到0.08美元的UET（U...

智能合约安全性是非常重要的。之前，我也写过关于以太坊字节码中常见安全问题的文章，但是像这样的大概检测只是浮于表面。理想情况下，我们想要保证我们的智能合约能够100%的正确。形式化验证（Formal verification）让我们可以确保某种错误的状态不会发生。现在已经有很多对以太坊虚拟机语义模型的学术研究以及对使用不同框架的智能合约进行的形式化验证。在这篇文章中，我会描述一种基于符号执行和Z3定...

On 4/24/2018, 01:17:50 p.m. UTC, PeckShield again detected an unusual MESH token transaction (shown in Figure 1). In this particular transaction, someone transferred a large amount of MESH token — 0x8...

This morning, our vulnerability-scanning system at PeckShield identified a new vulnerability named ownerAnyone in certain ERC20-based smart contracts such as AURA, which is deployed by a decentralized...

Our automated scanning system at PeckShield discovered a new vulnerability named transferFlaw (CVE-2018–10468). This particular vulnerability affects a publicly traded ERC20 token listed in a top exch...

還記得今年 7 月 Parity 錢包合約被找到漏洞，結果駭客偷走了將近 150,000 個以太幣，會發生是因為智能合約的 callback 裡使用了 delegatecall(msg.data)，這個函數會呼叫 data 中的函數並將 msg.sender 設為原呼叫函數的地址，駭客利用這一點呼叫了 initWallet，這時你們可能會以為 Parity 應該有在 initWallet 設置

While Part 1 discussed some more high profile or obvious vulnerabilities, this post will be about vulnerabilities that have not been exploited widely yet.Let’s skip the introduction and jump straight ...

首先给出 porosity 的 GitHub 地址： here本文也是根据这个网址进行学习。1. 创建和约可以使用自己写的合约，也可以在etherscan 上面找一些合约， 给出例子如下：//vulnerable.sol pragma solidity ^0.4.4;contract SendBalance { mapping ( address => uint ) user...

A smart contract is “a computerized transaction protocol that executes the terms of a contract.”. There are obvious advantages of smart contract system: reduction of expenses and legal collisions, tim...

摘    要手机挖矿木马就是在用户不知情的情况下利用其手机的计算能力来为攻击者获取电子加密货币的应用程序。电子加密货币是一种匿名性的虚拟货币，由于不受政府控制、相对匿名、难以追踪的特性，电子加密货币常被用来进行非法交易，也成为犯罪工具、或隐匿犯罪所得的工具。2014年3月首个Android平台挖矿木马被曝光。从2013年开始至2018年1月，360烽火实验室共捕获Android平台挖矿木马1200...

In this post, I’m going to discuss a vulnerability I discovered in Ledgerhardware wallets. The vulnerability arose due to Ledger’s use of a customarchitecture to work around many of the limitation...

NCC Group 发起了一个名为 2018 年去中心化应用安全 Top10 （ Decentralized Application Security Project）的项目。据悉，该项目会与类似于 OWASP 的方式发布去中心化应用安全领域中，每年的十大安全威胁报。与 OWASP 开放合作透明的运作理念相似，该项目也是以集成合作的方式披露智能合约中存在的安全漏洞。本文是第一版的 DASP Top...

这两天币圈链圈被美链BEC智能合约的漏洞导致代币价值几乎归零的事件刷遍朋友圈。这篇文章就来分析下BEC智能合约的漏洞漏洞攻击交易我们先来还原下攻击交易，这个交易可以在这个链接查询到。我截图给大家看一下：攻击者向两个账号转移57896044618…000.792003956564819968个BEC，相当于BEC凭空进行了一个巨大的增发，几乎导致BEC价格瞬间归零。下面我们来分析下这个攻击过程。合约...

Built on our earlier efforts in analyzing EOS tokens, we have developed an automated system to scan and analyze Ethereum-based (ERC-20) token transfers. Specifically, our system will automatically sen...

SummaryOn April 24th, MyEtherWallet (or MEW) users in certain areas suffered from domain hijacking and, when visiting official MyEtherWallet.com domain, may be redirected to phishing sites (physically...