阿菜种菜的菜园子

摘要： 背景 20260913，黑客在 Ampleforth 治理平台上发起了一笔恶意提案（9 月 12 日，21:30），内容是把 timelock 合约中的 2.5 M USDC 代币以“资助项目” 的形式发送给一个外部地址。此时 timelock 合约的资金总额为 2.53 M，如果这个恶意提案被执行 阅读全文

摘要： 背景 20260911，Etherfi AtomicQueue 合约被黑客利用，窃取了一名用户 14.44 枚 liquidETH 代币（价值约 38k）。本次攻击产生的原因是订单检查逻辑被绕过，导致用户的代币授权权限被攻击者盗用。 攻击交易：https://app.blocksec.com/pha 阅读全文

摘要： 背景 20260831-Balancer 攻击事件 20260831，Balancer v1 合约遭受了黑客攻击，损失约 234k 美元。该次攻击事件的 rootcause 是协议在舍入方向上采用了“四舍五入”的方式，而不是采用“对协议有利”的舍入方式，使得攻击者可以利用舍入的精度丢失进行获利。 本 阅读全文

摘要： Agent Harness 是怎样和大模型交流的？ 前言 现在的 AI 模型更新速度可谓日新月异，每当新出现了一个新模型时，人们第一反应总是到 Coding Agent 中把 base url 和 API key 配置好，然后猛猛进行测试，最后在社交媒体上锐评一下这个模型是夯还是拉。 那么有个问题来 阅读全文

摘要： 背景 在 2026 年 5 月 29 日，AAVE V3 执行了提案 #442 更新了 Pool 和 PoolConfigurator 合约的代码。 执行提案的交易：https://etherscan.io/tx/0xe9949c36e86fc9f481897dbac8de33d655bff20b2 阅读全文

摘要： 1. 背景 2026 年 2 月 19 日，推特用户 @itslirrato 披露 Polymarket 存在一个已知的漏洞，攻击者可以利用 CTF Exchange 合约上的 incrementNonce() 函数，将已经在链下订单簿上撮合的订单取消，导致被撮合的对手挂单在链上合约因撮合失败而被消 阅读全文

摘要： 背景 交易签名一直以来都是安全的兵家必争之地，从直接签名转账，到签名授权，再到签名 permit2 内容，以及 ERC-3009 的 authorization 内容，钓鱼黑客总能够在不同的签名场景中寻找到薄弱之处让用户签下那笔“不明不白”的交易。而这个“防御”的任务，通常是依赖于钱包的签名解析功能 阅读全文

摘要： 背景 随着 AI 能力的不断提升，AI 在代码审计领域已经有了一席之地。我也尝试过去设计不同方法论的审计 skill 去让大模型从不同的角度对代码进行审计，但之前的审计流程编排大多都是串联的，或者说是大阶段串联，每个阶段内部并联执行。这种编排方式也有一定的局限性，当你想设计更为灵活和复杂的流程时，流 阅读全文

摘要： 背景 ZetaChain 是一条内置跨链托管与消息传递的 Layer 1，其 PoS 验证者通过运行多链节点、以 TSS 联合签名的方式在 ZetaChain 与其他链之间传递消息并执行交易。 20260428，ZetaChain 遭受了跨链调用攻击，由于对跨链信息缺乏校验与限制，黑客通过构造恶意的 阅读全文

摘要： 前言 Kimi k2.6 是月之暗面推出的新一代代码大模型，在代码生成、Agent 能力和长上下文理解上都有显著提升。虽然 Kimi 订阅计划支持在 Claude Code 上进行配置使用，但此前 Kimi k2.5 在 Claude Code 中接入的配置方式已失效。无论你是想寻找 Claude 阅读全文