由 @BinanceLabs 领投的 #Web3 用户安全网络，致力于保护 10 亿 Web3 终端用户的交易和资产安全。 加入我们，共建 GoPlus 安全生态。
Joined March 2022
- Tweets3.4K
- Following161
- Followers6.7K
- Likes1K
Pinned Tweet
📢GoPlus #DeepScan 全面升级： 基于 AI 的智能合约安全新范式，持续审计、持续监控、持续安全。
智能合约承载资金，正面临黑客利用AI挖掘深层漏洞的复杂威胁。传统的“单次审计”已无法应对日益激烈的攻防对抗。行业亟需向新范式跃迁：引入基于AI的持续性、常态化审计，以更高效率与更低成本，全生命周期守护合约安全。
GoPlus DeepScan 围绕智能合约安全的全生命周期，提供三个互相衔接的产品模块：AI 合约审计、持续安全监控、Token 安全自查，三者形成一套完整闭环的持续性服务，覆盖智能合约全生命周期。
功能介绍：
AI 合约审计
基于 AI 深度分析合约源码、权限管理与业务逻辑，系统性扫描语法漏洞与业务逻辑漏洞等典型合约安全问题，输出结构化审计报告。包括但不限于：安全评分、关键发现、问题详情、修复建议等关键要素。
持续安全监控
面向已经上线、已完成审计的合约，提供审计之后的"持续保障"。实时跟踪新披露的漏洞情报、链上攻击事件以及预言机、跨链桥等外部依赖的状态变化，基于 AI 持续判断项目是否受到影响，并进行针对性的复核与预警，弥补传统审计"审计即终点"的局限。
Token 安全自查
面向即将发布或申请上币的 Token 项目，提供快速自检工具，几分钟内识别常见的高风险特征，在上线前快速筛查明显隐患。包括但不限于：貔貅盘 / 蜜罐机制检测、恶意增发（Mint）权限检测、黑名单机制检测、异常交易税（买卖税）检测、Owner 权限与交易限制风险检测等关键要素。
Benchmark
GoPlus DeepScan 团队发布的开源基准数据集，立足于真实世界智能合约攻击事件，提取被攻击项目的漏洞合约源码，系统评估 AI 在漏洞识别、攻击路径理解、上下文推理、审计稳定性上的真实能力。已收录 2025.05–至今 近百个真实且典型的攻击事件，持续更新。
使用场景：
开发者
低成本、高效率、更具性价比的进行安全扫描。
安全效果媲美专业审计团队，助力开发者快速创新。
项目方
上线前的安全扫描，作为传统审计的补充。
运营过程中的持续审计、持续监控，在与黑客的攻防对抗中不落下风。
交易所
为现有上币前安全评审机制做补充，进一步提升评审效率与能力。
将持续安全监控做为常态化风控手段，第一时间识别新增攻击事件与漏洞情报，大大降低上币后“出事”风险。
产品服务链接
GoPlus DeepScan 已上线，欢迎使用：deepscan.gopluslabs.io/
AI Auditing Benchmark: github.com/GoPlusSecurity/ai…
1/
⚠️ 漏洞分析：X100 治理劫持事件损失 484.8 万美元分析
10 月 24 日，@x100global（代币 $X）被闪电贷治理劫持。攻击者在同一笔交易里取得 Senate 三席中的两席并立即执行提案，把国库 X 卖进自己新建的薄池。三笔交易从主池净抽走 4,848,988.78 USDT，攻击者到手 4,848,017.34 USDT（约 484.80 万美元），另控制 828,094.32 枚尚未变现的 X。
根本原因：
Freezer 把参议员席位按“当前冻结余额”实时排序，付 100 X 即可立刻参选；两票即多数，提案可以在同一笔交易里提出、投票并执行。治理能指挥国库按提案指定的池子卖出 X，且不设有效的最低成交额。闪电贷因此可以租到多数席位，把国库存进攻击者刚建好的薄池。
🔍 攻击过程：
以第一笔交易为例：etherscan.io/tx/0x38c60844f1…
1️⃣、先租到投票用的 X。 Aave V3 的 aUSDT 把 1,942,457.637245 USDT 打给执行合约。执行合约立刻在 Uniswap V3 主池 0x0d85edd90c94053fc5997551b1baa8a77aa02fa0 花掉 1,942,356.637245 USDT，买到 38,200.000002 X，均价 50.8470 USDT。借贷额比买入额多出的 101 USDT 留在执行合约里，其中 100 USDT 稍后被放进新池。
6/
6️⃣ 最后还款并把利润转出。 执行合约向 Aave 归还 1,943,428.866064 USDT，其中费用 971.228819 USDT。剩下的 4,749,726.096973 USDT 先到外层合约，再到攻击者 EOA。
7/
📌 攻击交易
攻击者地址：
0x7ec2afdf3ec5964899894f8d58afa95cbb8ffd63 (Tx1)
0xfc3facd67138966ab0c841e905b0c4bca1abe92f (Tx2)
0xdab137f390df77caa97fd492540e973fd5e2f8c8 (Tx3)
攻击合约地址：
0x89e903e4512f8a315cebd99c29a1e40eee6fe2c9 (Tx1)
0x1ba033875fdcb4ab83caaa9e16adc44c4abcd5c4 (Tx2)
0xc1fd840df75f3ae77281a6625fe2f2153fc736ca (Tx3)
被攻击的漏洞合约地址：
0x79f35a33fe2813414851c4ae8daeacd14d822a46 (Tx1, Tx2, Tx3)
被攻击的资金池地址：
0x0d85edd90c94053fc5997551b1baa8a77aa02fa0 (Tx1, Tx2, Tx3)
参议员助手地址：
0xe08107e7dc7c4540d139392e9d0fea99ca019f37 (Tx1)
0x176d1ea0ee9569783c6f6e455f7be6171566619c (Tx1)
0xc2f69b21bea8f0c64cbd4597f262c80c993073ba (Tx2, Tx3)
0xb21f45868dcaae3be7c842971ae61dd93d4c7cde (Tx2, Tx3)
国库卖入的攻击者创建的交易池地址：
0x9a03c41c539880b51508bebbc2dde7b738f6f075 (Tx1)
0x503f83894ad3df6bf001ea79cef45f2672a2673b (Tx2)
0x9a03c41c539880b51508bebbc2dde7b738f6f075 (Tx3)
攻击交易：
etherscan.io/tx/0x38c60844f1… (Tx1)
etherscan.io/tx/0x77c46e1aa9… (Tx2)
etherscan.io/tx/0x7c49bf2886… (Tx3)
旧版iOS漏洞正被用于窃取Web3私钥与加密资产，#Coruna 、#DarkSword 工具扩散，串起漏洞交易、恶意软件售卖和钓鱼投毒产业链。本报告将详细拆解攻击技术、角色分工与资金流向，并提出防护建议👇
⚠️漏洞分析：WAX 多链桥安全事件分析
10 月 22 日， @WAX_io 多链桥（横跨 WAX / Solana / Ethereum）遭受到攻击。攻击者在 WAX 侧"取款"映射代币却分文未付，Solana 与 Ethereum 侧桥却如常放款，共 5 笔：~52,986 USDC、21,558 USDT、840 DAI、2.55 WETH、0.11 WBTC。
根本原因：`withdraw` 负手续费使扣款归零
WAX 侧桥合约 `eth.token`（映射代币 WAXUSDC/WAXUSDT/WAXDAI/WAXWETH/WAXWBTC 的发行与桥记账合约，发行方 `bridge.wax`）的 `withdraw(from, to_eth_address, quantity, max_fee, chain_name)` 动作存在有符号金额校验缺陷：
• 合约按"扣款 = `quantity + fee`"计费，意图要求 `max_fee ≥ 0`；
• 攻击者将 `max_fee` 设为 `quantity`（如取 52,986.497732 WAXUSDC 时传 `52,986.497732`），使实际扣款金额精确等于 0；
• 扣款为零时合约跳过余额扣减/校验路径（零金额转账不触发 `sub_balance`），但提款动作照常入账并产生跨链提款记录。
攻击账户 `fasdfas.al` 在 `eth.token` 上的五种代币余额**始终为零**（`get_currency_balance` 全 0），全程未支付任何对价。
waxblock.io/transaction/406b…
📌 攻击者地址：
WAX: waxblock.io/account/fasdfas.…
Solana: solscan.io/account/4H1piNZ8L…
Ethereum: etherscan.io/address/0x01664…
被攻击合约地址：
waxblock.io/account/eth.toke…
攻击交易示例：
waxblock.io/transaction/406b…
ℹ️ We are aware of an incident affecting the WAX Multi-Chain Bridge and are investigating. We paused bridge processing as a precaution.
Please don't submit bridge transfers until we confirm the bridge is back online.
The exploit affected only a small number of stablecoins. WAXP tokens were unaffected. The WAX blockchain itself was not affected and continues to operate normally. The issue is confined to a bridge application contract.
🚨GoPlus安全警报：Node.js 发布 2026 年 10 月安全更新
Node.js 官方于 10 月 21 日修复 10 项漏洞：4 项高危、3 项中危、3 项低危。其中，CVE-2026-111497 为 Brotli 解码器越界写，在应用处理不可信压缩数据时可能导致远程代码执行。其余高危问题涉及 dns.resolve 对含 NUL 字符域名的截断，以及两项 TLS 证书主机名校验绕过。中低危问题还涉及 Keep-alive 响应处理、随机值重复、ZIP 文件处理和权限模型等。
修复版本：Node.js 22.23.4、24.22.1、26.12.1。 各漏洞适用分支不同，不能仅凭使用 Node.js 就认定存在可利用入口。
nodejs.org/en/blog/vulnerabi…
⚠️ 安全自查与处置
1、明确运行版本： 盘点服务、节点和容器中实际运行的 Node.js 可执行文件及镜像来源，核对所有副本；本机执行 node -v 的结果不一定是业务进程使用的版本。
2、按暴露面优先升级： 优先处理会解码外部 Brotli 数据，或使用不可信输入构造 DNS、HTTPS/TLS 目标的服务。升级至对应分支的修复版或经核实的供应商回补版本，并完成重启及多节点复核。
3、暂无法升级时收紧入口： 限制不可信压缩数据和可控连接目标，检查已有解码错误、进程异常及证书告警。这些措施不能替代运行时更新。
nodejs 10-21 相关漏洞分析与安全自查 Skill，已更新至：github.com/GoPlusSecurity/se…
🚨GoPlus安全警报：PHP 两项未授权远程代码执行漏洞
PHP 官方安全公告确认 CVE-2026-109618 与 CVE-2026-109619 均可导致未授权远程代码执行，并发布漏洞更新 8.2.35、8.3.36、8.4.27、8.5.12。
php.net/archive/2026.php#202…
⚠️ 安全自查与处置
1、明确运行版本。 逐项列出入口、服务、节点/容器、PHP SAPI、实际 worker 路径与版本、供应商包/镜像来源、配置覆盖和公网可达性。
2、优先升级。 首先安排升级公网 mod_php，再处理其他对外 PHP 服务及可被不可信请求触及的内网服务。升级到对应分支修复版或含经验证回补的供应商包，完成兼容性、备份/回滚、所有 worker 重启和多节点版本复核。
3、无法立即升级时减少公网暴露。 控制对外访问，审查上传/输入大小与请求数量限制。
php2shell rce 相关漏洞分析与安全自查 Skill，建议结合业务使用场景逐项核查：github.com/GoPlusSecurity/se…
1/2
🎁 DeepScan 全民提名·第三期｜Web3 安全热点专场来了！
量子计算又往前迈了一步，OpenAI 数学成果刷屏，社区都在问：比特币扛得住吗？智能合约要被干趴了吗？
Ledger 经销商 CryptoBilis 恶意植入钱包导致1亿美元被盗，硬件钱包和离线 Iphone 谁更安全？
币安 .ai 域名带火 Agentic Wallet，Agent 钱包怎样使用不会被盗？
这些热点你最关心哪个？GoPlus 将根据投票结果输出安全研究报告。
🎟️ 活动奖励：从有效参与用户中抽取 10人，每人 10 U
🗳️ 参与方式：
1、关注 @GoPlusZH 并转发本推；
2、在线程推文“2/2”中投票；
3、10月26日 23:00（UTC）结束投票后公布抽奖结果和安全报告。
今天（10月21日）下午17点，欢迎大家收听 @0xCregis
《数字资产安全实践》Space！
🎙️ Tonight on Cregis MicUp: Digital Asset Security in Practice
🗓️ October 21 | 5:00 PM GMT+8
📍 Live on X Spaces
Bring your questions and join us here: xitter.cf/i/spaces/1rxmqpywpAWxy
What should businesses check before an incident, and prioritize after one?
Join Max Grabner(@maxrobot5 ) from @range_org , Dmytro Matviiv(@DmytroMatviiv ) from @HackenProof and Bobby from @GoPlusSecurity for a conversation on overlooked risks, practical safeguards, incident response and the security questions AI brings to digital asset operations.
Hosted by @bojun_li , Deputy Marketing Director at @0xCregis .
#DigitalAssets #CyberSecurity #CregisMicUp
韩国多家金融机构接连曝出客户数据外泄，幕后攻击者仅一人，他借助开源 AI 渗透工具 ARTEX 与大模型，独自完成了过去需整支团队才能完成的攻击。AI 已拉平攻防两端的能力成本，差距只在于谁先检视自己的系统。防守窗口就在眼前，刻不容缓！
1/7
⚠️ 漏洞分析：Qubic 官方钱包弱 Seed 漏洞，苹果客户端 1,404 钱包批量被盗事件分析
10 月 17 日 至 18 日，攻击者利用 @Qubic 官方 Web 钱包在 Apple 平台（WebKit/JavaScriptCore）用 Math.random() 生成钱包 Seed 的随机性缺陷，离线枚举全部 2^32 个可能 Seed，碰撞出 1,404 个有余额的钱包私钥，并盗走 2,939,606,531,944 QU（约 $1.3M）。
攻击发生后，Qubic 进行了保护性停机，87.1% 被盗资金冻结在链上，12.9% 进入 MEXC 并被冻结账户。官方目前已发布 Web 钱包 v4.26.4 修复（改用 crypto.getRandomValues），请相关用户及时更新。
一、受害者范围
1,404 个钱包地址，这些地址的共同点：Seed 由 Qubic 官方客户端在下述环境中生成，随机性不足：
iPhone / iPad 上任意浏览器（Safari、Chrome、Firefox 等均被强制使用 WebKit 内核），2026-10-18 之前创建；
MacBook / iMac 的 Safari，2026-10-18 之前创建；
Qubic iOS App，2025 年 7 月之前创建；
二、漏洞根因：Math.random() 生成的密钥种子的随机性不足
Qubic 的 Seed 是 55 位小写字母串，理论空间 26^55（≈2^258），但实际安全性取决于生成它的 PRNG 的内部状态熵。
6/7
四、通过crypto.getRandomValues(bytes)修复
事件发生后，Qubic 发布新版本 v4.26.4进行了修复。
新实现通过 crypto.getRandomValues(bytes) 填充 Uint8Array，取得取值为 0–255 的随机字节，使用了浏览器提供的密码学安全伪随机数生成器（CSPRNG），解决了 Math.random() 随机性不足的问题。
7/7
五、弱随机数问题在2026年频繁爆发
① Ill Bloom / 旧版 CryptoJS 弱随机数实现漏洞：2026 年 5—8 月发生多轮被盗被盗， Coinspect 发现部分钱包在生成恢复短语时沿用了 CryptoJS 的弱随机数实现，确认受影响应用包括 RRWallet、Bexo、NanChat、Bitcoin Libre 和 Milo，造成损失约 570 万美元。coinspect.com/blog/ill-bloom…
② Coldcard 硬件钱包被盗：2026 年 7 月 30 日，Coldcard 旧固件生成的弱随机性种子被利用，被盗资产涉及1,816 BTC、价值约 1.16 亿美元，覆盖 5,200 多个地址。coldcard.com/security/status
这些案例说明：AI 时代，加密算法破解的门槛被快速降低（尤其是加密算法的代码实现漏洞），安全审计需要覆盖种子最初生成时的真实随机源、平台实现和历史依赖；仅检查密钥长度、升级当前客户端或加强生成后的保管，无法消除已形成的弱种子风险。
