LyuboslavLyubenov/clustered-web3-vulnerabilities

# Web3 漏洞库 一个通过安全审计发现的、经过聚类整理的智能合约漏洞综合合集，按严重程度和出现频率进行组织。 ## 📊 概述 本仓库包含一个系统化组织的 Web3/智能合约漏洞数据库，这些漏洞是在大量安全审计中发现的。每个漏洞都经过机器学习技术自动聚类，以将相似问题分组，从而深入了解智能合约漏洞的最常见模式。 ## 🔍 内容介绍 ### 漏洞聚类 - **29k+ 个独立漏洞**，分为 **461 个聚类** - 按出现频率排名 - 包含代码片段和影响分析的详细示例 - 经人工验证的自动标签 ### 结构 ``` 📁 ├── 📄 readme.md # This file ├── 📁 cluster_pages/ │ ├── 📄 index.md # Complete cluster index │ ├── 📄 cluster_-1015.md │ ├── 📄 cluster_-1030.md │ └── 📄 cluster_-n.md ``` ## 🎯 热门漏洞类别 | 排名 | 数量 | 类别 | 严重程度 | |------|-------|----------|----------| | 1 | 1879 | 使用未检查的算术操作绕过了溢出/下溢检查，引入了错误状态转换、可利用的整数溢出以及在关键金融计算中破坏算术完整性的风险。 | [查看](cluster_pages/cluster_-1015.md) | | 2 | 1227 | 未能验证账户所有权或 Token 身份导致未经授权的访问、铸造操纵或无效的状态转换，使攻击者能够绕过授权并利用 Token 或账户不匹配的漏洞。 | [查看](cluster_pages/cluster_-1030.md) | | 3 | 1085 | 不一致的奖励核算和不恰当的质押验证导致奖励分配不正确或不公平，使得通过有缺陷的数据跟踪或未检查的访问进行经济操纵、信任丧失和拒绝服务成为可能。 | [查看](cluster_pages/cluster_-1395.md) | | 4 | 1068 | 未能验证或移除 Token 状态条目使恶意行为者能够操纵合约状态，导致因输入检查不足或缺少状态更新而引发的拒绝服务、奖励不正确或未经授权的转账。 | [查看](cluster_pages/cluster_-1041.md) | | 5 | 1049 | 由于对定点算术处理不当、循环边界不正确和状态更新不一致，导致奖励计算中的精度损失和逻辑缺陷，进而造成系统性的支付不足、拒绝服务和财富流失。 | [查看](cluster_pages/cluster_-1005.md) | *[查看完整排名 →](cluster_pages/index.md)* ## 📖 如何使用本仓库 本仓库内容详实。 ### 对于安全研究人员 - 按频率浏览聚类以了解常见的漏洞模式 - 使用示例作为审计发现的参考 - 用于教育材料 ### 对于开发者 - 在部署合约前查看热门聚类 - 在代码审查期间用作检查清单 - 通过带有 PoC 的真实世界示例进行学习 ## 🔬 聚类示例 以下是您在每个聚类页面中可以看到的内容： ``` # Cluster -1450 **Rank:** #166 **Count:** 77 ## Label Inaccurate state updates due to improper edge case handling... ## 示例 ### 示例 1 - Vault 提现中的 Rounding Errors - **Impact:** Value leakage from protocol - **Code Analysis:** Detailed breakdown with vulnerable snippets - **Proof of Concept:** Working exploit demonstration - **Mitigation:** Specific fix recommendations ``` ## 🛡️ 常见漏洞模式 ### 1. **算术问题** (1,879 例) - 整数溢出/下溢 - 未检查的算术操作 - 计算中的精度损失 ### 2. **访问控制** (1,227 例) - 缺少授权检查 - 基于角色的权限绕过 - Token 所有权验证失败 ### 3. **经济逻辑** (1,085 例) - 奖励计算错误 - 不公平的分配机制 - 质押验证问题 ### 4. **状态管理** (892 例) - 重入漏洞 - 状态同步问题 - 跨函数状态破坏 ## 📈 数据来源 数据抓取自公开可用的来源，如 Code4rena、Cantina、Sherlock 以及其他公开可用的报告。 ## 🔧 方法论 ### 聚类流程 1. **数据收集**：自动抓取审计报告 2. **文本处理**：对漏洞描述进行 NLP 预处理 3. **相似性分析**：机器学习聚类算法 4. **人工审查**：专家对聚类分配进行验证 5. **自动标签**：在人工监督下生成 AI 标签 ## 📄 许可证 本项目基于 MIT 许可证授权。

标签：Crypto安全, DeFi安全, Solidity安全, Web3安全, 区块链安全, 去中心化应用安全, 威胁情报, 安全审计报告, 安全数据库, 开发者工具, 整数溢出, 智能合约审计, 智能合约漏洞, 机器学习聚类, 权限验证, 漏洞分析, 漏洞分类, 漏洞库, 网络安全, 路径探测, 逆向工具, 防御加固, 隐私保护