elchacal801/web3-threat-tracker

# Web3 威胁追踪器 一个全面的 Web3/区块链/加密货币领域威胁情报追踪器，包含从 8 个上游信息源聚合的 **448,000+ 条记录**。包含一个带有域名搜索和多链区块链调查工具的静态 Web 前端，支持 **Ethereum, BSC, Polygon, Arbitrum, Base, Optimism, Solana 和 Bitcoin**。 **在线站点：** [elchacal801.github.io/web3-threat-tracker](https://elchacal801.github.io/web3-threat-tracker/) **发布版本：** [下载 CSV 和 SQLite 数据库](https://github.com/elchacal801/web3-threat-tracker/releases) ## 功能 - **域名情报** — 搜索 448K+ Web3 威胁域名，包含严重程度、置信度和类别分类 - **SIEM 就绪导出** — 预先过滤的 CSV 文件，可直接作为查找文件上传至 CrowdStrike NG-SIEM、Splunk 或任何 SIEM - **多链调查工具** — 5 个基于浏览器的区块链追踪工具，覆盖 8 条链（Ethereum, BSC, Polygon, Arbitrum, Base, Optimism, Solana, Bitcoin）。资金流向 (Fund Flow) 支持所有 8 条链；Gas Tracer、合约审计 (Contract Audit)、Mint Tracker 和 CCTP Tracer 支持 EVM 链 - **每日自动摄入** — GitHub Actions 每天于 UTC 时间 06:00 从所有上游源拉取数据 - **每周发布** — 每周日发布带有标签的版本，提供可下载的 CSV 文件和 SQLite 数据库 ## 快速开始 ``` git clone https://github.com/elchacal801/web3-threat-tracker.git cd web3-threat-tracker pip install -e ".[dev]" # 运行 ingestion pipeline python -m scripts.ingest.ingest_metamask python -m scripts.ingest.ingest_scamsniffer # ...（或通过 GitHub Actions 触发） # Normalize、validate、build python -m scripts.normalize python -m scripts.validate python -m scripts.build_db python -m scripts.export_csv python -m scripts.stats ``` ## 数据模式 每条记录都包含[数据字典](docs/data_dictionary.md)中描述的字段： | 分组 | 字段 | |---|---| | 核心身份 | `domain`, `url`, `type` | | 严重程度与分类 | `severity`, `confidence`, `tags` | | 域名基础设施 | `registrar`, `registration_date`, `whois_privacy`, `nameservers`, `hosting_provider`, `ip_addresses`, `asn`, `ssl_*` | | 区块链基础设施 | `blockchain_network`, `wallet_addresses`, `smart_contract_addresses`, `ens_name`, `unstoppable_domain`, `transaction_hashes` | | 来源追溯 | `sources`, `first_seen`, `last_seen`, `added_by`, `notes`, `references`, `related_domains` | ## 可用导出文件 | 文件 | 描述 | |---|---| | `all_domains.csv` | 完整数据集，包含所有严重等级 | | `malicious_only.csv` | `severity = MALICIOUS` 的记录 | | `high_confidence.csv` | `confidence = HIGH` 的记录 | | `by_tag/.csv` | 每个威胁类别标签对应的文件 | | `web3_tracker.db` | 包含标签、来源、IP、钱包连接表的 SQLite 数据库 | | `stats.json` | 汇总统计数据 | 从[发布页面](https://github.com/elchacal801/web3-threat-tracker/releases)下载或在本地构建。 ## 上游来源 | 来源 | 记录数 | 备注 | |---|---|---| | ScamSniffer | 331K+ | 实时钱包 Drainer 和钓鱼信息源，包含钱包地址映射 | | MetaMask eth-phishing-detect | 105K+ | 社区维护的黑名单 | | CryptoScamDB | 9.8K+ | 历史 + 活跃的诈骗域名，包含类别分类 | | Forta Network | 6.3K+ | 链上钓鱼地址和恶意智能合约 | | spmedia | 1K+ | 每日更新的加密货币钓鱼威胁情报源 | | PhishTank | 活跃 | 通用钓鱼数据库，已针对加密货币目标进行过滤 | | Chainabuse | API | 用户举报的区块链滥用行为（每月 10 次请求的免费额度） | | URLhaus | API | 恶意软件 URL 源，已针对加密货币标签进行过滤 | ## 调查工具 Web 前端包含 5 个基于浏览器的调查工具。所有追踪均在客户端完成 —— API 调用直接从您的浏览器发送至该链的区块浏览器 API。对于 Etherscan（EVM 链）和 Helius（Solana），请**自带密钥 (Bring Your Own Key)**。Bitcoin 使用 mempool.space（免费，无需密钥）。 | 工具 | 支持链 | 用途 | |---|---|---| | **Fund Flow** | ETH, BSC, Polygon, Arbitrum, Base, Optimism, Solana, Bitcoin | 映射转账，标记已知实体（CEX, DEX, 跨链桥, 混币器），识别资金退出路径和来源 | | **Gas Tracer** | EVM 链 | 递归追踪原生代币的资金链路，查找谁为钱包提供了资金 | | **Contract Audit** | EVM 链 | 检测代理模式，提取角色/所有者，拉取升级和角色变更历史 | | **Mint Tracker** | EVM 链 | 检测未经授权的代币铸造（来自空地址的 Transfer 事件） | | **CCTP Tracer** | EVM 链 | 检测 Circle 跨链传输协议活动 | ### 支持的链 | 链 | API | 是否需要密钥 | |---|---|---| | Ethereum, BSC, Polygon, Arbitrum, Base, Optimism | Etherscan V2 | 是（免费额度） | | Solana | Helius RPC | 是（免费额度） | | Bitcoin | mempool.space | 否 | 实体标签数据集包含跨所有链的 75+ 个已标记地址：交易所（Binance, Coinbase, Kraken）、DEX（Uniswap, Jupiter, Raydium）、跨链桥（Wormhole）、混币器（Tornado Cash）以及 OFAC 制裁地址。 ## 严重程度 | 等级 | 含义 | |---|---| | `LEGITIMATE` | 验证为安全；用作白名单基准 | | `SUSPICIOUS` | 行为或注册异常；建议监控（模式保留，未产出） | | `RISKY` | 存在强烈的滥用指标；建议阻止（模式保留，未产出） | | `MALICIOUS` | 已确认的威胁活动；立即阻止 | ## 置信度 置信度是**相互印证驱动**的：被 2 个及以上上游来源看到的记录会自动设为 `HIGH`；单一高质量来源（MetaMask, ScamSniffer, PhishTank）= `MEDIUM`；单一较低质量来源 = `LOW`。 | 数值 | 含义 | |---|---| | `HIGH` | 多源印证（2+ 个信息源） | | `MEDIUM` | 单一高质量来源 | | `LOW` | 单一启发式或较低质量来源 | ## 威胁类别标签 (20) `drainer` `phishing` `rug_pull` `fake_exchange` `fake_wallet` `fake_airdrop` `etherhiding` `clickfix` `pig_butchering` `address_poisoning` `ice_phishing` `investment_scam` `impersonation` `c2_infrastructure` `credential_stealer` `nft_scam` `defi_impersonation` `smishing` `typosquat` `cryptojacking` 有关技术描述、检测模式和关键统计数据，请参阅[威胁全景](docs/threat_landscape.md)。 ## SIEM 集成 详细说明请参阅 [SIEM 集成指南](docs/siem_integration.md)： - **CrowdStrike NG-SIEM:** 将 `malicious_only.csv` 作为 LogScale 查找文件上传 - **Splunk:** 作为查找表上传，使用 `| lookup web3_threats domain AS query` 进行查询 - **通用:** 任何支持 CSV 查找文件的 SIEM ## 数据归属 本项目聚合了来自多个上游来源的数据。有关每个来源的归属、许可和重新分发条款，请参见 [NOTICE.md](NOTICE.md)。 ## 许可证 MIT — 详见 [LICENSE](LICENSE)。

标签：Web3安全, 区块链追踪, 威胁情报, 开发者工具, 自定义脚本, 资金溯源, 逆向工具, 配置审计, 静态网站