saeidshirazi/Awesome-Smart-Contract-Security

# Awesome 智能合约安全   # 目录 - [博客](#blogs) - [论文](#papers) - [书籍](#books) - [培训](#Trainings) - [工具](#tools) * [可视化](#Visualization) * [验证](#Verification) * [Linter](#Linters) * [漏洞挖掘](#BugHunting) * [逆向工程](#Reverse_Engineering) - [Awesome 智能合约安全 !awesome](#awesome-smart-contract-security-) - [目录](#table-of-contents) - [博客](#blogs) - [论文](#papers) - [书籍](#books) - [安全期刊列表](#security-journal-list) - [培训](#trainings) - [实验室](#labs) - [夺旗赛 (CTF) 与安全攻防游戏](#capture-the-flag-and-wargames) - [演讲](#talks) - [杂项](#misc) - [播客](#podcasts) - [速查表](#cheat-sheets) - [检查清单](#checklists) - [漏洞赏金与文章](#bug-bounty--writeups) - [漏洞赏金平台与项目](#bug-bounty-platforms--project) # 博客 * [使用 Brownie 框架的 Ethernaut CTF 通关指南](https://securitypills.news/articles/ethernaut/) * [评估 Solidity 审计规模](https://blog.coinfabrik.com/tools/sizing-solidity-audits/) * [逆向 Ethereum 智能合约](https://arvanaghi.com/blog/reversing-ethereum-smart-contracts/) * [Emin Gün Sirer，Cornell Tech IC3 实验室教授，专注于区块链安全。](http://hackingdistributed.com/) * [ Phil Daian，KEVM、Hydra 及其他 Ethereum 学术项目背后的研究生](https://pdaian.com/blog/) * [拥有区块链安全业务的网络安全研发公司](https://blog.trailofbits.com/) * [ Martin Swende，程序员及应用安全顾问](http://swende.se/) * [关于区块链生态系统内安全问题和实践的公司博客](https://blog.smartdec.net/) * [Solidity 安全：已知攻击向量的全面列表](https://blog.sigmaprime.io/solidity-security.html) * [在移动应用中正确使用密码学](https://blog.oversecured.com/Use-cryptography-in-mobile-apps-the-right-way/) * [Subzero 是由 Square 开发的一种基于 HSM 的比特币冷存储方法](https://medium.com/square-corner-blog/open-sourcing-subzero-ee9e3e071827) * [合约升级反模式](https://blog.trailofbits.com/2018/09/05/contract-upgrade-anti-patterns/) * [获胜者如何赢得 Fomo3D 奖金 —— 详细解析](https://medium.com/coinmonks/how-the-winner-got-fomo3d-prize-a-detailed-explanation-b30a69b7813f) * [如何使用 Tenderly 和 Truffle 调试 Solidity 智能合约](https://medium.com/tenderly/how-to-debug-solidity-smart-contracts-with-tenderly-and-truffle-da995cfe098f) * [对 Spank Channel 的猛烈攻击](https://medium.com/coinmonks/lashing-out-at-a-spank-channel-2b42b23f0dc6) * [恶意的 GasToken 铸造](https://medium.com/level-k/public-disclosure-malicious-gastoken-minting-236b2f8ace38) * [ERC20 token 中缺失返回值的漏洞](https://medium.com/coinmonks/missing-return-value-bug-at-least-130-tokens-affected-d67bf08521ca) * [并非公平的游戏 – Dice2win 公平性分析](http://blogs.360.cn/post/Fairness_Analysis_of_Dice2win_EN.html) * [Ethereum Casper 协议的初步形式化验证](https://runtimeverification.com/blog/runtime-verification-completes-formal-verification-of-ethereum-casper-protocol/) * [Shamir 秘密共享的安全注意事项](https://ethresear.ch/t/security-considerations-for-shamirs-secret-sharing/4294) * [SmartDec 智能合约审计初学者指南](https://blog.smartdec.net/smartdec-smart-contract-audit-beginners-guide-d04cc7f1c571) * [区块填充攻击的剖析](https://medium.com/hackernoon/the-anatomy-of-a-block-stuffing-attack-a488698732ae) * [智能合约蜜罐现象](https://medium.com/@gerhard.wagner/the-phenomena-of-smart-contract-honeypots-755c1f943f7b) * [使用我们的 Ethereum 安全工具套件](https://blog.trailofbits.com/2018/03/23/use-our-suite-of-ethereum-security-tools/) * [Vertcoin (VTC) 遭到成功的 51% 攻击](https://medium.com/coinmonks/vertcoin-vtc-is-currently-being-51-attacked-53ab633c08a4) * [智能合约安全审计：技巧与窍门](https://www.cossacklabs.com/blog/smart-contract-security-audit-tips-tricks/) # 论文 * [区块链智能合约系统的安全优势与劣势：一项调查](https://www.researchgate.net/profile/Malaw-Ndiaye/publication/360624196_Security_Strengths_and_Weaknesses_of_Blockchain_Smart_Contract_System_A_Survey/links/62824c3590841d5155d7dbb7/Security-Strengths-and-Weaknesses-of-Blockchain-Smart-Contract-System-A-Survey.pdf) * [Ethereum 智能合约安全研究：调查与未来研究机遇](https://link.springer.com/article/10.1007/s11704-020-9284-9) * [智能合约安全：软件生命周期的视角](https://ieeexplore.ieee.org/iel7/6287639/8600701/08864988.pdf) * [Ethainter：用于复合漏洞的智能合约安全分析器](https://dl.acm.org/doi/abs/10.1145/3385412.3385990) * [NeuCheck：一种更实用的 Ethereum 智能合约安全分析工具](https://onlinelibrary.wiley.com/doi/abs/10.1002/spe.2745) * [智能合约：攻击与保护](https://ieeexplore.ieee.org/abstract/document/8976179/) * [智能合约漏洞分析与安全审计](https://ieeexplore.ieee.org/abstract/document/9143290/) * [Ethereum 智能合约漏洞的安全分析方法：一项调查](https://arxiv.org/pdf/1908.08605) * [在网络物理系统中使用 AI 进行智能合约隐私保护：工具、技术与挑战](https://ieeexplore.ieee.org/iel7/6287639/8948470/08976143.pdf) * [LedgerHedger：为智能合约安全保留 Gas](https://eprint.iacr.org/2022/056.pdf) * [结合图神经网络与专家知识进行智能合约漏洞检测](https://arxiv.org/pdf/2107.11598) * [Ethereum 智能合约开发的安全检查清单：模式与最佳实践](https://arxiv.org/pdf/2008.04761.pdf) * [探索智能合约开发者的安全实践](https://arxiv.org/pdf/2204.11193) # 书籍 * [智能合约安全基础](https://www.amazon.com/Fundamentals-Smart-Contract-Security-Richard/dp/194944936X) * [使用 Solidity 和 Ethereum 进行智能合约开发实战 ](https://www.oreilly.com/library/view/hands-on-smart-contract/9781492045250/ch12.html) * [精通 Ethereum](https://www.bookstack.cn/read/ethereumbook-en/a09dd11523647de0.md) ### 安全期刊列表 * IEEE Transactions on Information Forensics and Security [[网站]](http://ieeexplore.ieee.org/xpl/RecentIssue.jsp?punumber=10206) * Computer & Security[[网站]](http://www.elsevier.com/wps/find/journaldescription.cws_home/405877/description#description) * IET Information Security[[网站]](http://www.ietdl.org/IET-IFS) * ACM Transactions on Information and System Security[[网站]](http://tissec.acm.org/) * International Journal of Information Security[[网站]](https://www.springer.com/journal/10207) * Security and Communication Networks[[网站]](http://www.wiley.com/bw/journal.asp?ref=1939-0114) * IEEE Security & Privacy[[网站]](https://www.computer.org/csdl/magazine/sp) * IEEE Transactions on Dependable and Secure Computing [[网站]](http://www.computer.org/tdsc/) * Security and Communication Networks[[网站]](http://onlinelibrary.wiley.com/journal/10.1002/(ISSN)1939-0122) * Computer Fraud & Security[[网站]](http://www.elsevierscitech.com/nl/cfs/home.asp ) # 培训 * [SEC554：区块链与智能合约安全](https://www.sans.org/cyber-security-courses/blockchain-smart-contract-security/) * [SecDim](https://secdim.com) * [Ethereum 智能合约安全](https://academy.moralis.io/courses/ethereum-smart-contract-security) * [Solidity、区块链与智能合约课程 ](https://www.youtube.com/watch?v=M576WGiDBdQ) * [智能合约安全 101](https://pro.eattheblocks.com/p/smart-contract-security-101) * [认证区块链安全专家 (CBSP)](https://blockchaintrainingalliance.com/products/cbsp) * [学习区块链安全](https://www.infosecinstitute.com/skills/learning-paths/blockchain-security/) # 工具 ### 可视化 * [ethereum-graph-debugger](https://github.com/fergarrui/ethereum-graph-debugger) - 一个图形化的 EVM 调试器。显示整个程序的控制流图。 * [Slither](https://github.com/trailofbits/slither) - Slither 可以映射方法可见性和修饰符、读取和写入的状态变量、调用，并且可以打印智能合约的继承图 * [Solgraph](https://github.com/raineorshine/solgraph) - 生成带有 Solidity 合约函数控制流的 DOT 图 * [Surya](https://github.com/ConsenSys/surya) - 生成函数调用图的各种可视化输出 * [sol-function-profiler](https://github.com/EricR/sol-function-profiler) - Solidity 合约函数分析器 ### 验证 * [KEVM](https://github.com/kframework/evm-semantics) - Ethereum 虚拟机 (EVM) 的 K 语义 * [Manticore](https://github.com/trailofbits/manticore) - 用于 EVM 的符号执行工具 ### Linter * [Remix](https://remix.ethereum.org/) - 带有 linting 功能的基于浏览器的 Solidity IDE * [SmarrtCheck](https://tool.smartdec.net/) - 一款用于 Solidity 和 Vyper 的 linter，可检查代码的安全问题和不良实践。 * [Solhint](https://github.com/protofire/solhint) - 用于安全性和风格指南验证的 linter。它严格遵守 [Solidity 风格指南](https://solidity.readthedocs.io/en/latest/style-guide.html)。 * [Solium](https://github.com/duaraghav8/Solium) - 用于安全性和风格指南验证的 linter。不严格遵守 Solidity 风格指南。 ### 漏洞挖掘 * [Web3 Decoder](https://github.com/nccgroup/web3-decoder) - Web3 Decoder 是一个 Burp Suite 扩展，有助于分析涉及 web3 智能合约的操作发生了什么 * [Echidna](https://github.com/trailofbits/echidna) - 用于 Ethereum 智能合约的 Fuzzer。使用属性测试来生成破坏智能合约的恶意输入。 * [Manticore](https://github.com/trailofbits/manticore) - 用于 Ethereum 智能合约的符号执行工具，包含针对常见安全缺陷的检测器 * [Mythril OSS](https://github.com/ConsenSys/mythril/) - 围绕检测模块构建的 Ethereum 智能合约开源安全分析工具 * [Securify v2.0](https://github.com/eth-sri/securify2) - 来自 ChainSecurity 的静态分析工具 * [Slither](https://github.com/trailofbits/slither) - 静态分析框架，使用 Python 编写，带有针对许多常见 Solidity 问题的检测器 * [Octopus](https://github.com/pventuzelo/octopus) - : 区块链智能合约 (BTC/ETH/NEO/EOS) * [L3X](https://github.com/VulnPlanet/l3x) - AI 驱动的智能合约静态分析器 ### 运行时监控与诈骗检测 这些工具通过在合约部署后监视蜜罐、rug pull 和对抗性部署者模式，作为静态分析的补充。大多数均可免费使用。 * [GoPlus](https://gopluslabs.io/token-security-api) - 覆盖 30 多条链的 token 安全 API，提供蜜罐、所有权和交易风险检查。 * [HoneyBadger](https://github.com/christoftorres/HoneyBadger) - 用于 Ethereum 智能合约的蜜罐检测器（学术性，基于 EVM 字节码）。 * [Honeypot.is](https://honeypot.is/) - 通过模拟买入/卖出对 ERC-20 token 进行快速蜜罐测试。 * [RektRadar](https://rektradar.io/) - 实时 Ethereum 诈骗检测器，具备 mempool 监控、部署者图谱分析和工厂模式检测功能。可在广播阶段拦截 rug pull，并在添加流动性之前标记蜜罐。 * [TokenSniffer](https://tokensniffer.com/) - 针对 ERC-20 token 的自动化诈骗检测、审计和指标分析。 * [Sharpe Rug Check](https://www.sharpe.ai/rug-check) - 用于 EVM 和 Solana 资产的 token 风险扫描器，涵盖流动性、持有者、所有权、权限和蜜罐信号 * [ContractScan](https://github.com/dutchaiagency/contractscan-api) - 免费的客户端智能合约安全扫描器。检测代理、蜜罐、rug pull 以及跨 6 条 EVM 链的 11 种漏洞模式。在浏览器中运行，无需注册。 ### 逆向工程 * [abi-decompiler](https://github.com/beched/abi-decompiler) - EVM 逆向工程辅助工具 * [ethereum-dasm](https://github.com/tintinweb/ethereum-dasm) - 具有静态和动态分析能力的 EVM 反汇编器，包括函数签名查找 * [Ethersplay](https://github.com/trailofbits/ethersplay) - 基于 Binary Ninja 构建的 EVM 字节码可视化反汇编器 * [evmlab](https://github.com/ethereum/evmlab) - 用于与 Ethereum 虚拟机交互的工具 * [IDA-EVM](https://github.com/trailofbits/ida-evm) - 用于查看 EVM 指令的 IDA 插件 * [Panoramix](https://github.com/palkeo/panoramix) - Ethereum 反编译器 * [pyevmasm](https://github.com/trailofbits/pyevmasm) - 带有 CLI 和 Python API 的 EVM 汇编器和反汇编器 * [Rattle](https://github.com/trailofbits/rattle) - EVM 二进制静态分析框架。生成 EVM 代码的 SSA 表示。 * [Solidity Bytes32 在线转换器 ](https://neptunemutual.com/web3-tools/string-to-bytes32-converter/) - 将 Solidity bytes32 转换为 utf8 字符串或整数，反之亦然。 * [在线 Solidity ABI 编码器](https://neptunemutual.com/web3-tools/solidity-abi-encoder-online/) - 在线 Solidity ABI 编码器，用于对智能合约参数进行编码，并可在区块链上执行读写操作。 * [Ethereum 单位转换器](https://neptunemutual.com/web3-tools/ethereum-unit-converter/) - 用于转换不同 Ethereum 面额（wei、gwei、ether）的在线工具。 # 实验室 * [智能合约实验室](https://smartcontractlabs.ee/) * [ChainLink 实验室](https://chainlinklabs.com/) * [专注于智能合约安全的实验室](https://github.com/JonZeolla/lab-SmartContractSecurity) # 夺旗赛 (CTF) 与安全攻防游戏 * [Capture the Ether](https://capturetheether.com/) * [The Ethernaut](https://ethernaut.openzeppelin.com/) * [Etherhack](https://etherhack.positive.com/) * [Security Innovation 区块链 C](https://blockchain-ctf.securityinnovation.com/) * [Ciphershastra CTF](https://ciphershastra.com/) * [Defi Hack](https://www.defihack.xyz/) * [Gacha 实验室 (BSC 测试网)](https://gachalab.inspex.co/) * [Damn Vulnerable DeFi](https://www.damnvulnerabledefi.xyz/) # 演讲 | 标题 | 会议 | 年份 | | --- | --- | --- | |[第六届可信智能合约研讨会](https://fc22.ifca.ai/wtsc/) | WTSC 2022 | 2022| |[智能合约安全：从业者视角](https://conf.researchr.org/details/icse-2021/icse-2021-papers/12/Smart-Contract-Security-a-Practitioners-Perspective) | ICSE 2021 |2021| | [预测 Ethereum 智能合约中的随机数](https://schd.ws/hosted_files/appseccalifornia2018/00/AppSecCali%202018%20-%20Predicting%20Random%20Numbers%20in%20Ethereum%20Smart%20Contracts.pdf) | OWASP AppSec | 2018 | | [区块链尸检 - 分析智能合约死亡](https://github.com/trailofbits/publications/tree/master/presentations/Blockchain%20Autopsies%20-%20Analyzing%20Smart%20Contract%20Deaths) | Blackhat USA | 2018 | | [Rattle - 一个 EVM 二进制分析框架](https://www.trailofbits.com/presentations/rattle/) | reCON | 2018 | | [黑帽 Ethereum](https://github.com/trailofbits/publications/blob/master/presentations/Blackhat%20Ethereum) | CanSecWest | 2018 | | [为了乐趣和利润粉碎 Ethereum 智能合约](https://github.com/b-mueller/smashing-smart-contracts) | HITB Amsterdam | 2018 | | [区块链的自动漏洞查找](https://github.com/trailofbits/publications/blob/master/presentations/Automatic%20bugfinding%20for%20the%20blockchain) | EkoParty | 2017 | # 杂项 * [安全陷阱与最佳实践 201](https://secureum.substack.com/p/security-pitfalls-and-best-practices-201) * [黑客攻击智能合约：初学者指南](https://learn.block6.tech/hacking-smart-contracts-beginners-guide-9c84e9de7194) * [安全陷阱与最佳实践 101](https://secureum.substack.com/p/security-pitfalls-and-best-practices-101?s=r) * [智能合约安全最佳实践指南](https://github.com/ConsenSys/smart-contract-best-practices) * [去中心化应用安全项目 (或 DASP) Top 10](https://www.dasp.co/) * [Solidity 安全注意事项](https://docs.soliditylang.org/en/latest/security-considerations.html) * [ERC20 智能合约漏洞集合](https://github.com/sec-bit/awesome-buggy-erc20-tokens) * [Solidity 安全问题示例](https://github.com/crytic/not-so-smart-contracts) * [智能合约安全最佳实践指南](https://github.com/ConsenSys/smart-contract-best-practices) * [EOS 智能合约安全最佳实践指南](https://github.com/slowmist/eos-smart-contract-security-best-practices) # 播客 * [CoinSec Podcast](https://coinsecpodcast.com/) * [The Smartest Contract](https://www.listennotes.com/podcasts/the-smartest-contract-jeffrey-tong-DmE7O9AYifI/) * [Zero Knowledge](http://www.zeroknowledge.fm/) # 速查表 * [Solidity 速查表](https://intellipaat.com/blog/tutorial/blockchain-tutorial/solidity-cheat-sheet/) * [Solidity 速查表与最佳实践](https://github.com/manojpramesh/solidity-cheatsheet) * [Ethereum 速查表](https://intellipaat.com/blog/tutorial/blockchain-tutorial/ethereum-cheat-sheet/) * [终极区块链速查表](https://101blockchains.com/blockchain-cheat-sheet/) # 检查清单 * [Solidity 审计检查清单](https://github.com/cryptofinlabs/audit-checklist) * [智能合约安全检查清单](https://ethereum.org/en/developers/tutorials/secure-development-workflow/) * [智能合约安全审计：简介与 5 大最佳实践](https://www.getastra.com/blog/security-audit/smart-contract-security/) * [智能合约安全验证标准](https://securing.github.io/SCSVS/) * [Ethereum 智能合约开发的安全检查清单](https://arxiv.org/pdf/2008.04761) # 漏洞赏金与文章 * [实战 Ethernaut CTF](https://blog.trailofbits.com/2017/11/06/hands-on-the-ethernaut-ctf/) - 各种 Ethernaut CTF 挑战合约的文章。 * [Ethernaut - Naught Coin (ERC20) 漏洞利用](https://medium.com/coinmonks/ethernaut-naught-coin-erc20-exploitation-218c86bb953b) - 来自 Ethernaut CTF 的漏洞 ERC20 的文章。 * [EtherHack CTF 写作](https://blog.positive.com/phdays-8-etherhack-contest-writeup-794523f01248) - EtherHack CTF 挑战的文章。 * [PolySwarm 智能合约黑客挑战赛文章](https://raz0r.name/writeups/polyswarm-smart-contract-hacking-challenge-writeup/) - 演示了 Manticore 的高级用法 * [Metaplex 2022 漏洞写作](https://github.com/Bonfida/metaplex-vulnerability-012022) * [智能合约安全审计报告](https://github.com/TechRate/Smart-Contract-Audits) # 漏洞赏金/审计平台与项目 * [Immunefi](https://immunefi.com/explore/) * [hackenproof](https://hackenproof.com/) * [ETHEREUM 赏金计划](https://bounty.ethereum.org/#bounty-scope) * [Hashlock](https://hashlock.com/) * [Etherscan 漏洞赏金计划](https://etherscan.io/bugbounty) * [Parity 漏洞赏金计划](https://www.parity.io/bug-bounty/) * [Gitcoint 项目](https://gitcoin.co/explorer?network=mainnet&idx_status=open&applicants=ALL&order_by=-web3_created) * [Code Arena 漏洞赏金项目](https://code4rena.com/) * [Smartlink Dapps](https://www.smartlink.so/bug-bounty/) * [Bug Rap](https://bugrap.io/) * [漏洞赏金计划 2026](https://hackenproof.com/programs?page=4)

标签：以太坊, 区块链安全, 安全资料, 智能合约, 服务器监控, 逆向工具