我写《区块链黑暗森林自救手册》时还没出现这些优秀的 LLM AI,Markdown 纯敲,一个个字…我觉得我以后的作品输出会容易很多,但可能再也没这么纯粹的感觉了。 感谢时代,感谢黑手册的贡献者与读者们,这本手册的使命会告一段落: https://github.com/slowmist/Blockchain-dark-forest-selfguard-handbook 后续我只会更新黑手册扩展知识,纯当自己的记录: https://github.com/evilcos/darkhandbook 2025 快结束了,给自己一个转折点。
Cos(余弦)Founder of SlowMist_Team
观点原文
我写《区块链黑暗森林自救手册》时还没出现这些优秀的 LLM AI,Markdown 纯敲,一个个字…我觉得我以后的作品输出会容易很多,但可能再也没这么纯粹的感觉了。
感谢时代,感谢黑手册的贡献者与读者们,这本手册的使命会告一段落:
后续我只会更新黑手册扩展知识,纯当自己的记录:
2025 快结束了,给自己一个转折点。
Sharing
相关观点
- 这条安全建议永不过时。 触网的早晚被盗,还没被盗除了有自己的实力还有运气…当然,如果穷的好好的,虽然黑帽看了会落泪,但一定会等你发财了再含泪下手… 关于用户交互的“冷静期”机制,配个硬件钱包同理,知名的。助记词不会通过网络泄露,签名安全瞪大你的双眼,务必拒绝盲签或看不懂的签名。Cos(余弦) · 2025/12/26
- 攻击者看来很熟悉 Trust Wallet 扩展源码的,植入 PostHog JS 来采集用户钱包各种信息。 Trust Wallet 修复版本没移除 PostHog JSCos(余弦) · 2025/12/26
- Trust Wallet 浏览器扩展带后门版本是 2.68.0,修复后的是 2.69.0,对比了下,正常代码和后门代码的代码差异,如图。 后门代码增加了个 PostHog 来采集钱包用户的各种隐私信息(包括助记词),并发送到攻击者服务器 api.metrics-trustwallet[.]com。 预估时间线:攻击者至少 12.8 开始做的准备,12.22 成功植入后门,12.25 圣诞节开始转移资金,于是被发现。据 @zachxbt 的统计,用户损失超 $6m...Cos(余弦) · 2025/12/26
- 如果你还在用 Safe 多签或其他多签(不管什么技术模式),需要注意这几点: 1. 所有签名步骤一定是要可验证,你或你找很懂技术的朋友费劲半天没法验证的,默认就应该怀疑 2. 既然你都用上多签了,如果能搭配硬件钱包,尤其是能把复杂签名解析做好的,把签名异常风险提醒好的,那最好搭配着用 这个安全思路就是永远不要相信一方,总可能出现单点风险,最好多方验证。 钱包安全真的很不容易做好,此时如果你只是在嘲笑 Safe 多签出问题,而不内部加强自身的安全,那就要惨了。Cos(余弦) · 2025/12/25