时间检验|BlockSec 联合创始人研究获 IEEE S&P 2026 Test-of-Time Award

BlockSec 联合创始人、香港中文大学副教授周亚金和导师Xuxian Jiang撰写的研究论文《Dissecting Android Malware: Characterization and Evolution》,因其在移动应用安全研究和实际应用方面的杰出影响("For its lasting impact on mobile app security research and practice")获得IEEE Symposium on Security and Privacy(IEEE S&P)2026Test-of-Time Award(时间检验奖)。

IEEE S&P 2026 开幕式上的 Test-of-Time Award 颁奖幻灯片

颁奖于 2026 年 5 月 18 日 IEEE S&P 2026 开幕式上完成。

关于 IEEE S&P 与 Test-of-Time Award

IEEE Symposium on Security and Privacy 自 1980 年起每年举办,是计算机安全与隐私领域公认的顶级会议之一,与 USENIX Security、ACM CCS、NDSS 并称四大顶会。本届是第 47 届,于 2026 年 5 月 18 日至 21 日在旧金山 Hilton Union Square 举行。颁奖由本届大会 General Chair Alina Oprea、ToT Committee Chair Dongyan Xu 与 Vice Chair Adam Aviv 共同主持。

周亚金(中)在 IEEE S&P 2026 开幕式上接受 Test-of-Time Award

Test-of-Time Award(时间检验奖)旨在表彰那些经过长期发展与实践验证(通常超过10年以上),持续对学术研究、工业界或实际应用产生深远影响的工作。该奖项强调论文在发表多年后依然保持重要价值,其思想、方法或系统被广泛继承、应用和发展。

周亚金在获奖致辞中提到,这篇论文在 14 年后能够得到社区的认可,恰恰说明真正有影响力的安全研究,不仅应该推动学术进步,更应该解决真实世界中的问题,真正帮助到现实中的人。他同时表示,这一理念也深受其导师 Xuxian Jiang 教授的影响:安全研究不应只停留在论文中,而应真正进入现实系统、应对真实威胁,并持续产生长期而实际的价值。

相关推荐

安全存储之外(一):支付与签名流程的安全设计

文章基于币安、Bitget、BigONE、Bybit、Kiln/SwissBorg、Resolv、Drift、Chainflip等真实安全事件,分析支付与签名流程中业务授权、交易构造、签名授权与密钥使用、执行与结算四个环节可能被攻击者利用的风险,指出签名有效不等于业务授权成立。

BlockSec的博客 51

BlockSec荣获“最佳数字资产监测与监察解决方案”奖

BlockSec旗下产品BlockSec Phalcon荣获第九届Regulation Asia Awards for Excellence 2026“最佳数字资产监测与监察解决方案”奖,主办方肯定其在深度链上分析、资金追踪及持续风险监测方面的能力及机构应用。作为产品体系中的合规解决方案,Phalcon Compliance将链上分析与追踪能力应用于机构合规场景,支持多链地址与交易风险筛查、持续监测、告警处理、案件管理及可疑交易报告,帮助机构识别风险、管理AML/CFT并提升合规运营效率。

BlockSec的博客 209

私钥没丢,资金仍被转走?!

文章指出,身份核验、审批通过、签名有效并不代表资金安全,攻击者未必需要窃取私钥也能转走资金。文章将一笔付款从发起到结算拆分为付款依据与授权、交易构造与核验、签名授权与密钥使用、执行与结算四个环节,并结合 BigONE、Bybit、Resolv、Binance、Drift Protocol、Chainflip 等公开安全事件,分析每个环节可能被劫持的方式,如篡改风控逻辑获批付款、伪造签名界面诱导签署、修改密钥访问策略获取签名权限、利用持久化 nonce 保留已签交易执行能力、误读内部资金归集触发重复退款等。

BlockSec的博客 223

11.11 线上研讨会|AI 时代的资金保卫战:黑客用上了 AI,支付企业如何留在牌桌上?

BlockSec将于11月11日举办「AI时代的资金保卫战」线上研讨会,由三位专家复盘近期交易所与支付企业的真实安全事件,拆解AI驱动攻击的完整路径,并分享如何结合AI与安全专家构建从评估、测试、演练到持续监控的全生命周期防线。研讨会将介绍BlockSec新推出的支付机构安全风险与保障方案,涵盖资金链路评估、安全审计渗透测试、攻防演练及CISO Agent持续监控等内容,会中还将选出2家参会机构赠送免费安全体检。

BlockSec的博客 216

加密货币调查工具的真实成本:四种计费模式对比

文章分析加密货币链上调查工具的四种计费模式:按检查次数、按监控地址数量、按月度套餐、按企业合同,并以Phalcon Compliance为例说明各模式的定价区间与适用场景。文章指出标价之外还存在安装集成、培训、多年期锁定、席位增长、导出报告等隐性成本,建议团队按工作流程而非产品定价,依据检查量、监控地址数、分析师席位和记录需求,按年测算总拥有成本,以在合规框架下合理选择计费维度并规避预算风险。

BlockSec的博客 284

从 NEAR Intents 事件看 NEAR 智能合约安全

2026年9月29日至10月1日,攻击者利用NEAR Intents存款退款处理中的校验缺陷,通过填充代币和恶意receiver合约触发超额退款请求,使回调失败后内部余额未被撤销,造成缺乏资产支持的可花费余额。攻击者据此从BNB Chain上的HOT Bridge金库七笔提现共转出3,865,021 USDT。项目方于10月2日部署修复、10月7日移除存款通知功能,并于同日宣布资金全额归还,后续事后报告确认受影响用户已获补偿。

BlockSec的博客 263

BlockSec 推出支付安全保障方案,构建 AI 时代全链路防护体系

随着AI技术发展使攻击手段更复杂、效率更高,支付机构业务扩展也带来更大攻击面。BlockSec推出支付机构安全风险与保障方案,围绕资金安全、数据安全、业务安全三大重点,提供资金链路安全评估、安全审计与渗透测试、攻防与应急演练、持续监控与响应四类服务,覆盖事前识别、事中控损、事后恢复的全生命周期,帮助传统及Web3支付机构识别薄弱环节、验证防御能力、及时应对新型威胁,构建从法币业务到数字资产交易的全链路安全体系。

BlockSec的博客 360

Binance 一夜被盗 63 亿美元,资金流向了哪里?

2026年10月29日,Binance 发生多链资产被盗事件,被盗总额约63亿美元,涉及 Ethereum、Bitcoin、Tron、Solana 等至少10条链。链上核验显示约27.98亿美元资产已被冻结,主要为稳定币;另有约3,847万美元资产由项目方或链方救援处置。BTC、ETH、XRP、SOL 等大额资产仍停留在攻击者地址,相关资金流向与冻结进展仍在持续追踪中。

BlockSec的博客 353

刚拿到投票权,就能动用国库?X100 Freezer 治理攻击复盘

报告分析了2026年10月19日至25日期间BNB Chain和Ethereum上两起安全事件,估计总损失约557万美元。重点剖析Ethereum上X100 Freezer遭受的治理攻击:该质押与流动性管理系统的参议院治理机制存在缺陷,当前冻结余额可立即转化为治理权限,提案批准后也无需等待即可执行。攻击者利用闪电贷资金购买并冻结代币,在同一笔交易内获得多数参议院席位,随即批准并执行国库提案,将40万枚X代币以约35.

BlockSec的博客 350

ATM 被盗的现金,为什么出现在加密制裁名单里?

2026年9月30日美国财政部对跨国犯罪组织Tren de Aragua相关人员及企业实施制裁,涉案网络通过ATM jackpotting手法在墨西哥和委内瑞拉招募人员赴美作案盗取现金,所得资金在组织成员间流转并通过加密资产交易清洗。OFAC名单除个人外还涉及两家墨西哥企业及部分人员名下的TRON地址,但公告未披露具体兑换渠道、币种及逐笔链上路径,现金最初如何兑换为加密资产仍是信息缺口。

BlockSec的博客 158

任何人都能授权?MakerDaoBot 因此损失 200 枚 ETH

2026年10月6日,攻击者利用以太坊上MakerDAO旧版清算bot MakerDaoBot缺少访问控制的漏洞,提走200枚ETH,价值约54.2万美元。该bot的0x8804d1de()函数允许任意调用者传入外部合约地址作为adapter,授权其控制bot在Vat中的内部余额并执行其代码,而合约中其他特权函数均有ds-auth校验,唯独该函数缺失。攻击者部署恶意adapter获取授权后,结算4场已停用的ETH-A旧版抵押品拍卖,转出200枚ETH-A抵押品并兑换为ETH。

BlockSec的博客 246

私钥没泄露,近 3.9 亿美元怎么被转走的?

本文为区块链安全周报,收录2026年9月21日至10月4日间发生的8起安全事件,估计总损失约4.184亿美元,涉及Ethereum、BNB Chain、TRON等多条网络。重点分析两起事件:Bitget因攻击者突破第三方安全产品获取内网权限、伪造提现指令,导致约3.875亿美元资产转出,过程未涉及私钥泄露或合约漏洞利用;NEAR Intents因intents.near合约退款校验错误与状态回滚缺失,产生无资产支持的内部余额,被用于从BNB Chain vault提取约387万美元USDT。

BlockSec的博客 159

BlockSec登上国际刑警组织技术论坛分享Telegram诈骗生态研究

BlockSec联合创始人周亚金受邀出席国际刑警组织创新中心主办的新技术论坛,作为唯一亚太区域代表分享Telegram担保平台与「诈骗即服务」生态研究。团队以真实诈骗案例切入,揭示担保平台采用押金加仲裁机制、架构类似电商平台,并通过自动化方法发现16个平台、涉及71.64亿USDT资金流动。研究显示Telegram下架频道和英国制裁对Xinbi等平台押金活动均未带来持续下降,原因在于地址轮换策略。研究指出担保平台已成为诈骗产业链基础设施,需要主动、自动化的持续监测,而非被动封禁与制裁。

BlockSec的博客 314

Bitget 3.8 亿美元被盗复盘:洗钱路径、冻结情况与归因

2026年9月25日Bitget热钱包遭攻击,损失约3.875亿美元,涉及13种资产、12条链。攻击者利用第三方安全产品零日漏洞窃取高权限凭证,伪造提现命令绕过风控,私钥未泄露、冷钱包未受影响。洗钱分三步:先将可冻结稳定币于41分钟内换成原生代币,再经THORChain等跨链协议向比特币归拢,最后通过CoinJoin混币。截至9月29日,攻击者仍控制约3.42亿美元(88.3%),公开可见冻结合计约84万美元(占0.2%),分别来自Tether/Circle及NEAR Intents。

BlockSec的博客 190

Bitget 3.875亿美元事件:私钥与合约之外的链下安全边界

2026年9月24日,Bitget约3.875亿美元资产在私钥未泄露、智能合约无漏洞的情况下被转出,攻击者利用第三方安全产品漏洞获取内部访问权限并伪造提现指令,生成带有效签名的链上转账。文章梳理了攻击时间线、资金流向、Bitget运营恢复情况,以及Binance、Bybit、THORChain、NEAR Intents等生态参与方在资产追回中的不同响应与能力边界。

BlockSec的博客 345

复旦管院沙龙:BlockSec 谈 AI 三项实践

2026上海区块链国际周复旦专场沙龙上,BlockSec首席运营官Ruby Xu分享了公司在AI赋能Web3安全领域的三项实践:一是AI审计研究,通过与浙江大学联合开发的Synapse系统提升模型对真实攻击的理解,成果被FSE 2026收录;二是Trace AI资金追踪工具,将链上被盗资金调查转化为对话式服务;三是Web3 Companion智能体钱包,通过架构设计限制Agent权限保障资产安全。分享还探讨了AI对组织和人才结构的影响,随后进行了圆桌讨论。

BlockSec的博客 243

BlockSec联创任香港金融科技协会区块链与数字资产委员会联席主席

2026年9月,香港金融科技协会(FTAHK)公布2026–2027年度专业委员会联席主席名单,BlockSec联合创始人、香港中文大学副教授周亚金出任区块链与数字资产委员会联席主席。FTAHK成立于2017年,代表香港金融科技业与监管机构沟通政策,本届协会下设七个专业委员会。区块链与数字资产委员会关注范围覆盖个人数字资产应用到机构级基础设施与加密市场发展,并就虚拟资产监管框架提供行业反馈。

BlockSec的博客 121

BlockSec香港论坛携50位机构决策者探讨加密机构化安全合规

9月16日,BlockSec在香港主办“信任启航·香港”闭门研讨会,East Asia、Jumio、TiDB联合支持,约50位来自交易所、钱包、支付与稳定币机构、传统金融机构等的决策者到场。活动包括开场致辞、周亚金关于Crypto机构化安全与合规的主旨演讲、两场圆桌讨论。内容涉及机构化带来的风险变化、AI犯罪即服务、稳定币洗钱、合规边界判断标准、Bybit15亿美元被盗事件复盘、安全团队独立性、RWA代币化及传统金融机构入场路径等议题,并公布了会前问卷结果。

BlockSec的博客 96

3.2 亿美元,毁在一个缓存键上

本报告收录2026年9月7日至13日两起安全事件,合计损失约3.2亿美元。比特币侧链Liquid Network因节点软件Elements的范围证明缓存发生哈希碰撞,攻击者构造交易令不同字段拼接出相同字节流,使一份未经验证的证明冒用了缓存中已有的校验结论,凭空铸出4,000枚无锚定支持的L-BTC并通过peg-out套现,占本周损失99%以上,事后约3,400枚BTC被追回,约598.5枚未归还。

BlockSec的博客 157

不到一分钱的余额,抹平了一万两千美元的亏空

文章为2026年8月31日至9月6日的安全事件周报,收录Injective、Aquifer、Notional Finance、Ankr FLOW四起链上安全事件,总损失约940万美元。重点剖析Injective二元期权模块因标识符拼接无分隔符导致保险基金与市场错误配对、赔付路径未校验币种,攻击者用价值不足一分钱的INJ弥补1.27万美元缺口并套现,造成约480万美元损失;

BlockSec的博客 72

活动预告|信任启航·香港:9 月 16 日闭门交流

文章介绍了香港虚拟资产监管框架的最新进展,包括VATP发牌制度运行、稳定币发行人监管制度实施,以及VA dealing、托管、咨询与资产管理发牌框架的推进。同时指出AI正在同时改写攻击与防守手段,钓鱼、深度伪造、身份冒充和恶意代码生成加速,提高了合规运营与团队能力门槛。文章围绕安全、合规、团队准备度三条主线展开讨论:安全方面关注风险识别、身份伪造防范与异常响应能力;合规方面探讨监管红线、业务空间及KYT/AML等流程落地;

BlockSec的博客 169

4240万USDT遭冻结在先 Tether被诉至纽约联邦法院

两名泰国商人在美国起诉Tether四家主体,称其在无搜查令、无法院命令的情况下,仅凭美国国土安全调查局探员的非正式请求,将其10个以太坊地址上合计4240万美元USDT列入黑名单,事发与搜查令签发相隔近四个月。诉状质疑Tether作为私营公司处置二级市场持有人代币的合法性,并指出冻结资产对应的储备仍在为Tether产生利息收益,构成经济激励。

BlockSec的博客 156

用于修复漏洞的补丁,反而成了攻击者的指引

本期安全周报(2026/08/24–08/30)收录5起安全事件,总损失约2270万美元,涉及以太坊、Solana、Base、Cronos及TAC等六条Cosmos EVM链。重点分析了Cosmos EVM共享模块中余额下溢与上溢串联漏洞导致六条链被同时攻击的事件(以TAC Chain为例,质押池损失约750万美元),揭示了严重性误判导致静默公开补丁而非私下协同分发的披露问题。

BlockSec的博客 227

8月最贵的三个数字:1 wei、0.4025 美元、0.5 ETH

2026年8月20日至9月1日期间发生多起区块链安全事件:Cosmos EVM模块余额同步漏洞导致MANTRA、TAC Chain、KiiChain等6条链被攻击,损失约1,480万美元,其中TAC Chain质押池损失约750万美元;Base上借贷协议Moonwell因预言机价格被操纵,攻击者推高低流动性代币MAMO报价后借出资产,损失约910万美元;Ethereum上Term Finance Meta Vault因治理参与率计算与实际资产规模脱节,遭治理接管攻击,损失约847万美元。

BlockSec的博客 501

1.18 亿港元报案背后:年化 278% 的咖啡传销盘是怎么收场的

文章通过链上分析还原了港澳诈骗平台Fun Coffee的资金流转结构。该平台以高回报咖啡投资为噱头,本质为庞氏骗局,2026年7月20日停运,涉及286宗报案约1.18亿港元。分析追踪了99个地址构成的四层网络,累计接收7282万余USDT,划分出兑付通道与转移通道,测算出参与人净损失下界约2744万USDT。文章指出链上可识别的自托管出资人整体回收率达126.1%,但因交易所充值地址无法穿透,该样本不能代表普通受害人的真实损失,并说明该盘因监管预警而非资金枯竭被打断。

BlockSec的博客 448

有人用 0.5 个 ETH 投了一个提案,搬走了 850 万美元

报告收录2026年8月17日至23日两起安全事件,总损失约1026万美元。Term Finance因每个金库的治理仅依赖相对支持率与参与度阈值、缺乏绝对参与下限,攻击者用约0.5 ETH获得超级多数投票权,通过并执行恶意提案抽走六个金库资产,损失约850万美元,且执行延迟无guardian或取消机制可阻止。

BlockSec的博客 244

BlockSec参与香港合规与安全科技圆桌讨论

BlockSec出席8月24日至25日在香港会议展览中心举行的全球独角兽大会,设展位与参会机构交流,并参与"香港的合规与安全科技的发展前景"圆桌论坛。该论坛由BlockSec战略顾问主席Joe Zhou主持,联合创始人周亚金及FCC Analytics、EX.IO、Sphere State代表共同讨论。大会由香港大公文汇传媒集团主办,汇聚200余家全球独角兽企业、100余家高成长科技企业及投资机构等。

BlockSec的博客 459

改两个字段,凭空造出 3 万亿枚 ONE

报告收录2026年8月10日至16日期间5起安全事件,总损失约4700万美元,其中三起为私钥泄露导致资金被转走(Unknown Whale Wallet约2500万、Kite约1400万、Coinsbuy约790万美元)。重点分析Harmony因跨分片收据重放缺陷遭遇原生代币ONE非授权增发:目标分片验证“已消费”标记时使用未经签名认证的Merkle证明字段而非已签名区块头,导致历史收据可被篡改字段后重放增发;

BlockSec的博客 160

1.65亿美元加密庞氏案主犯躲斐济一年后遭遣返面临25项联邦指控

美国北佐治亚州联邦大陪审团于7月8日对59岁的Edward Zimbardi提起25项罪名指控,涉及12项电汇欺诈、12项洗钱及1项洗钱共谋,指控其通过名为The Crypto Program的加密投资项目从6000多名投资者处募集超过1.65亿美元。检方称该项目宣称起投550美元、每月保证25%收益,实际不存在广告投放业务,资金被投入高风险外汇交易亏损、用于借新还旧及个人开支。

BlockSec的博客 434

BlockSec 以技术创新构建全球链上安全合规,推动行业高质量发展

BlockSec 是一家一站式区块链安全与合规服务供应商,致力于构建安全、易用的 Web3 世界。公司围绕智能合约安全审计、链上实时监控与攻击阻断、链上合规风控(AML/CFT)、加密资产追踪与调查四大能力,为全球虚拟资产服务商、加密支付机构、公链与 DeFi 协议、金融机构及监管执法单位提供全周期保障。创始团队来自学术界与工业界,具备深厚研究背景。公司深度参与全球行业会议,与高校、产业伙伴及监管执法机构开展合作,并加入新加坡金融科技协会。

BlockSec的博客 966
上一篇: 系统视角下的 AI Agent 隔离模型与安全边界
下一篇: 1 wei USDC 换走 1,291 WETH
BlockSec安全研究
BlockSec安全研究 杭州安碣信息安全科技有限公司官方账号 杭州安碣信息安全科技有限公司官方账号
博客等级 码龄156天 1粉丝 105原创
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付:10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值