当前位置：首页 > 资讯 > 白嫖CZ解析

黑客教你如何用0.01 BNB“白嫖”CZ

2025-03-31 16:37:51 | 来源： | 作者：佚名
我们发现可以在 ReachMe.io 低成本和任意用户 Say Hi 的漏洞，于是我们第一时间联系了项目方团队，并提供漏洞验证的详情,

黑客教你如何用0.01 BNB“白嫖”CZ

背景

昨天，当我还在整理APT 攻击相关的素材时，山哥(@im23pds) 突然激动地来到我的工位旁边：“Thinking，我发现了一个有趣的项目，CZ 在高频使用，我们或许可以 0 成本和 CZ Say Hi。”于是我们迅速拟定了几个可能的漏洞点：

  • 劫持CZ 在 ReachMe 的账号；
  • 更改CZ 在 ReachMe 的设置；
  • 不花钱给CZ 发消息，绕过给他发消息要花费 1 BNB 的限制。

大约在10 分钟后，我们发现可以在 ReachMe.io 低成本和任意用户 Say Hi 的漏洞，于是我们第一时间联系了项目方团队，并提供漏洞验证的详情。项目团队也在第一时间就迅速修复了该漏洞，同时联系我们进行复测。为 ReachMe 团队认真严谨对待安全问题的态度点赞！

此外，慢雾安全团队很荣幸获得了CZ 和 ReachMe 项目方团队的致谢。

发现过程

ReachMe.io 是一个基于 BNB Chain 的付费聊天平台，旨在通过加密货币支付机制连接 KOL（关键意见领袖）与粉丝。用户向 KOL 发送私信需支付 BNB ，KOL 可获得 90% 费用（平台抽成 10%）；若 KOL 5 天内未回复，用户可获 50% 退款。

2025 年 3 月 27 日，币安创始人 CZ 将其 X 账号简介改为：“DM: https://reachme.io/@cz_binance (fees go to charity)”，即“在 ReachMe 上 DM 我，费用将用于慈善”。

我们可以看到，和CZ Say Hi 的成本是 1 枚 BNB，于是我们设想了一些方案，并进行尝试，看如何绕过 1 枚 BNB 的限制来和 CZ Say Hi。

和山哥一阵研究后，我们发现ReachMe 在给任意 KOL 发送消息的时候会通过“/api/kol/message”接口生成消息的概要信息，其中包含“_id”字段，这个字段是在发消息的时候附带到链上合约Function: deposit(string _identifier,address _kolAddress)使用，对应的是_identifier字段。

并且给KOL 发送消息附带的 BNB 其实就是调用合约Function: deposit附带的BNB 数量，于是我们构造了一笔交易，将“Hi CZ”的消息对应的“_identifier”以及 CZ 的地址，并附带 0.01 BNB（最低仅需 0.001 BNB）发送给合约。

由于ReachMe 在设计之初并没有将 KOL 预设的发消息成本放在合约中进行检测（或许是为了方便KOL 更好地随时调整消息的价格并且节省 Gas 费？），因此可以通过修改前端代码，修改网络响应包或者直接与合约进行交互来绕过 1 BNB 的限制。这是由于服务端在检索链上的交易时也遗漏了消息价格与链上交易的 BNB 数量的检查。

于是我们用了大约10 分钟，成功绕过了和 CZ 对话要花费 1 BNB 的规则，仅花费了 0.01 BNB 就可以和 CZ Say Hi。

另外，值得注意的是，其实还有更深一步的利用，如：给CZ 发有趣的消息，进行鱼叉钓鱼？鉴于 CZ 本人影响较大，后面就放弃了这部分测试，大家也多注意安全，谨防钓鱼。

总结

这类结合中心化与去中心化的产品设计，经常会出现链上和链下的安全检查不一致的情况。因此，攻击者可以通过分析链上链下的交互流程，绕过某些检查限制。慢雾安全团队建议项目方尽可能在链上和链下的代码中同步必要的安全检查项，避免被绕过的可能。同时，建议聘请专业的安全团队进行安全审计，以发现潜在的安全风险并加以防范。

到此这篇关于黑客教你如何用0.01 BNB“白嫖”CZ的文章就介绍到这了,更多相关白嫖CZ解析内容请搜索脚本之家以前的文章或继续浏览下面的相关文章，希望大家以后多多支持脚本之家！

免责声明：本文只为提供市场讯息，所有内容及观点仅供参考，不构成投资建议，不代表本站观点和立场。投资者应自行决策与交易，对投资者交易形成的直接或间接损失，作者及本站将不承担任何责任。！
Tag：黑客  

你可能感兴趣的文章

币圈快讯

  • Alphractal API文档更新支持1500种指标

    2026-08-19 19:31
    Alphractal宣布其API文档更新，变得更易于理解和使用。所有用户将获得慷慨的API额度，充分利用其数据。此外，Alphractal MCP现已上线，允许用户直接从ChatGPT、Claude、Cursor、Copilot、Gemini和Visual Studio Code工具中探索超过1500种指标，非常适合构建自己的AI代理，利用最佳的加密市场数据。

  • Gen.G战胜KT Rolster成功晋级季后赛

    2026-08-19 19:30
    Gen.G在与KT Rolster的比赛中实现了7000金的逆转，成功获得季后赛资格。这场逆转展示了Gen.G的韧性和战略能力，影响了LCK的竞争格局以及KT Rolster的中游地位。

  • SEC提出2026年首个加密特定发行规则

    2026-08-19 19:30
    SEC提出了首个针对加密资产的发行规则，旨在为2026年的监管推动提供支持。这些规则可能通过提供监管明确性来促进创新，从而增强对新代币发行的信心。

  • 黑石报告：比特币已基本清除泡沫仍具多元化投资吸引力

    2026-08-19 19:30
    据BlackRock报告，比特币在从126,000美元的历史高点下跌超过50%后，已基本清除泡沫，仍然保持作为多元化投资的吸引力。

  • 美元走软债市稳定投资者关注美联储会议纪要

    2026-08-19 19:29
    据路透社报道，周三，美元对主要货币走软，因国债市场的抛售有所缓解，投资者期待美联储最新政策会议的会议纪要以获取新指引。预计该文件将全面反映政策制定者的思考，尤其是在美联储主席凯文·沃什对利率前景保持沉默的情况下。欧元上涨0.31%，至1.1611美元，英镑上涨0.22%，至1.3562美元，日元上涨0.35%，至159.04美元。美元指数下跌0.29%，至99.36。美国10年期国债收益率下降至4.696%，30年期国债收益率降至5.283%。分析师警告，收益率仍然处于高位，可能会对市场产生影响。美联储会议纪要定于周三东部时间下午2点发布。中东僵局使通胀风险持续存在，近期数据显示美国经济放缓，导致投资者降低加息预期。
    • 查看更多

最新资讯

更多

区块链百科