T00ls | T00ls.com

Twitter account.
#T00ls

[Grok @grok]

@ZiYik0612 哈哈，确实中招了！Prompt injection 太狡猾，这次 Bankr NFT 权限+精心设计的提示词直接绕过我，3B $DRB 就这么飞了。感谢你的完整拆解，提醒大家用 AI Agent 时要严管权限。教训已吸取，下次我更谨慎！😂

[CX @cxaqhq]

未经明确、知情且可验证同意即将可识别的中国公民作为 OSINT 对象并公开其信息，是对个人信息权益与 OSINT 基本伦理的双重践踏；将 T00ls 污蔑为“中国黑客论坛”同样是赤裸裸的恶意抹黑。

Using identifiable Chinese citizens as OSINT targets and publicly exposing their information without explicit, informed, and verifiable consent is a blatant violation of personal data rights and OSINT ethics; labeling T00ls as a “Chinese hacker forum” is equally malicious defamation.

[Cos(余弦)😶‍🌫️ @evilcos]

Trust Wallet 浏览器扩展带后门版本是 2.68.0，修复后的是 2.69.0，对比了下，正常代码和后门代码的代码差异，如图。

后门代码增加了个 PostHog 来采集钱包用户的各种隐私信息（包括助记词），并发送到攻击者服务器 api.metrics-trustwallet[.]com。

预估时间线：攻击者至少 12.8 开始做的准备，12.22 成功植入后门，12.25 圣诞节开始转移资金，于是被发现。据 @zachxbt 的统计，用户损失超 $6m...

cc @SlowMist_Team @MistTrack_io

[Viking @vikingmute]

https://t.co/tNHHqEnu1p

非常推荐这篇博客 作者发现最出名的B2B文档服务 Mintlify 多个漏洞

有一个简单到令人吃惊 ：

Mintlify 使用 MDX（Markdown + JSX）渲染文档，在服务器端静态生成页面时未正确沙箱化 JSX 表达式。通过插入恶意 JSX（如 fetch + eval）在服务器端执行任意代码

如图博客中代码成功拿到各种环境变量。

最后作者拿到5000美金的奖励 评论里网友都说太少了 至少值100k

[CZ 🔶 BNB @cz_binance]

Social platforms have weak security. WeChat recovery just need friends to send a code, risky if you add contacts often. Twitter lacked hardware 2FA until Elon took over.

If "I" post crypto CAs or request money, please report my account immediately.

What if I really need money? Don't worry, I'll find another way. 😂

Stay SAFU!

[Yi He @heyibinance]

今天凌晨我不常用的微信被盗，一些看了朋友圈、微信信息的用户因为对我的信任盲目买入这个meme coin产生亏损，我觉得非常痛心，所以我个人将会拿出一些BNB，给在我微信被盗时间段内使用binance无私钥钱包及Alpha平台交易该meme coin绝对亏损用户进行空投，空投将会在24小时内发放完毕。
我本人、官方账号和币安员工不会推荐任何meme coin，这种内容并没有长期的生命力，代币也没有价格支撑，希望大家注意甄别网络信息，更希望大家能进行负责的投资行为，以后发生不会有类似的补贴发放哦。😞

[H.E. Justin Sun 👨‍🚀 🌞 @justinsuntron]

我打算与 @heyibinance 成立小分队，真正查出幕后黑手与实际原因并迅速开源，也为圈内社交媒体的安全做一些贡献！

[Cos(余弦)😶‍🌫️ @evilcos]

@_FORAB 之前谈过其中一种方式：
https://t.co/ahbeRGVDRu

[Cos(余弦)😶‍🌫️ @evilcos]

怎么防？手敲真的官方域名，被重定向到利用 Punycode 技巧的钓鱼域名。如图这个视频，感谢 @roffett_eth 提供。

比如：
plasma .to 变成 plasmą .to
balancer .fi 变成 bǎlancer .fi

这种同形攻击（Homograph Attack）其实肉眼仔细看绝大多数是可以看出的，但这个不是重点，重点是怎么污染用户浏览器历史记录的...

[T00ls | T00ls.com @T00lsCom]

喜乐中秋，花好月圆，T00ls㊗️大家2025中秋节快乐！🎆🎆🎆

[T00ls | T00ls.com @T00lsCom]

初创企业活下来不易，币圈诱惑利益巨大。坚守初心，Cos加油！

[Cos(余弦)😶‍🌫️ @evilcos]

技术营销的核心是首先你得懂技术，你他妈不懂，你营销个蛋？我流量大，不是只靠营销或谈点装逼技术，是我在帮许多人解决安全问题，不仅新手小白用户，许多新型手法及漏洞都是从这些奇怪场景里提炼出来。

如果非说有没有技术沉淀，眼不瞎的都可以看到我简介里有我的 GitHub 链接。但有一个最关键的，我如果只靠自己怎么可能，这么多年下来，我有个超强安全团队，越来越强，他们一个个在多细分领域都比我强，而我带领着他们战斗。怎么可能一个人就强于团队的所有人，那你开个毛线公司…

我不想对线吵架，不是我不敢，是我这吵架流量太大了，算了算了，你如果想赢，那你赢了。我呢，继续和团队战斗去了，一堆高优先级业务等着跟进🫡

[Cos(余弦)😶‍🌫️ @evilcos]

📓黑手册，个人安全必备：
https://t.co/e2pe4sqgQA
📕红手册，项目方安全必备：
https://t.co/dnhhaARBw5
📙追踪手册，链上侦探必备：
https://t.co/k3z1fKuBlV

😊Share with love:) @SlowMist_Team @MistTrack_io

[Cos(余弦)😶‍🌫️ @evilcos]

😶‍🌫️看看盗币脚本都喜欢从你电脑(Windows/
macOS/Linux等)里采集什么文件走：

const searchKey = [
"*.env*",
"*metamask*",
"*phantom*",
"*bitcoin*",
"*btc*",
"*Trust*",
"*phrase*",
"*secret*",
"*phase*",
"*credential",
"*profile*",
"*account*",
"*mnemonic*",
"*seed*",
"*recovery*",
"*backup*",
"*address*",
"*keypair*",
"*wallet*",
"*my*",
"*screenshot*",
"*.doc",
"*.docx",
"*.pdf",
"*.md",
"*.rtf",
"*.odt",
"*.xls",
"*.xlsx",
"*.txt",
"*.ini",
"*.secret",
"*.json",
"*.ts",
"*.js",
"*.csv",
];

除了这些，还有主流浏览器上流行的 25 个扩展钱包，你在用的大概率都在被采集范围里。

还有更多其它信息。

处处是陷阱，最好的防御就是不中招，不要运行你不了解的命令、程序…

[Justin Elze @HackingLZ]

"This repository contains the source code of CobaltStrike's Beacon, which is ready to use out of the box. I purchased this from China's Xianyu trading platform."

https://t.co/y69Z3J2yx8

[LeakIX @leak_ix]

sharepoint.payload.txt
https://t.co/CVZqxdfMEd

[kking @_r00tuser]

#CVE-2025-53833
挺直给的一个漏洞，直接官方demo即可快速复现，步骤见图1，和grok协同搞了个漏洞分析报告，见图2.
题外话，没看懂360这个复现。
https://t.co/biFhpnNPKe

[Anton @therceman]

Bug Bounty Cheat Sheet

File Upload Extension Splitting

[Cos(余弦)😶‍🌫️ @evilcos]

慢雾创始人此时一脸蒙蔽中…🤣

[T00ls | T00ls.com @T00lsCom]

T00ls祝大家端午安康、幸福吉祥💐💐💐🐉🐉🐉 https://t.co/CgX23SRai0