etherhiding-tracker: Detect and track EtherHiding malware infrastructure on the Polygon blockchain（etherhiding-tracker：检测并追踪 Polygon 上的 EtherHiding 恶意软件基础设施）

📅 2026-10-13 | 🏷️ Web3 & Crypto | ⭐ ⭐2（7天·早期项目）| 💻 Python
🔗 原文：https://github.com/luffytaro98uk-png/etherhiding-tracker

是什么

etherhiding-tracker 是一个早期开源安全工具（Python，2 星），用于检测和追踪部署在 Polygon 区块链上的 EtherHiding 恶意软件基础设施。EtherHiding 是安全厂商公开披露过的攻击技术：攻击者把恶意代码/控制指令（C2 载荷）写进智能合约，利用区块链「永久、匿名、高可用」的特性来分发恶意软件——本项目把这类基础设施变成可被监测和追踪的对象。

🔍 小白解读

先说几个词

• C2（命令与控制）：恶意软件的「遥控频道」——中毒机器通过它接收指令、回传数据。安全对抗的核心之一就是找到并掐断 C2。
• EtherHiding：把 C2 内容藏进区块链智能合约的技术，2023 年起被微软等安全厂商公开披露（与朝鲜背景组织的攻击活动相关，属公认披露信息）。区块链的特点（不可篡改、无需实名、永远在线）恰好符合攻击者对「打不掉的存储」的需求。
• Polygon：以太坊生态的高吞吐侧链，交易便宜，也因此成为滥用技术偏爱的落地链之一。
• 威胁情报（Threat Intelligence）：关于「谁在攻击、用什么基础设施」的可机读知识，安全团队拿它做封禁、预警和溯源。
• 链上取证：用区块链公开透明的特性做逆向调查——任何人都能查账，攻击者的「匿名」在数据分析面前其实是打折的。

这篇到底在说什么

打个比方：攻击者发现区块链是个「谁也拆不掉的公告栏」，就把恶意软件的「遥控指令」贴在上面，警方（安全厂商）删帖删不掉、追人追不到。etherhiding-tracker 做的事，是安排一个机器人 7×24 小时盯着这个公告栏：自动发现可疑帖子（恶意合约）、记录贴主（部署地址）、并整理成可查询的档案库。这代表了链上安全的一个细分方向——「把区块链的透明性反过来变成防御武器」：攻击者利用公开链，防御者同样可以利用公开链做监测。2 星说明它极早期、覆盖面和可靠性未知，但问题方向真实且有公开披露的威胁案例支撑。工具的具体检测方法与数据覆盖，以仓库文档为准。

这跟普通人有什么关系

普通用户不需要直接使用这类工具，但它是你安全防护体系的一条隐形防线：杀毒软件、浏览器安全提示背后的威胁情报，正越来越多来自这类自动化监测。链上用户则多了一层认知：恶意内容也可能藏在区块链上，别以为「链上的都是干净的」。

为什么值得架构师关注

两个视角。安全架构视角：EtherHiding 代表「C2 基础设施上链」的滥用趋势——传统封 IP、封域名的对抗手段对区块链存储完全失效，企业安全团队（尤其有 Web3 业务的）应把「链上威胁情报源」纳入防御体系，这类开源追踪器是低成本起步点；同时提醒运维：出站流量策略需要覆盖与 RPC 节点的异常通信。Web3 架构视角：合约平台治理方可以把「恶意合约识别」作为风控能力建设的一部分，本项目展示了「监测-归档-共享」的基本闭环。风险提示：2 星极早期项目，误报率、数据时效性未经验证，情报消费需交叉验证后再行动。

核心内容

• 仓库 luffytaro98uk-png/etherhiding-tracker，Python，2026-10-13 创建，7 天窗口 2 星（极早期）。
• 功能定位：检测并追踪部署在 Polygon 上的 EtherHiding 恶意基础设施。
• 威胁背景（公开披露）：攻击者将恶意 C2 载荷存储于区块链智能合约，规避传统封禁手段。
• 价值方向：把链上透明性转化为防御端的持续监测能力，属于链上威胁情报的细分新工具。

行动建议

安全团队可评估试用：在隔离环境跑通其检测流程，将产出情报与自有威胁源交叉验证误报率后，再决定是否接入 SOC 流程；Web3 平台团队可借鉴其监测思路自建风控。项目极早期，未经验证前情报仅作参考、不可作为封禁依据。