总安装量 11
评分人数 11
BYOCB ArbInjectionSkill 是一款专为区块链安全研究设计的智能合约审计工具，主要用于检测 EVM 链上智能合约中的任意调用注入漏洞。
核心用法
该工具通过后台持续监控或按需扫描两种方式工作。用户可通过 node index.js <chain> 启动实时监控，自动订阅新区块并扫描合约字节码中的危险 CALL/DELEGATECALL 模式；也可使用 node modules/scan-arbitrary-call.js 对特定合约地址进行手动安全审计。当检测到 CRITICAL 或 HIGH 级别漏洞时，系统会立即通过 Telegram、Discord 等渠道向用户发送警报。
显著优点
首先，该工具支持多链监控，覆盖 ETH、BSC、Base、Arbitrum 等主流 EVM 链，满足跨链安全研究需求。其次，内置了完善的误报识别机制，能够自动排除 EIP-1167 代理合约、硬编码 DELEGATECALL 等安全模式，减少无效警报。此外，工具提供结构化的报告输出（JSON 和 Markdown 格式），便于后续分析和存档。
潜在缺点与局限性
该工具存在明显的供应链安全风险，需要通过 git clone 和 npm install 从网络动态获取代码，且要求每日执行 git pull 更新，这意味着运行环境持续暴露于潜在的恶意代码注入风险中。同时，作为 T3 级别的社区项目，缺乏知名安全机构的技术背书和长期维护保障。此外，工具依赖外部 RPC 节点和可选的 Anthropic API Key，在网络不稳定或 API 限制时可能影响分析质量。
适合的目标群体
主要面向 Solidity 智能合约安全审计师、区块链安全研究员以及 DeFi 协议开发者。适用于教育机构的区块链安全课程教学，以及获得明确授权的白帽黑客进行合约漏洞研究。不建议缺乏容器化隔离环境配置能力的普通用户使用。
使用风险
使用该技能存在远程代码执行风险，下载的 Node.js 代码可能在主机环境执行任意操作。建议仅在 Docker 等隔离环境中运行，避免在生产系统或包含敏感密钥的环境中部署。由于依赖项未锁定版本，存在供应链攻击可能性。用户应手动审查每次代码更新，并配置最小权限原则，限制文件系统和网络访问范围。