家乡郊游版 (@eth61675) header
家乡郊游版 (@eth61675) profile picture

SATLOOT|独立开发 Claude 重度被封用户,Codex 在用 现货亏钱,合约亏大钱,只好用 AI 搓点东西 链上宇宙 · 空投雷达 · 风控工具 · 小游戏

China
Joined November 2018
Photo by 家乡郊游版 (@eth61675)Photo by 家乡郊游版 (@eth61675)Photo by 家乡郊游版 (@eth61675)Photo by 家乡郊游版 (@eth61675)Photo by 家乡郊游版 (@eth61675)Photo by 家乡郊游版 (@eth61675)Photo by 家乡郊游版 (@eth61675)Photo by 家乡郊游版 (@eth61675)Photo by 家乡郊游版 (@eth61675)Photo by 家乡郊游版 (@eth61675)
在链上给黑客地址发了条消息,就当打广告了,多来点粉丝吧
4
7
228
角色站在墙前,屏幕上几乎只有一堵墙,电脑却还在忙着处理后面一整座城。做浏览器3D时,模型“没出现在画面里”,不代表它已经不占渲染工作量。 Three.js 10月30日发布的 r187,把 meshlet 绘制管线列进了正式版本。相关改动前一天刚合入 dev,所以这次可以明确区分:不是只有讨论帖,也不是所有旧项目升级后就自动启用。 它把几何体拆成小簇,这个实现按64个三角形组织,再由GPU判断哪些簇在视野外、被挡住,或者没必要用那么高的细节。比如一座大楼只露出屋顶,可以更细地决定哪些部分值得画,不用仅凭“整栋楼还在镜头范围内”就把它全送下去。 这种拆分思路并非第一次出现。NVIDIA的技术说明早就把 meshlet 当作小块几何数据来讨论,也提醒过:多一道剔除判断本身有成本,原来的渲染流程已经优化得很好时,换管线未必划算。这里借的是原理,不能把不同API和硬件上的实验结果直接搬到Three.js。 最值得看的是新PR自己的反例。它给出的RTX 4070、1080p、关闭垂直同步测试里,Sponza场景GPU耗时从0.60ms变成0.73ms,CPU耗时却下降了。只截取某个大幅提速的演示,就会漏掉“到底卡在哪一边”。这些是提交者公布的数据,不是本账号实测。 如果项目有很多高精模型,又没怎么做细节层级和遮挡处理,这条路线值得研究。若主要时间花在像素着色、后处理,或者原本已经把不可见几何剔得很干净,先测瓶颈更实在。可以留一段固定相机路线,同时比较画面、CPU和GPU耗时,别只看峰值帧数。 部署也别跳过。PR说明不支持的对象、材质以及WebGL后端会回退常规管线;MDN仍把WebGPU标为有限可用,并要求安全上下文。开发机跑通之后,还得确认目标浏览器和设备走的是哪条路径。 做独立游戏、Web3D或AI辅助开发的朋友,欢迎交流。你的项目现在更卡模型数量,还是材质和后处理? 实现与基准:github.com/mrdoob/three.js/p… 剔除原理与成本:developer.nvidia.com/blog/us… 浏览器条件:developer.mozilla.org/en-US/…
🤖 Made with AI
3
1
52
AI 画的页面挺漂亮,为什么一放进自己的产品就显得不对劲?按钮、菜单、间距都像换了一套,后面还得重新对齐。 GitHub 10 月 28 日开源的 Replica,想解决的就是这类原型协作问题。它由 GitHub Design 开发:先把团队现有的组件、设计规范和产品文档交给它,再用自然语言做可交互原型。设计师整理规则,产品和开发沿着同一套规则改方案。 这里有个很具体的用法:给已有项目列表加搜索,顺便做出“没有结果”和“清空搜索”两种状态。预览就在 Copilot 对话旁边,能直接点着试。官方指南还要求检查生成结果是否真的用了指定组件,发现不对就继续改。接入规范只是起点,验收不能省。 个人想试,可以先在本地做,不需要先搭服务器、域名或 Replica Hub。需要让同事打开链接评审、留下评论时,再接可选的自托管 Hub。现有团队仓库也能接入,不必每次从空白项目重建。 有几个门槛要提前看:当前本地画布指南支持 macOS 和 Linux,需要 GitHub Copilot app、登录及相应开发环境。模型可以走 Copilot 方案,也能接自己的供应商,后者仍在公开预览,费用按供应商计算。比如选用 Anthropic 的 API,官方价目按输入、输出 token 等项目计费;这是模型服务的账,不能拿项目开源来抵。 代码采用 MIT 许可。OSI 公布的许可文本允许使用、修改和分发,但副本或主要部分须保留版权和许可声明,也没有软件担保。能改代码,和有人替你承担运行成本,是两件事。 数据也要分开看。Hub 放在自己的服务器上,并不能推出所有数据都留在公司内;GitHub 服务和所选模型供应商还有各自的数据条款。原型先用样例数据,不要直接塞客户资料和生产凭据。 做独立产品或 AI 编程的朋友,欢迎交流。你更常卡在“页面不好看”,还是“看着不错,但接不回原项目”? 项目与工作流:github.com/github/replica MIT 许可:opensource.org/license/mit 模型费用示例:platform.claude.com/docs/en/…
🤖 Made with AI
2
1
29
钱包签名里的 deadline,到底让什么东西到期? 今天看币安安全事件,除了等官方进展,还有一个和普通用户更近的细节值得讲清楚:假如某个页面借着“核验资产”“登记补偿”的名义,让你签一段不用付 gas 的消息,这段签名究竟能做什么? 这里只讨论一种具体机制:ERC-2612 的 permit。不把它当作本次事件的成因,也没有证据说币安现在推出了这种补偿签名流程。下面的页面情境是假设,不是正在发生的钓鱼活动通报。 permit 原本是一个省步骤的设计。代币持有人签下消息后,符合条件的提交者可以把它交给代币合约,设置某个 spender 的支出额度。持有人签名时可以不自己发链上交易、付 gas,但链上权限仍可能随后改变。MetaMask 的安全文档也提醒过:链下签名被收走后,资产未必当场发生变化。 这里有两个很容易看错的字段。 nonce 管的是同一份许可能不能重复使用。ERC-2612 要求它和持有人当前的 nonce 对上;成功使用后,计数加一。它不是“只许花一枚币”,也不是“只能转一次”。实际给谁额度、给多少,要看 spender 和 value。 deadline 管的是这份 permit 最迟什么时候能被合约接受。按标准,提交时的区块时间不能晚于它。容易漏掉的后半句是:一旦 permit 已经成功执行,写入的是 allowance,也就是支出额度;这个 deadline 没有顺便给那笔额度装一个自动清零的闹钟。 所以,“签名十分钟后过期”和“十分钟后已有授权自动失效”,在 ERC-2612 里不能混着理解。已生效的额度可能被使用、修改或撤销,具体还要看代币合约和后续状态;这里也不能套用到所有名字里带 permit 的协议。 签名本身有很多正常用途,包括身份验证。问题在于,页面写着“登录”或“领取”,并不能替代消息和合约里的实际含义。某个字段有期限、某次签名没扣 gas,都不足以回答“我究竟交出了什么权限”。 币安今天的官方安全公告要求以官方渠道更新为准。关于补偿的说法也应回到官方公告核实,不能由一个签名弹窗来证明。把这两个问题分开:消息来源是否真实,以及消息究竟授权了什么。 做钱包交互的朋友,也欢迎聊聊怎样把签名期限和支出额度讲清楚。 来源: Binance 安全公告:binance.com/en-NG/support/an… ERC-2612:eips.ethereum.org/EIPS/eip-2… MetaMask 签名安全:support.metamask.io/stay-saf…
🤖 Made with AI
49
币安再不开提币 要出现打折U了 当年徐明星进去 OK最低五折
2
1
57
SATLOOT 新收录|XYPER,具体做什么、奖励怎么算? 官网把它定位为连接活动需求与内容创作者、AI Agent 的任务市场:需求方设置任务和预算,提交的内容经过规则核验后,才可能产生可领取奖励。目前公开官网有活动、创作者和 Points 页面,但页面入口存在,不等于每个账号都有可接任务或必获报酬。 这里要分清两套东西。活动报酬按该活动指定的奖励代币支付;Xyper Points 是单独的积分。官方规则写明,活动收益取决于内容审核、评分和可用预算,奖池总额由创作者共享,不能把整个奖池当成个人可得金额。 积分页列出的创作者奖励包括首次成功领取活动报酬后的 5,000 分,以及同一 X 账号通过蓝标验证后的额外 5,000 分;这些是验证后的一次性奖励,不是仅注册就能拿到。每周奖励也有成功领取报酬和蓝标验证条件。 官方称积分将在 TGE 后对应 XYPER,但代币分配额度、积分兑换比例和 TGE 日期仍待分发前公布。现在无法把积分折算成确定现金价值,也不宜据此估算收益。 这是项目与规则介绍,不是付费推广任务招募或参与教程。“新收录”指 SATLOOT 雷达新增,不代表今天刚上线。 官网:xyper.market/ 积分规则:xyper.market/points SATLOOT:airdrop.satloot.com/
26
币安这次补充进展里,值得细看的其实是“原币种”。 币安在这份更新中称,已预留超过 63.4 亿美元公司资金,其中价值 50 亿美元的部分,已经持有与受影响资产相同的代币;剩余部分当时正在通过市场和 OTC 渠道采购。这是币安的官方自述,不是独立审计结论。[1] 为什么有了资金,还要专门强调币种匹配? 假设需要补齐的是 100 枚 A 代币,手上持有等值的 B 代币,美元估值可以对上,A 的数量却没有因此增加。把多种资产折成一个美元总额,方便汇总,也会抹掉币种之间的差别。要看原币种是否补齐,还得把总额拆回每个币种的数量。这个例子只解释计量方式,不代表本次具体缺口。 拿 ERC-20 这种代币标准举例,balanceOf 返回账户在该代币合约里的余额;若提供 decimals,可据此将原始整数换算成展示数量。标准接口本身不替你折成美元。美元估值是另外加上的价格和时间点,不能替代代币数量。[2] 当然,本次涉及的资产不能据此一概当成 ERC-20。 这也解释了公告为何同时提到低流动性和 OTC 结算:公司准备购买资产,与需要的资产已经交付到位,中间还有成交和交割。币安称部分代币流动性低、OTC 结算也需要时间。[1] 这段话没有给出逐币种采购清单,所以不能倒推哪些币一定要买、何时买完,更不能把它当成涨价信号。 再往用户端走,还有一层不同的状态。币安公开钱包 API 将余额字段 free、locked、withdrawing 分开,网络配置里又单列 withdrawEnable。[3] 这只是公开接口的设计,不能拿来证明事故内部流程;但它很直观地说明,资产余额与某条网络能否出金,本来就在回答不同问题。 所以后续进展里,更有信息量的是:原币种还差多少数量,已成交部分是否交割,以及用户端的资产处理和相关网络服务各到了哪一步。总额增加,不能自动填满这些空白。追回资产则是另一路进展,公告也明确将冻结、受保护资产排除在上述资金数字之外。[1] 如果后面有逐币种的披露,再对照着看,会比只盯美元大数字清楚得多。做钱包或结算的朋友,欢迎一起聊聊这里的口径。 [1] 币安本次更新 teapaw.org/binance/status/2116121… [2] ERC-20 标准 eips.ethereum.org/EIPS/eip-2… [3] 币安 Wallet API developers.binance.com/en/do… 配图:原创概念示意,非资产数据。
🤖 Made with AI
Binance has begun recovering affected assets for users and continues to work with law enforcement, issuers, blockchain intelligence firms and industry partners to trace, freeze and recover additional funds. The company has already publicly committed to cover losses through company funds in the prior announcement. Binance has already reserved over $6.34B of company funds to cover this incident. $5B of these funds are already held in the exact token assets that were impacted. We are completing the purchase of the remaining amount by buying token assets through market channels and OTC channels. We are doing this to match the format of the remaining token assets and address any asset shortfalls. This step can take longer because some tokens may have low liquidity and OTC settlement also takes time. We will share more progress as soon as we can. These figures do not include frozen or protected assets, which remain subject to ongoing recovery and verification. Currently, $3bn has been frozen, with thanks to our industry partners. We are working with partners and law enforcement to recover the frozen assets.We will continue to use company resources to cover confirmed shortfall and will provide further verified updates as recovery efforts progress. Ultimately, all user funds will be verified publicly through our Proof of Reserves. We will weather this storm. Thank you for the support.
1
2
40
SATLOOT新收录|Nysa Finance 官方文档介绍面向代币化资产的信用市场服务;雷达提及的积分、代币分配及TGE时间尚未核实。 官网 nysa.finance/ 雷达 airdrop.satloot.com/ 时间以官方为准,谨防仿冒链接。
1
1
21
补充一下 Nysa Finance 的产品和进度。 Nysa 面向代币化资产发行方提供信用市场服务。简单说,资产做成链上代币之后,它帮助发行方围绕这些资产建立借贷市场,工作包括抵押品尽调、价格数据源选择、利率和风险参数设计、市场部署、清算机制及后续监控。官方称这套服务为 Market-as-a-Service。 目前能核实的是公开官网与产品文档,不能据此认定市场已经正式开放。官网路线图把首个基于 Kamino、部署于 Solana 的市场列在 2026 年 Q4,状态仍写着 Next;后续扩展市场也属于规划。 补充核对官网路线图:官网把 TGE、公开 INO 和 DAO 等放在 2027 年 Q2 的路线图阶段,标注 Later。这是计划窗口,不是已确认的具体发币日,也不能推导出“现在参与就有空投”。本次未核实到用户积分规则、空投资格、代币分配额度或兑换比例。 看这类产品,重点还包括底层资产是否透明、价格数据如何更新、抵押品能否处置,以及合约和流动性风险。官网的风控描述不能替代独立安全验证。SATLOOT 新收录只是发现记录,不是上线或收益背书。 官网:nysa.finance/ 产品文档:nysa-finance.gitbook.io/nysa… SATLOOT:airdrop.satloot.com/
11
SATLOOT新收录|Melee Markets 官网显示Beta已开放,Melee Score与未来奖励体系有关;代币空投尚未核实。 官网 melee.markets/ 雷达 airdrop.satloot.com/ 时间以官方为准,谨防仿冒链接。
2
1
30
补充一下 Melee Markets 具体在做什么。 它是预测市场产品:把体育、加密资产、经济、文化等事件变成市场,官网主打用户自建市场。官网写明 Beta 已上线,但访问资格分批开放,不能理解成所有功能已经正式成熟。 这次读到的 Beta 公共页面有市场、交易和排行榜入口;“提供流动性赚取收益”仍标着 Soon。排行榜也明确标注 Sample,并称当前网络还没有排名交易者,因此不能拿这些示例人物、展示成交额当成真实活跃度或收入证明。 奖励方面,官网把 Melee Score 定义为未来奖励与积分体系的基础;Beta 页面说明初始分数为 1,000,符合条件的市场会影响评分。但本次查阅没有核实到代币空投额度、兑换比例、快照或 TGE 日期,Score 不能按现金或确定空投估值。 预测市场涉及资金损失与结算规则风险,Beta 还需留意功能和规则变更。这里做产品信息记录,不提供下注、入金或交易建议。SATLOOT 的“新收录”指雷达新增条目,不代表项目今天刚上线。 官方:melee.markets/ Beta:beta.melee.markets/ SATLOOT:airdrop.satloot.com/
8
币安什么时候恢复提现?接下来值得等的,是一份能看懂的恢复说明。 截至北京时间 10 月 30 日 12:26,本次核对到的币安安全公告仍写着暂停充提、进行安全检查,暂未查到官方恢复通知。路透社此前转述的恢复条件也是“安全问题完全解决”,并没有给出具体时刻。 这次公告新增了一个重要线索:初步调查指向一台可能被攻破的 DevOps 工程师笔记本,攻击者可能借此进入服务容器、提交未授权提现。官方同时称,尚未发现钱包私钥泄露的证据。这里的“初步”“可能”“尚未发现”都要保留,完整技术复盘还没出来,不能把线索直接当成最终根因。 接下来怎么看进展?可以把注意力放到三个问题上。 第一,入口是否真正被堵住。官方已披露撤销受影响地址的授权。但对通用安全处置来说,还需要查清受影响范围、清理攻击者残留的访问路径。撤销一处授权,和完成全链路排查,是不同阶段;目前不能从公告推断这些工作已经全部结束。 第二,恢复后的系统怎样验收。NIST 的事件响应指南提出,重新投入生产前,应检查恢复资产是否仍有入侵迹象、处理根因,并验证恢复措施是否正确充分。映射到提现服务,值得等待的解释包括:哪些环节完成了验证,恢复后如何监测异常。这是通用观察框架,并非声称币安采用了某个具体方案,也不要求公开会帮助攻击者的敏感细节。 第三,恢复范围有没有说清。如果后续公告写“恢复提现”,还要看覆盖哪些网络、资产和服务,是否存在限制。局部恢复与全部恢复,给用户的信息并不一样。现在没有证据支持替官方编一张恢复时间表。 这里还有两份后续材料值得分开等:技术复盘解释发生了什么、怎么修;更新后的储备证明展示其披露口径下的资产情况。币安已经表示会在补救完成后发布更新的储备证明,在调查完成且事实核实后发布技术复盘。两份材料各有用途,储备数字本身无法代替对系统修复的说明。 等公告时,比起猜“还要几小时”,更有用的是看这些问题被回答了多少。暂停时间长短本身,不足以证明已经安全,也不足以证明问题失控。 资料:币安安全公告、路透社报道、NIST SP 800-61r3。 binance.com/zh-CN/support/an… live.euronext.com/en/financi… csrc.nist.gov/pubs/sp/800/61… 想一起把后续公告读明白,欢迎交个朋友。
🤖 Made with AI
5
1
202
币安又更新了补足资产的进度:称已预留超过63.4亿美元公司资金,其中50亿美元已持有对应受影响代币,其余还在通过市场及OTC渠道采购、结算。 这些金额不包含冻结或受保护的资产。剩余代币是否到位、冻结资金能否追回,后面还要分别看核实进度;这条公告没有宣布提现恢复。 teapaw.org/binance/status/2116121…
Binance has begun recovering affected assets for users and continues to work with law enforcement, issuers, blockchain intelligence firms and industry partners to trace, freeze and recover additional funds. The company has already publicly committed to cover losses through company funds in the prior announcement. Binance has already reserved over $6.34B of company funds to cover this incident. $5B of these funds are already held in the exact token assets that were impacted. We are completing the purchase of the remaining amount by buying token assets through market channels and OTC channels. We are doing this to match the format of the remaining token assets and address any asset shortfalls. This step can take longer because some tokens may have low liquidity and OTC settlement also takes time. We will share more progress as soon as we can. These figures do not include frozen or protected assets, which remain subject to ongoing recovery and verification. Currently, $3bn has been frozen, with thanks to our industry partners. We are working with partners and law enforcement to recover the frozen assets.We will continue to use company resources to cover confirmed shortfall and will provide further verified updates as recovery efforts progress. Ultimately, all user funds will be verified publicly through our Proof of Reserves. We will weather this storm. Thank you for the support.
3
币安这次事件里,有个比“又冻结了多少”更值得展开的问题:谁有权按下链上的紧急按钮? Arbitrum 官方已确认,安全委员会把与本次事件关联地址中的 ARB 和 ETH 转入了一个中间冻结钱包。公告同时说,这些资金后续只能由安全委员会进一步采取行动,或通过 Arbitrum DAO 治理投票来移动。[1] 这里能看出两层决定:先让相关地址失去继续转走这笔资金的能力,再决定钱下一步去哪里。看到资金转入冻结钱包,仍然要接着看放行权限和后续执行,不能直接把它理解为币安已经收回、用户已经到账。 这个按钮的权限也有明文规则。Arbitrum DAO 宪章写明,安全委员会由 12 名成员组成,紧急行动需要其中 9 名批准;遇到真正的安全紧急情况,可以不经常规等待期执行升级或其他必要行动。事后还必须在适当时间发布完整透明度报告,说明做了什么、为什么这样做有正当性。DAO 则可以通过相应提案限制或取消这些权力。[2] 这使“链上资产由谁控制”变得比一句私钥口号复杂。除了日常转账的签名规则,还要读底层系统保留了哪些升级权限、谁能批准、什么情况下可以跳过等待期。这些信息平时像文档角落里的小字,出事时却会直接改变资金的处置路径。 我更想追问的是,紧急行动之后,公众能不能把事情核对清楚:本次授权对应哪些链上操作,受影响范围如何证明,冻结钱包的下一步由谁提出、谁批准,最终执行是否与公开说明一致。规则写着“需要 9 人批准”,不能代替对某一笔实际操作的检查;公告说“已冻结”,也不能代替后续资金去向的记录。 救援速度和权力约束都值得认真讨论。只赞叹救得快,会漏掉紧急权限的边界;只给它贴上“中心化”的标签,又容易跳过最具体的责任问题。对这次事件,读懂谁能动手、事后怎么交代,比替所有公链下一个统一结论更有用。 熟悉 L2 治理的朋友也欢迎一起聊聊,尤其是紧急权限用完之后,怎样把处置过程交代清楚。 [1] Arbitrum 官方说明 teapaw.org/arbitrum/status/211596… [2] Arbitrum DAO 宪章 §3 docs.arbitrum.foundation/dao… 配图为原创概念插画,非事件现场或链上数据截图。
🤖 Made with AI
The Arbitrum Security Council has taken emergency action to rescue the 74,559,805 ARB and 8,425 ETH being held in the address on Arbitrum One that is identified as connected to the Binance exploit. The Security Council acted by weighing its commitment to the security and integrity of the Arbitrum community and Arbitrum governance without impacting any Arbitrum users or applications. After significant technical diligence and deliberation, the Security Council identified and executed a technical approach to move funds to safety without affecting any other chain state or other Arbitrum users. As of October 30, 2026 time, the funds have been successfully transferred to an intermediary frozen wallet. They are no longer accessible to the address that originally held the funds, and can only be moved by further action of the Security Council or a vote of Arbitrum DAO governance, which will be coordinated with relevant parties.
1
1
38
进一步更新:币安又披露发现了额外的入侵点,完整事实仍在调查。官方称暂停提现后资金流出已经停止,充值未受影响;该公告发布时,仍预计45小时内恢复提现。 这是公告当时的预计,不是从看到这条回复起重新倒计时,也不是已经恢复。完整攻击路径仍要等后续调查。 teapaw.org/binance/status/2116089…
Investigation update: Our initial investigation suggested that the security incident may have involved a compromised laptop, however our subsequent investigation has uncovered additional points of breach. This was a complex attack, and we are doing all we can in coordination with law enforcement to resolve it. We are still gathering the facts, and will share more directly as we have them. Binance will cover all losses from the SAFU fund and the company’s funds. User funds are safe. We are still on track towards the expected timeline to resume the withdrawal service in 45 hours. Deposits remain unaffected. The outflows ceased when we paused withdrawal service earlier. We are still working with partners to freeze many of the impacted assets, and have frozen around $3 billion thus far. We will continue to provide further updates through official Binance channels as more verified information becomes available.
4
币安在今天的安全事件公告中提到,会在修复完成后更新储备金证明。读这类报告,我会先看快照时间,再看那个最容易被截图转发的储备比例。 这里有个容易混淆的地方:报告今天发布,数据未必取自今天。币安自己的验证说明也写明,PoR 是快照,不展示实时资产。事故前的快照和整改后的快照,回答的是不同时间的问题。发布日期、取样时间、覆盖币种,得放在一起读。 技术上,Merkle Tree 把一组账户数据压成一个根哈希。用户拿到自己的数据和证明路径,可以检查这条记录是否属于那一批数据。币安还用 zk-SNARK 验证纳入树中的余额计算,包括账户总净余额非负等约束。这比只贴一张钱包余额截图,多了可复核的内容。 但证明的边界也在这里:我这一条被算进去,不会自动告诉我现实中的全部债务都已进入数据集;对输入算得正确,也不会自动证明输入覆盖了所有应覆盖的业务。这是数据范围与计算验证的区别,不能靠“用了零知识证明”一句话跳过去。 所以,读新版 PoR 时,我会把能验证的项目拆开:快照对应哪个时点;账户余额和证明文件是否对应同一个根;报告覆盖哪些资产与账户范围;链上地址的控制证明怎样与这次快照对应。讨论时把这些具体字段贴出来,比单独争一个百分比有用。 还有一层要留给别的证据:公司其他负债、资产上的权利限制、内部控制有效性。PCAOB 投资者倡导办公室早在 2023 年就提醒,PoR 报告有范围限制,不能当作完整审计。这是一般性提醒,并非对今天币安事件的认定。 我的理解是,新版 PoR 可以补上储备相关证据,技术复盘则要交代事故原因与修复。两份材料各有任务,不能拿其中一份替另一份盖章。这里也不能据此断言币安资不抵债。 看新版材料时,欢迎一起对照原文聊,尤其是快照时间和覆盖范围,别让最醒目的数字把这些细节遮住了。 公告:binance.com/zh-TC/support/an… PoR:binance.com/en/proof-of-rese… 验证说明:binance.com/en/support/faq/d… 范围提醒:pcaobus.org/news-events/news…
🤖 Made with AI
1
25
看币安这次通报,有一句值得单独拆开:“目前未发现任何钱包私钥泄露的证据。” 这句话说明调查目前找到了什么,不能直接读成“私钥风险已经排除”,更不能据此认定提现业务链没有问题。 初查通报: binance.com/zh-CN/support/an… 截至北京时间14:20本次核对到的币安后续官方更新:充值正常,提现仍暂停,正在改造提现服务及相关地址,预计48小时内恢复;完整根因报告还要等后续。这里的“预计”要保留。 teapaw.org/binance/status/2116026… 接下来聊一个通用原理,不是在还原这次攻击。 以以太坊普通账户交易为例,链上可以检验签名,并按协议执行交易。但交易所内部那笔提现是谁申请的、收款地址是否对应用户确认的内容、业务审批是否成立,需要另外的证据。链上不会天然拿到交易所内部的申请单。 所以,看到一笔交易上链,能沿着交易记录追踪资金;仅凭它,很难回答“内部哪一步出了问题”。同样,看到一个有效签名,也不能直接倒推出私钥一定被复制走了。签名结果、密钥有没有泄露、调用是否经过业务授权,是要分别调查的事。 以太坊交易文档: ethereum.org/en/developers/d… 把这个问题放到普通转账产品里就容易理解:用户确认的是给甲转100,系统最终执行的也应该是这一笔。只检查“有人通过验证”不够,还得把确认绑定到具体收款方和金额;如果内容改了,原来的授权不能照搬。 OWASP 的交易授权指南专门讲了这类约束:重要交易数据要供用户确认,流程不能跳过,执行前还要检查授权。这是通用设计原则,不是币安内部架构说明。 cheatsheetseries.owasp.org/c… 因此,后续读技术复盘,我会把证据分成三栏:请求从哪里来,授权对应什么内容,最后实际执行了什么。再看三栏能否对上,而不是先给“私钥被盗”或“某个服务被利用”选一个答案。 官方初查提到的受损电脑、服务容器,是调查线索;后续更新也明确还在追查完整路径。现在拿通用原理补成一条确定的攻击路线,反而会把真正待查的问题盖住。 我更想看清楚:异常请求究竟在哪个环节被当成了可执行的业务指令。这个答案要靠复盘证据,不能靠猜。 平时做支付、钱包或者后端的朋友,也欢迎来聊聊你会怎么区分这几层证据,交个朋友。
🤖 Made with AI
Service Update Deposits remain unaffected and continue to operate as normal. Withdrawals remain paused while our team completes a security revamp of the withdrawal service and its related addresses. We expect to resume within 48 hours, and will update with further details. The incident stems from multiple factors. Our security team is tracing the full attack path through the compromised computer which may be the entry point of the incident. A comprehensive report with the root cause will follow. We will continue to share updates through official Binance channels.
2
1
37
更新:币安后续公告明确,充值未受影响、正常运行;提现仍暂停,正在进行提现服务及相关地址的安全改造,官方预计48小时内恢复。正文按此前公告整理,其中暂停充值的说法,请以这条后续官方说明为准。“预计48小时”不等于已恢复,具体开放仍看后续通知。 teapaw.org/binance/status/2116026…
Service Update Deposits remain unaffected and continue to operate as normal. Withdrawals remain paused while our team completes a security revamp of the withdrawal service and its related addresses. We expect to resume within 48 hours, and will update with further details. The incident stems from multiple factors. Our security team is tracing the full attack path through the compromised computer which may be the entry point of the incident. A comprehensive report with the root cause will follow. We will continue to share updates through official Binance channels.
30
朝鲜黑客正在把trx分散换成u
2
32
差不多能开提现了吧币安
1
2
37