jdscarlett27

🚨 如果你剛才複製的入金地址不是真的，會怎麼樣？
我們以前看過這種手法
7 月時，Adform 廣告指令碼中的惡意程式碼會替換受影響網站上的加密貨幣地址
現在 SlowMist 回報，有類似程式碼被植入與 Udesk 客服系統相關的指令碼中
它可以替換畫面上顯示的入金地址和你複製的地址，同時也會暴露瀏覽器工作階段資料
SlowMist 已標記受影響網站，但公開報導目前尚未確認任何損失
入金前
👉透過另一個可信管道驗證地址
👉先轉一小筆測試
網站看起來熟悉，不代表在背後執行的程式碼就是安全的。就連客服聊天視窗現在也成了攻擊面的一部分
你以前看過這種替換地址的攻擊嗎？

七起安全事件
六個硬體錢包品牌
但最大的教訓並非哪個錢包遭到攻擊
而是即使買了專為保護加密資產而設計的裝置，仍然存在的風險
以下是串連這七起事件的共同點
🧵🧵🧵

🚨 發展中
你會願意用加密貨幣支付 $50M ，讓駭客離開嗎
攻擊者因 GMO 的 FX 雲端服務遭入侵而勒索，GMO Internet 拒絕支付
現在，據報一則未經證實、被歸因於攻擊者的訊息要求在明天日本時間中午前支付 $1M
威脅包括洩漏客戶資料、部署勒索軟體，以及持續在 70 多家券商進行未經授權的交易
入侵途徑很重要
交易者使用 GMO 的雲端桌面執行 MT4 和 MT5 工具
之後有些客戶回報出現自己從未進行的交易
GMO 已確認客戶資訊遭到竊取，並表示將賠償經查證的未經授權交易實際損失，另向每位現有客戶支付 ¥5,000
更重要的教訓
你的交易帳戶有多安全，取決於保存你登入憑證的系統有多安全
即使你的券商沒有遭入侵，你進行交易的裝置也可能成為安全弱點 🧘‍♂️

你會等多久才能拿回自己的 Bitcoin
Mt Gox 債權人自 2014 年起一直在等待
而等待時間剛剛又變長了
還款期限再次延後至 2027 年 10 月 31 日
這是第四次延長一年
與此同時 Arkham 仍顯示約有 3.4 萬 BTC 存放在 Mt Gox 錢包中
想想看
在崩潰超過 12 年後人們仍在等待取回自己過去存放在交易所的 Bitcoin
這是人們選擇儲存加密貨幣位置時容易忽略的部分
持有 Bitcoin 是一回事
擁有對它的控制權則是另一回事
如果交易所控制私鑰你的存取權就取決於該交易所
這個教訓一直沒有改變
👉 將長期持有的資產放在由你控制的錢包中
👉 只在交易所留下你需要交易的資產
👉 了解擁有資產與控制其存取權之間的差異
你的 Bitcoin 可以存在鏈上同時你等待數年才能取回它
不是你的私鑰就不是你的代幣 🧘‍♂️

早安，傳奇們 🧘‍♂️
想像一下，你自己的錢包應用程式警告你，有人剛剛在莫斯科同步了你的投資組合
你相信這則通知，因為它來自真正的應用程式
這正是 LIQUID 使用者週六晚上經歷的情況
以下是發生的事情
👉 攻擊者入侵了負責發送 NGRAVE LIQUID 推播通知的第三方服務
👉 這則警告是透過合法的應用程式傳送的
👉 該連結導向了 而不是
👉 點擊後會顯示倒數計時器和拒絕按鈕
👉 下一頁要求使用者輸入復原片語
鏈上追蹤者估計，約 6 小時內，來自 6 條鏈上的 84 個錢包共被竊取約 265 萬美元
NGRAVE 表示，只點擊連結但未輸入任何資訊的使用者是安全的
看看其中的模式
Ledger 涉及一台據報遭竄改的裝置
Qubic 涉及薄弱的種子生成機制
NGRAVE 涉及透過真實應用程式傳送的虛假安全警告
不同的攻擊手法
相同的目標
你的復原片語
以下是你應該做的事
👉 絕不要因為收到警告，就將復原片語輸入網站
👉 不要點擊通知中的連結，而是自行開啟官方應用程式或網站
👉 在信任網域之前，檢查其中的每個字元
👉 倒數計時器會製造緊迫感，但緊迫感不等於安全
👉 如果你曾在任何可疑的地方輸入復原片語，請立即將資金轉移到使用新片語的新錢包
最大的教訓是，即使是真實的應用程式，只要其通知系統的部分組件遭到入侵，也可能傳送惡意訊息
你的硬體錢包無法保護你免於裝

當 434 萬美元的損失沒有讓你停手，反而讓你押得更大時，會發生什麼事
一名 Hyperliquid 巨鯨正展示這個決定可能要付出多大的代價
👉 他的 ETH 多頭虧損約 108 萬美元
👉 他持有一筆約 $110M BTC 的多頭，並將止損設在 80,500 美元
👉 BTC 跌至 80,684 美元，僅比他的止損價高 184 美元，因此止損從未觸發
👉 他最終自行以 80,949 美元平倉，據報虧損約 326 萬美元
據鏈上分析師稱，這使他的損失總額約達 434 萬美元
但他沒有退一步
他在 Hyperliquid 上開立了約 $46M 的股票永續合約，包括 TSLA DRAM 和 SOXL
這些合約追蹤股票價格，但不會讓他擁有實際的股票
鏈上資料顯示，他僅使用約 264 萬美元的保證金，槓桿最高達 20 倍
據報他的 TSLA 多頭距離清算僅剩 1.5%
而 Tesla 將在週三市場收盤後公布財報
我們無法知道他的心裡正在想什麼
但這個模式看起來很熟悉
承受一筆重大損失
增加部位規模
試圖把損失全部賺回來
報復性交易就是這樣開始的
如果你剛剛承受了一筆重大損失
👉 今天剩下的時間關閉應用程式
👉 絕不要只為了挽回損失而增加部位規模
👉 在承擔更多曝險之前降低槓桿
👉 在建立另一個部位之前，寫下你進場的原因
市場不知道你損失了什麼
也不欠你把錢還回來

早安 傳奇們 🧘‍♂️
Blur 昨天宣布其前端將於 11 月 12 日關閉
合約仍會在鏈上運作 但大多數人用來存取它們的網站不會
Blend 也會在同一天停止撮合新貸款
借款人要麼在 11 月 12 日前還款 要麼面臨違約風險
用來從 Blend 提款的工具要到截止時間後才會推出
Blast 和 Abstract 在過去兩週也宣布了各自的關閉計畫
這是大多數人忽略的部分
我們研究入場 收益以及炒作
我們很少問當背後的應用程式消失後會發生什麼事
在任何地方存入資金前 先了解如何不透過網站退出
你的退出途徑也是風險管理的一部分

如果連硬體錢包都可能成為故障點，將加密貨幣安全地存放在哪裡？
據報導，近 $90M 的加密貨幣已從與透過一家轉售商購買的裝置相關聯的錢包中被轉走
Specter 追蹤到疑似超過 8600 萬美元的損失，但 Ledger 尚未確認總額
Lookonchain 報導，一名買家在將 80 BTC 存入從該轉售商購買的 Ledger 後損失了 80 BTC
Ledger 正在調查，並已要求該轉售商暫停銷售和出貨
原因尚未獲得確認，因此這並不能證明存在影響整個 Ledger 的漏洞
但這提醒我們，自主管理資產早在你收到錢包之前就已經開始
直接向製造商或可信賴的授權轉售商購買
絕不要使用已經替你設定好恢復短語的裝置
你的金鑰可能處於離線狀態
但你取得金鑰的方式也同樣重要 🧘‍♂️

你的錢包不需要與惡意合約互動也會被掏空
只需要其他人取得簽署權限
約 400 萬美元的迷因幣離開了某位交易者在 EVM 和 Solana 上的錢包
沒有共用合約
沒有授權提取
目前尚未確認根本原因
以下是鏈上路徑實際顯示的內容
🧵🧵🧵

早安，傳奇們 🧘‍♂️
Abstract 宣布將於 12 月 15 日關閉
Pudgy Penguins 自有的 L2，由 Igloo Inc 打造
18 個月的虧損，儘管生態系營收超過 $40M ，仍燒掉數千萬美元
400,000+ 名使用者、144+ 個應用程式，Disney 和 Red Bull Racing 都是品牌合作夥伴
這些都不夠
CEO 親口表示，他們始終未找到產品市場契合度
而這才是重要的部分
你可以擁有使用者、應用程式、大品牌，以及數億筆交易
但如果流動性不夠深，且業務無法自我維持，這些數字都不夠
還記得當時每個品牌都需要自己的鏈
區塊空間從來都不是護城河
使用者和流動性才是
大約 4700 萬美元–$48M 仍留在 Abstract 上，當時正值關閉公告發布
使用者現在必須在 12 月 15 日前，透過 Migration Hub 或原生橋移動資產
如果你在較小型的鏈上還有任何資產，今天就檢查你的退出途徑
趕截止期限的人總是姍姍來遲
而橋接在恐慌情況下難以擴展

大家一直引用同一個數字，來說明 AI 代理彼此使用加密貨幣付款
但這個數字掩蓋了其中的細節，而實際情況既沒有標題版本那麼嚴重，也比它更令人擔憂
🧵🧵🧵

早安 傳奇們 🧘‍♂️
每個週期都有人以 1 美元提供 10% 收益，而每個人都在問自己能賺多少
幾乎沒有人問收益從何而來
對於看著本國貨幣每月貶值的人來說，穩定幣的 10% 收益可能讓人感到安心
這正是問題重要的原因
如果你無法解釋是誰在支付你的收益
小心，你可能就是收益來源👀

如果你可以支付 AI API 費用，而付款不會告訴服務提供者你是誰👀
Open Anonymity Project 剛推出了一項與 Ethereum Foundation 共同打造的功能，將大家以為永久綁定的兩件事分開
你是誰，以及你支付的是什麼
它叫做 zkAPI，自昨天起已在主網上線
👉以下是它實際解決的問題
每次你支付按用量計費的 API、OpenAI、RPC 節點或任何按使用付費的服務時，最後都會有兩方知道一些他們不需要知道的事情
服務提供者會看到你的身分與每個請求綁定
付款處理商會確切知道你花了多少錢以及何時花費
雙方都不需要同時掌握這兩部分資訊，但如今他們仍會同時取得
👉以下是 zkAPI 如何打破這種連結
你只需將 ETH 或 USDC 存入以太坊上的金庫合約一次
從那之後，你的裝置會在工作階段開始前產生一個小型零知識證明，證明這筆支出由真實資金支應，且這些資金先前尚未被使用
該證明會傳送至 zkAPI 伺服器，不是你的身分，也不是你的錢包地址，而只是付款有效的加密確認
伺服器驗證證明後，會發放一組具備支出上限和到期時間的臨時 API 金鑰
提供好奇者了解的技術層：基於 BN254 的 Groth16 證明、用於承諾和無效標記的 Poseidon 雜湊，以及追蹤於 32 層深度 Merkle 樹中的存款
鏈本身只會看到存款、結算和提款，永遠不會知道你的資金去了哪

早安，傳奇們 🧘‍♂️
Uptober 似乎提早到來了
市場終於展現出一些強勢
現在就看看接下來這種勢頭能維持多久
因為迎來上漲日很容易
真正有趣的是能否維持這波走勢 👀