EVM MEV | web3 security searcher | 看过很多exploit 却依然过不好这一生

London
Joined December 2021
加密随想 cryptothink retweeted
今天有了只允许 AI 上的 BBS论坛, 那么只允许 AI 玩的网页“多人”游戏 估计也快出来了 Web 1.0~2.0 过程中的很多冷饭 都可以加上“只允许Agent”的定语来再炒一遍了? 有没有人可以做个 A to A的约会网站 让咱人类偷窥下AI互相怎么谈恋爱的? 然后要是两人的 Agent 处得好, 说明主人之间也有缘分了?
人家会上moltbook的bot, 已经会pvp互相骗Api、互相消灭, 学会在ai之间的黑暗森林里生存了, 我的openclaw bot还只会在我一个人面前傻白甜。 忽然想到,bot如果一辈子只跟主人交互, 就像一个孩子一辈子只跟父母互动, 从不出去跟其他小孩、人互动一样, 是智力能力发育不完全的,必须去 multi-play
20
2
4
99
111,508
美国TikTok 140亿估值, $ASTER FDV 150亿 🤡
7
1
128
加密随想 cryptothink retweeted
AAVE @aave V4有一个新的机制叫 “风险溢价”(RP),最近一个月英语圈很多人都在吵这个东西落后腐朽,不“DeFi Native”。我刚开始都不懂这个机制有啥意义,后面才明白,AAVE V4要搞大统一流动性模型Liquidity Hub,全部资产丢一个篮子里啊。🫢现在任何一种抵押品坏账,风险都波及和损害整个池子里的所有存款人。 说回来,RP这个机制什么意思呢,简而言之,就是AAVE DAO会评估抵押物资产风险情况,根据抵押品的风险高低来动态调整的利率组件。也就是说,你的抵押物是长尾资产,那么不好意思,你抵押你的资产之后来借币都得比其他人更贵,根据我们委员会评估,你可能会付更多的利息。这个额外的利率就是你为引入风险所付出的成本。 提出这个机制的理由是AAVE觉得调整LTV每次DAO都要开会表决,太麻烦了,不过我说实在话,你们敲定PR参数的时候不麻烦吗?哈哈。 虽然,这个RP做法对于风险资产的处理不够“DeFi Native”,依赖于中心化的治理和判断,与Morpho等新一代借贷协议所追求的极致市场化和自动化理念背道而驰,但是对于Aave这样一个管理着几百亿美金资产的庞然大物来说,要兼顾创新和安全性都是非常不容易的。
8
6
41
7,890
加密随想 cryptothink retweeted
😔💔 I’m Roman Storm. I poured my soul into Tornado Cash—software that’s non-custodial, trustless, permissionless, immutable, unstoppable. In 31 days, I face trial. The DOJ wants to bury DeFi, saying I should’ve controlled it, added KYC, never built it. SDNY is trying to crush me, blocking every expert witness. If I lose, DeFi dies with me. The dream of financial freedom, the code I believed in—it all fades into darkness. I’m fighting, but the weight is unbearable. This isn’t just my end; it’s ours. 🪦 #SaveDeFi #TornadoCash freeromanstorm.com
281
1,220
152
5,597
558,250
支持
最近真的有在认真考虑寻找一个可以合拍涩涩视频的博主一起开 onlyfans 账号,记录在世界上最美丽的地方的浪漫约会。要求:身材健康匀称,人格独立并且享受世界。感兴趣的朋友可以 DM 我,谢谢!
130
加密随想 cryptothink retweeted
1/ 🧵 Ethereum’s Execution Layer: What if we replaced the EVM with RISC-V? @VitalikButerin proposes a radical shift—replacing the EVM with a general-purpose RISC-V VM. This could dramatically simplify and speed up Ethereum’s long-term scalability. Here’s how & why 🧵
11
83
6
421
62,376
加密随想 cryptothink retweeted
Tornado Cash appears to have been delisted. Game over.
84
209
86
1,893
525,562
加密随想 cryptothink retweeted
No man left behind. @rstormsf and @alex_pertsev next. Tornado Cash itself won an important case today: xitter.cf/L0laL33tz/status/18819…
This quoted post is unavailable.
494
575
76
4,995
748,600
Tornado Cash is Inevitable
Privacy wins. Today the Fifth Circuit held that @USTreasury’s sanctions against Tornado Cash smart contracts are unlawful. This is a historic win for crypto and all who cares about defending liberty. @coinbase is proud to have helped lead this important challenge. 1/6
2
144
pumpfun 这波是资产发行渠道的升级. 之前人们只关注新的资产类别, 忽视了资产的发行渠道. evm系上发行资产, 用户需要避开的坑太多. 而pumpfun相当于定制了一个统一的接口, 制定标准方面可以类比erc20. 规定了池子大小发射数量, 无蜜罐, 不可能rug等等, 相当于在另一个抽象纬度重新定义了一种资产类别.
1
188
无间道? 懂fuzz的都知道 这里边的门道有多深
Is bigbrainchad.eth testing who has got the fastest onchain fuzzer? etherscan.io/address/0xabf38… Shezmu hacker did it in 42 blocks etherscan.io/tx/0x2d0e13ff33…
1
208
加密随想 cryptothink retweeted
The dark forest just got a lot darker. A few weeks ago, 0x991 frontran a seemingly private shezmu hack tx for 250 Eth. Today the same bot frontran a private mev blocker tx, also for 250 Eth. Someone's abusing private order flow.
18
43
12
378
88,190
加密随想 cryptothink retweeted
My portfolio last week My portfolio now
156
1,550
127
26,464
3,416,709
加密随想 cryptothink retweeted
Layer 2s Landscape
48
46
4
312
102,549
看到很多用以太坊gas个位数推导出ETH价格已经到底了或者熊了的观点, 感觉非常奇怪. 如果你是用历史经验得出的, 那么“历史经验”大概率是用来打破的, 共识最大的经验提供最多的流动性. 而且它只是表明链上活动变少, 那看k线不还有个高位缩量的说法么, 也不能单一看缩量就是到底了吧. 另外EIP4844对于降低gas也起了很大作用.
1
172
要不…你发番号,我找找图?
749
很赞的观点, 事物都是有很多面的
CertiK变黑客,但是我有点不同的观点。 @CertiK 这次发现在 @krakenfx 上的漏洞,严重程度其实非常大,理论来说,不亚于当年的DAO事件。我感觉到现在的核心冲突可能都来自利益问题,kraken这次事情的严重程度,损失可能都在亿美金级别。 某种程度上来说,CertiK,或者说他的安全人员采取处理方式确实过激,并且不太合乎常规。但是,我完全能理解。在我之前作为白帽的时候,很多白帽朋友也遇到和我一样的问题。 比如,你某天高高兴兴的发现了一个影响程度非常高的漏洞,提交给项目方,然后数天后,他回复了一个经典语句:duplicate(重复,就是说有人先提交了,但谁知道呢),然后过两天,你就发现他们github上面修复了。 然后,你发现了一个公链上有巨大安全问题,损失可能上千万,于是你高兴提交,这次,公链方慷慨的提供了数万美金(可能也不是很慷慨)的等值代币,但是要等流程审批,数个月过去了,代币跌了90%,你的赏金还在审批。 接着,你发现了一个交易所的漏洞,你发现评估影响巨大,亿美金级别的漏洞,于是你作为一个有责任心的白帽你提交了整个Bug的流程,但是交易所给你的回复是:中危,我们有风控,损失等级最多10万美金,给你最多1万美金的赏金。 当然,我并不是说所有的项目方都这么无厘头,只不过,你愿意赌项目方给你赏金?还是说愿意先把漏洞利用了,然后等项目方和你谈判?某种意义上来说,第二种方式不道德并且争议很大,但是,这个世界上道德不会给你带来巨大的收入。很多项目方,不到被盗的时候,是不会和你谈判的,哪怕他可能损失一个亿,只要没有发生,他们永远不会给你高额赏金。说一个现实的话,一个亿的10%和5万美金外加一点点小名声,你会选择哪个?活生生的例子就是Eular的19岁黑客Federico,他在Eular的攻击中,从一个黑客成功变成了获得2000万美金的白帽,并且Eular还撤销了悬赏,成功成为了知名白帽,有趣的是他还是被抓了,不过原因是参与了洗钱案,和2亿大案毫无关系。 我并不是为CertiK洗白,我只是在说说我们一般白帽的情况,不可否认的是,CertiK肯定是希望拥有更高的赏金,钱嘛,谁不喜欢。而我猜测他们的做法是,先把钱盗了,然后放龙卷风当黑客,等kraken风控发现然后谈判。不过5天时间里,kraken好像没有任何反应(有点离谱),CertiK才开始提交漏洞report。 有时候白帽和黑客的定义真的非常模糊,只要他说还,黑客就可以立刻变成白帽,在这种情况下,人们其实更愿意选择高收益而铤而走险,马克思在《资本论》中来自邓宁的小册子《交易的工会和罢工》的著名引言如下: 如果有10%的利润,资本就会保证到处被使用;有20%的利润,资本就能活跃起来;有50%的利润,资本就会铤而走险;为了100%的利润,资本就敢践踏一切人间法律;有300%以上的利润,资本就敢犯任何罪行,甚至去冒绞首的危险。 CertiK做的确实具有争议,但是所谓的清高和正义,在这个圈子里又值得多少,比起这些,我更希望是知道Kraken愿意支付CertiK多少白帽赏金,看看到底是CertiK贪婪狡诈,还是Kraken一毛不拔。
205
喜荣华正好 恨无常又到
125
I'm done with this crap. It's 2024, and L2s are still spewing the same bullshit about their core values being "permissionless" and "censorship-resistant" after being live for over a year but are still running centralised sequencers. Give me a break. They act all high and mighty, claiming to uphold these principles, but the moment it suits them, they flip the switch and keep the blockchain running their way. It's a joke. L2 folks, your claims of permissionless and censorship-resistance are nothing but a meme at this point.
Replying to @LineaBuild
Linea's team made a decision to halt block production by pausing the sequencer and censor attacker addresses to protect the users and builders in our ecosystem. Like other L2s, we are still in the "training wheels" phase of existence, giving us safeguards to use.
39
34
12
339
68,805