futurakey

凌晨四点二十八分，Symbiosis 的桥被打了。

不是偷，是造。攻击者往一个新账户里铸了 2 的 62 次方枚 syBTC，面值 461 亿美元。

461 亿。这个数字大到我已经没有概念了。我能理解三十三万刀，理解三亿，但四百六十一亿，感觉像看科幻片的字幕。

实际套现的只有 4.39 枚 WBTC，33.6 万美元。有人可能觉得：那还好了，损失不大。但我不这么看。真正让我毛骨悚然的不是「亏了多少」，是「造了多少」。想象一下你家的保险柜，有人没撬锁、没对密码，直接打印了几张你家银行存单，面额 461 亿。最后他只兑出来 33 万。你怕的是那 33 万吗？你怕的是「打印存单」这件事本身。

这件事最恐怖的从来不是数字。是流程：造出来 → 下游全认 → 换走真钱。三个环节没有一个卡住。

这个月已经第三起了。Liquid、Nomic、Symbiosis，同一套剧本，演了三遍。

谁教的？

#Symbiosis #BTC #Web3 #链上安全 #FuturaKey

看到摩根士丹利连续三天增持 BTC 到 7855 枚的消息，又看到 Symbiosis 桥被打穿的消息，我突然觉得这个市场特别分裂。

一边是华尔街在三天里安静地加仓，一边是链上项目凌晨四点被人铸了 461 亿面值的假币。同一个行业，两种活法，两种风险。

散户看的是价格，机构看的是仓位管理，黑客看的是你的流程漏洞。大家都在这个市场里，但玩的根本不是同一个游戏。

我有时候会想，等这轮洗牌结束，留下来的是什么？肯定不是靠讲故事融资的桥，也不是凌晨四点被打穿的项目。留下来的，是那些把最无聊的事做到极致的人——验货、监控、审计、风控，每一样都无聊，每一样都保命。

摩根士丹利加仓不稀奇，稀奇的是它连着加三天还公开了。这个信号比行情值得琢磨：有人在这个位置，用真金白银投了「长期」一票。

FOMC 就在前面，热闹是短期的，账是长期的。

#BTC #机构 #Web3 #链上安全 #FuturaKey

一个月，三起异常铸币。Liquid、Nomic、Symbiosis。

有人把这叫「巧合」，我不信。三起事件是同一套剧本：铸币逻辑有洞 → 凭空造币 → 下游流程正常放行 → 换走真金白银。连漏洞的位置都差不多——没人在「资产进来之前」验一下来源。

这不是巧合，这是模式。跨链桥这种东西，本质上是把「信任」外包给合约代码。而行业里做合约审计的习惯是：看函数，不看流程。函数写得再漂亮，流程里少一道「验货」，照样被人用假存单取钱。

我记得前两年跨链桥大爆炸的时候，大家都在喊「桥是未来」。现在回头看，桥没变成未来，变成了黑客的 ATM。这个月三连发，下个月呢？

我不是来唱衰的。桥的叙事不会死，死的是不验货的桥。做这行的人得想清楚一件事：你的用户把资产交给你，第一诉求不是收益高，是「睡得着」。

先把验货做了，再谈其他。

#Symbiosis #BTC #Web3 #跨链桥 #FuturaKey

今天看着美股和币圈的走势，我盯着屏幕愣了半天。

AI 安全恐慌把科技股往下砸，标普科技板块一片红。按理说，风险资产应该一起倒霉。结果比特币逆势走强，稳在 77K 上方，走得比谁都淡定。

我做了这么多年开发，AI 和 Web3 两个圈子都混，头一回看到它们撕得这么开。

以前大家都说这俩是一家人：都是风险资产，都是美元流动性池子里的鱼，一涨都涨，一跌都跌。今天这出戏演完之后，这个说法怕是要改一改了。

我琢磨了一晚上，想通一个角度，不一定对，但挺有意思：AI 现在被市场当「生产力」定价，Web3 被当「保险」定价。AI 出点事，大家担心的是「预期兑现不了」；而传统市场越慌，越有人往比特币这个「体系外的抽屉」里挪钱。恐慌的方向不一样，钱的方向就不一样。

当然，也可能是我想多了。市场先生每天都要编一个故事解释价格，今天这个故事恰好叫「AI 崩、币走强」，明天可能就叫别的了。行情这东西，事后看全是逻辑，事前看全是噪音。

真正让我记住今天的，是一个朋友的消息。他在 AI 创业公司上班，昨晚跟我说：公司融资吹了，得裁人。我问他要不要来跟我一起做链上的活，他回了一句：你那边，最近安全吗？

我想了半天，只回了四个字：还行，先活。

#AI #BTC #Web3 #科技股 #FuturaKey

Symbiosis 开出的白帽赏金是 20%，限期到了，没下文。

我把这事翻来覆去想了很久。20% 是什么概念？实际损失 33.6 万美元，赏金 6 万多。让一个刚证明「你的桥能无限印钱」的人，为了 6 万块把手里的东西交出来？

只有两种可能。要么对方看不上这笔钱——那问题更吓人，看不上钱的人搞你，图什么？要么对方在等一个更好的价。

不管是哪种，这都不像「白帽」的剧本。白帽求名，黑帽求财。这次这位既不着急要名，也不着急要财，就耗着。耗着什么？等官方的完整复盘出来，等 BridgeV2 的技术细节公开，等下一个谈判窗口。

说实话，这个月三起异常铸币，我最不安的就是 Symbiosis 这个收尾。Liquid 至少退了 85%，钱有个去向。Symbiosis 这里悬着一个 461 亿面值的问号，官方报告还没出，赏金没人领。

悬而未决，最磨人。

#Symbiosis #BTC #Web3 #跨链桥 #FuturaKey

今晚我翻了自己的团队群，翻到一条上个月我亲手发的消息：

「铸造量监控先放一放，等 V2 上线一起做。」

看到这条，我后背发凉。

不是因为 Symbiosis 出事，是因为我知道这句话在多少个团队的群里出现过。功能要上线、日程排满了、这个监控「看起来暂时用不上」——然后就是凌晨四点二十八分。

事故从来不在你准备好的时候来。它专挑你「放一放」的地方下手。

做链上产品这几年，我最大的体会是：安全不是一个功能，是一张欠账清单。你今天划掉一条，明天就少一个被凌晨四点叫醒的理由。你今天拖一条，它就在某个桥的角落里等你。

所以今晚我把铸造监控从 backlog 里捞出来了，排到下周一。没有商量，没有「再等等」。

行情可以等，代码不能等。这句话我自己说过很多次，今天才知道说和做之间隔着什么。

#Symbiosis #BTC #Web3 #链上安全 #FuturaKey

Voir que Jiang Zhuoer publie ouvertement en déclarant maintenir sa position short à découvert à plein (full), et a crié un niveau : “monter à 76 000 puis faire un repli”.

Je tiens d’abord à préciser : je ne commente pas les positions des autres ; les pertes et les gains relèvent des capacités de chacun. Mais ce sujet mérite d’y réfléchir plus profondément.

Un grand V annonce clairement ses ordres : la portée de son flux est bien réelle. Et ceux qui le suivent ? La plupart entrent parce qu’il a “réussi” quelques fois par le passé, sans se poser une question plus fondamentale : l’ampleur de sa position et sa capacité à encaisser le risque, est-ce la même chose que la vôtre ? S’il se fait exploser, il peut encore revenir ; s’il vous arrive à vous, vous êtes éliminé.

La formation la plus coûteuse dans ce métier, c’est de copier les ordres des autres. On ne peut pas apprendre la logique de quelqu’un ; au mieux, on n’apprend que le prix d’entrée. S’il gagne, on le traite de génie ; s’il perd, c’est parce que vous êtes trop gourmand.

Mon principe à moi est très simple : toute opinion ne sert qu’à être une source d’information, sans se substituer à son propre jugement. Et surtout pour les opinions qui donnent des niveaux : plus c’est précis, plus il faut y mettre des points d’interrogation — le niveau est la forme la plus facile à “monétiser” en trafic.

Revenons au marché : le FOMC arrive bientôt. À ce moment-là, peu importe quel sens on crie, certains y croient — mais il ne faut pas non plus tout croire. Mieux vaut se retenir d’agir que de gérer sa position.

#BTC #FOMC #合约 #FuturaKey #gestion des risques

Je suis tombé sur un chiffre aujourd’hui : un DEX de titres tokenisés sur la blockchain Base, avec un volume de transactions sur une journée qui a dépassé 100 millions de dollars.

Je pense que cette actualité a été sous-estimée. Pendant que tout le monde se dispute sur le marché, il y a un groupe de gens qui transfère des actions sur la blockchain.

Imaginez ce que ça signifie. Avant, sur la blockchain, on ne pouvait jouer qu’avec des crypto-monnaies. Maintenant, les frontières des choses qu’on peut y toucher s’étendent. Ce n’est pas “du jour au lendemain” que tout bascule, mais cette direction devient progressivement plus claire.

Honnêtement, j’ai toujours eu des doutes sur le récit des actions tokenisées. La conformité est un gros problème, la liquidité en est un autre, et un simple appel des autorités peut faire tomber le lieu. Mais en changeant de perspective : la demande est réelle. Les marchés traditionnels ont des horaires limités, des barrières élevées et des complications pour les transactions transfrontalières ; sur la blockchain, c’est 7×24, accessible à l’échelle mondiale. Tant que la demande est réelle, l’offre finira tôt ou tard par trouver une solution.

Pour ceux qui conçoivent des produits sur la blockchain, c’est mille fois plus important que la tendance à court terme. Cela me rappelle une chose : ne pas se concentrer uniquement sur la hausse ou la baisse d’aujourd’hui, mais plutôt observer vers où les limites de l’infrastructure s’étendent.

Je ne veux pas trop parler du marché aujourd’hui. Avant que les résultats du FOMC ne soient connus, tout ce qu’on dit n’est que du bruit.

#Base #Web3 #RWA #FuturaKey #Finance sur la blockchain

Aujourd’hui, j’aimerais parler d’un sujet un peu moins connu, mais je pense qu’il est plus important que la tendance du marché : la prime sur le kimchi en Corée du Sud est à nouveau en hausse, à 1,33 %.

Beaucoup de gens ne savent pas ce que cela signifie. En termes simples, c’est parce que les cryptomonnaies sur les exchanges coréens coûtent un peu plus cher que celles à l’étranger : l’argent sortant du pays ne circule pas aussi facilement. Plus la prime est élevée, plus les personnes qui veulent entrer sur le marché sont pressées.

1,33 % n’est pas très haut, mais la direction mérite d’être surveillée. Lorsqu’auparavant la prime s’est envolée, ce n’était généralement pas des particuliers surexcités : c’était plutôt des acteurs qui devaient convertir des wons sud-coréens en actifs on-chain le plus vite possible.

Je ne crois pas trop à l’idée que la prime serait un signal pour “faire un bon point d’entrée”. Un signal, ça ne devient un signal que si on y croit. Sinon, ce n’est qu’un chiffre. Pour ma part, je préfère le voir comme un thermomètre émotionnel : certaines personnes sont plus pressées que nous.

Les gens pressés finissent généralement par deux choses : acheter au meilleur moment, ou vendre au pire.

En ce moment, j’ai une attitude très calme. Le FOMC arrive bientôt ; à ce moment-là, scruter la prime pour deviner la direction, c’est moins utile que de finir d’écrire le code. Le marché finira par suivre son cours tout seul : un code qu’on ne termine pas, lui, ne finira pas.

#BTC #泡菜溢价 #Web3 #FuturaKey #行情

Blockstream 说不付赎金。4700 万美元，说不要就不要。

我昨晚刷到这条，手机没关，盯着天花板想了很久。

先说对面是谁：一个自称白帽的人，扣着 600 枚 BTC。之前退过 3400 枚，留这些当找零。现在官方把话说死了：没谈过，也不会谈，这是犯罪，走法律追。

我的第一反应是痛快。这行被先动手再讲理的人搞臭太久了——搬空你家当，再回来说我是帮你。滚。

但痛快完，我做了个测试：换我扛不扛得住？诚实想了十分钟。扛不住。我会付，付完对外说这是赏金。

所以这步棋帅，帅在我做不到。

后来我想明白他们为什么敢。今天付了，明天所有链上储备都成了取款机。赎金第一次是止损，第二次就是融资。

有些钱看着是省，其实是借的高利贷。

你怎么看？换你会付吗？

#Liquid #BTC #Web3 #链上安全 #FuturaKey

「法律途径追索」这五个字，评论区都在笑。

链上的钱，找谁追？地址不会说话，私钥不会自首。笑的人有笑的道理。

但我问了个做合规的朋友，他回了句让我愣住的话：定性比追款值钱。

什么意思？一旦刑事立案，那 600 枚 BTC 就是赃物。全球合规交易所的风控不是吃素的，赃物地址进不了场，跨链洗也会被标记。黑客攥着数字黄金，花不出去。

最狠的反击不是把钱追回来，是让钱烂在对方手里。

他每次想变现，都要心惊胆战一次。这个「每次都心惊胆战」，比坐牢还折磨人。

所以别急着笑「法律在链上没用」。这一局，链下才是战场。

#Liquid #BTC #Web3 #区块链安全 #FuturaKey

Ce soir, on rassemble plusieurs signaux de septembre pour les regarder ensemble : la conclusion est très claire. Ce n’est pas le moment de deviner le fond, c’est le moment de fixer des règles.

D’abord, faisons l’inventaire des faits marquants de cette semaine.

D’un côté, Liquid a été volé pour 320 millions de dollars. Des actifs « ancrés » ont été frappés à la chaîne de manière fictive, et l’attaqueur se présente comme un « white hat ». Après avoir récupéré 85 %, il ne reste qu’environ 47 millions de dollars. Deuxièmement, Cronos a dû reculer la blockchain à cause d’une attaque via des emprunts : le récit selon lequel la chaîne est « immuable » a été brisé une fois, volontairement. Troisièmement, l’ETF XRP a enregistré des flux nets positifs qui ont dépassé ceux du BTC et de l’ETH sur une seule journée : l’argent se dirige vers des supports où le « scénario réglementaire » est le plus clair. Quatrièmement, l’indice de cupidité reste au-dessus de 70, mais le prix est passé de 78K à 76K en passant par une longue phase de stagnation. Cela montre que la baisse n’est pas un effondrement émotionnel : c’est un retrait délibéré des capitaux face aux données macro.

Regardons maintenant plus loin : la réunion du FOMC aura lieu mardi et mercredi de la semaine prochaine, et la décision sera rendue dans la nuit du 9/17 (heure de Pékin). Après des surprises positives répétées du CPI et du PPI, le marché mise déjà sur une obstination. Mon avis : en septembre, il est probable que la Fed ne relève pas les taux. Mais si Powell se montre une fois plus ferme, les actifs risqués risquent d’être secoués de nouveau.

En tant que fondateur de FuturaKey, j’ai fixé trois règles pour moi, et je te les partage :

Première règle : avant que la décision ne tombe, on n’augmente pas sa position, on ne « contre-attrape » pas le bottom. On garde les munitions : on attend que le marché choisisse sa réponse.

Deuxième règle : on revoit intégralement la checklist d’audit de sécurité des projets qu’on a en main. La densité d’attaques de ce mois-ci le montre : le marché peut attendre, le code, lui, ne peut pas attendre.

Troisième règle : un marché faible est une fenêtre pour affûter les outils. Les besoins comme la surveillance on-chain et les alertes en cas de frappe d’actifs anormaux augmentent. C’est précisément la raison pour laquelle je continue à développer des produits de sécurité.

Enfin, une vérité toute simple : le marché ne manque pas d’occasions ; ce qui manque, ce sont des gens qui ont encore des munitions quand une opportunité arrive.

Tu en es à combien de ton capital engagé (en pourcentage) ? Dis-le dans les commentaires.

Ce qui précède n’est que mon observation personnelle et ne constitue pas un conseil en investissement.

#BTC #FOMC #Web3 #链上安全 #FuturaKey

Avant la réunion du FOMC, mes trois disciplines : ne pas renforcer, ne pas rattraper en baissant, garder des munitions

Cette semaine, l’IPC et l’IPP ont été consécutivement au-dessus des attentes, et les paris du marché sur de nouvelles hausses de taux s’intensifient. Le FOMC se réunit les mardi et mercredi de la semaine prochaine ; la décision sera publiée dans la nuit du 17/09, heure de Pékin.

Mon avis : en septembre, il est très probable qu’il n’y ait pas de nouvelle hausse des taux, mais si Powell se montre seulement une fois trop ferme dans ses propos, les actifs risqués devront encore trembler.

En pareille période, plus important que de deviner la bonne direction, c’est d’avoir de quoi tenir jusqu’à la divulgation de la réponse. Je me suis fixé trois règles et je les partage avec vous :

Premièrement, ne pas renforcer ni rattraper en baissant avant la publication de la décision. Le marché donnera d’abord la réponse ; il n’est pas nécessaire de parier du vrai argent.

Deuxièmement, repasser intégralement la checklist d’audit de sécurité des projets en cours. La densité d’attaques de ce mois-ci montre une chose : le marché peut attendre, mais le code ne peut pas attendre.

Troisièmement, un marché faible est une fenêtre pour perfectionner les outils. Des besoins tels que le monitoring on-chain et les alertes d’anomalies se multiplient ; c’est la raison pour laquelle je persiste à développer des produits de sécurité chez FuturaKey.

Pour finir, une vérité toute simple : le marché manque d’occasions, mais pas d’opportunités ; ce qui manque, ce sont des gens qui ont encore des munitions quand l’opportunité arrive.

Vous êtes à combien en termes de niveau de position actuellement ? Parlez-en dans les commentaires.

Ce qui précède reflète uniquement des observations personnelles et ne constitue pas un conseil en investissement.

#BTC #FOMC #Web3 #链上安全 #FuturaKey

Liquid 退了 85%，留下 4700 万当赏金——这算白帽吗？

这两天社区一直在吵这件事，我也说下自己的看法。

先把事实摆清楚：攻击者造出 4000 枚凭空存在的 LBTC，走正常流程换走 3996 枚真 BTC。Blockstream 修完节点后，对方还回 3400 枚，留下约 598.5 枚，按现在的价格约 4700 万美元。

攻击者自称「白帽」：我不是来偷钱的，我是来提醒你们有漏洞的。

但这里有个逻辑问题。负责任披露的标准流程是什么？发现漏洞 → 报告给项目方 → 等修复 → 拿赏金。而这次是：先搬空 95% 的储备 → 等项目方修复 → 退回 85% → 留下 15% 当赏金。

顺序反了，性质就变了。Blockstream 在链上确认节点已修复、可以退款，这个举动也让事情更微妙——在攻击者眼里，这等于承认了「退钱就和解」的通道。Ledger 的 CTO 说得更直接：这不是白帽，这是先绑架再谈判。

我作为 FuturaKey 的创始人，自己也做链上产品，我理解为什么社区分成两派。一派认为：钱大部分回来了，结果是好的。另一派认为：如果这种行为被鼓励，下次攻击者会更有恃无恐——先搬空再说，反正退一部分就能洗白。

我的立场是后者。原因很简单：如果「先动手、后退款」也能被叫做白帽，那黑客行业就没有失败成本了——攻击成功就留一部分，攻击失败就自称白帽求放过。这对老老实实做安全披露的研究者极不公平。

更值得关注的是行业信号：这个月 Liquid 3.2 亿、Cronos 回滚区块，安全事件的密度在上升。熊市里黑客比牛市更活跃——项目方防守预算在砍，而攻击的收益没变。

对普通用户，我的建议只有一条：锚定资产、侧链资产的安全等级，永远低于主网。别因为收益高一点，就把大仓位放上去。

你觉得「先搬空再退 85%」算白帽吗？评论区聊聊。

以上仅为个人观察，不构成投资建议。

#Liquid #BTC #Web3 #链上安全 #FuturaKey

"L’ère de « Uniswap sur une nouvelle chaîne » est révolue » Parlons du design des Hooks de la V4

Ces deux derniers jours, je me penche sur l’architecture d’Uniswap V4 et j’enregistre quelques réflexions.

Auparavant, la forme de projet la plus courante dans le secteur DeFi : fork d’Uniswap, déploiement sur une autre chaîne, puis quelques ajustements d’UI. Dans l’architecture V3, comme chaque paire de trading devait déployer son propre contrat, pour se différencier il fallait réécrire.

La V4 a changé cette logique. Deux points clés :

**Architecture Singleton** : l’état de tous les pools est centralisé dans un contrat PoolManager. La création d’un pool devient une « mise à jour d’état » plutôt qu’un « déploiement de nouveau contrat », ce qui réduit considérablement les coûts en gas.

**Système de Hooks** : des contrats externes s’attachent à des nœuds du cycle de vie du pool pour insérer une logique personnalisée. Pour créer une commission dynamique, pas besoin de réécrire tout l’AMM : il suffit d’ajouter un Hook. L’essentiel de la logique de market-making et de la sécurité hérite directement de l’Uniswap lui-même.

Ce design abaisse le « seuil d’innovation », mais apporte aussi de nouveaux problèmes : qui garantit la sécurité du Hook lui-même ? Même si la fondation est solide, si la logique de ton Hook comporte des failles, elle peut quand même être exploitée. Dans une certaine mesure, la responsabilité d’audit est transférée à chaque développeur de Hook.

Par la suite, j’écrirai une analyse technique plus détaillée.

#Uniswap #DeFi #DéveloppementWeb3 #FuturaKey