futurakey

凌晨四点二十八分，Symbiosis 的桥被打了。

不是偷，是造。攻击者往一个新账户里铸了 2 的 62 次方枚 syBTC，面值 461 亿美元。

461 亿。这个数字大到我已经没有概念了。我能理解三十三万刀，理解三亿，但四百六十一亿，感觉像看科幻片的字幕。

实际套现的只有 4.39 枚 WBTC，33.6 万美元。有人可能觉得：那还好了，损失不大。但我不这么看。真正让我毛骨悚然的不是「亏了多少」，是「造了多少」。想象一下你家的保险柜，有人没撬锁、没对密码，直接打印了几张你家银行存单，面额 461 亿。最后他只兑出来 33 万。你怕的是那 33 万吗？你怕的是「打印存单」这件事本身。

这件事最恐怖的从来不是数字。是流程：造出来 → 下游全认 → 换走真钱。三个环节没有一个卡住。

这个月已经第三起了。Liquid、Nomic、Symbiosis，同一套剧本，演了三遍。

谁教的？

#Symbiosis #BTC #Web3 #链上安全 #FuturaKey

看到摩根士丹利连续三天增持 BTC 到 7855 枚的消息，又看到 Symbiosis 桥被打穿的消息，我突然觉得这个市场特别分裂。

一边是华尔街在三天里安静地加仓，一边是链上项目凌晨四点被人铸了 461 亿面值的假币。同一个行业，两种活法，两种风险。

散户看的是价格，机构看的是仓位管理，黑客看的是你的流程漏洞。大家都在这个市场里，但玩的根本不是同一个游戏。

我有时候会想，等这轮洗牌结束，留下来的是什么？肯定不是靠讲故事融资的桥，也不是凌晨四点被打穿的项目。留下来的，是那些把最无聊的事做到极致的人——验货、监控、审计、风控，每一样都无聊，每一样都保命。

摩根士丹利加仓不稀奇，稀奇的是它连着加三天还公开了。这个信号比行情值得琢磨：有人在这个位置，用真金白银投了「长期」一票。

FOMC 就在前面，热闹是短期的，账是长期的。

#BTC #机构 #Web3 #链上安全 #FuturaKey

Um mês, três incidentes de cunhagem anômala. Liquid, Nomic, Symbiosis.

Há quem chame isso de «coincidência», mas eu não acredito. Os três eventos seguem o mesmo roteiro: existe uma falha na lógica da cunhagem → cunhagem “do nada” → o processo a jusante é liberado normalmente → troca o ouro e a prata verdadeiros por dinheiro. Até a posição das brechas é parecida — ninguém verifica a origem antes de os ativos entrarem.

Não é coincidência; é um padrão. Esse tipo de ponte cross-chain, em essência, terceiriza a «confiança» para o código do contrato. E, na indústria, o hábito de quem faz auditoria de contratos é: olhar as funções, não o fluxo. Por mais bonito que o código seja, se no fluxo faltar um passo «verificar a mercadoria», a pessoa ainda consegue sacar usando um “comprovante falso”.

Eu me lembro de quando, há dois anos, as grandes explosões das pontes cross-chain aconteceram e todo mundo gritava «pontes são o futuro». Agora, olhando para trás, as pontes não viraram o futuro — viraram o caixa eletrônico do hacker. Três ataques em sequência neste mês; e no próximo?

Eu não vim para torcer pelo fracasso. A narrativa das pontes não vai morrer; o que vai morrer é a ponte que não verifica a mercadoria. Quem trabalha nessa área precisa pensar em uma coisa: quando seus usuários entregam ativos a você, a primeira exigência não é que o retorno seja alto, e sim que eles «durmam em paz».

Primeiro faça a verificação da mercadoria; depois fale do resto.

#Symbiosis #BTC #Web3 #跨链桥 #FuturaKey

今天看着美股和币圈的走势，我盯着屏幕愣了半天。

AI 安全恐慌把科技股往下砸，标普科技板块一片红。按理说，风险资产应该一起倒霉。结果比特币逆势走强，稳在 77K 上方，走得比谁都淡定。

我做了这么多年开发，AI 和 Web3 两个圈子都混，头一回看到它们撕得这么开。

以前大家都说这俩是一家人：都是风险资产，都是美元流动性池子里的鱼，一涨都涨，一跌都跌。今天这出戏演完之后，这个说法怕是要改一改了。

我琢磨了一晚上，想通一个角度，不一定对，但挺有意思：AI 现在被市场当「生产力」定价，Web3 被当「保险」定价。AI 出点事，大家担心的是「预期兑现不了」；而传统市场越慌，越有人往比特币这个「体系外的抽屉」里挪钱。恐慌的方向不一样，钱的方向就不一样。

当然，也可能是我想多了。市场先生每天都要编一个故事解释价格，今天这个故事恰好叫「AI 崩、币走强」，明天可能就叫别的了。行情这东西，事后看全是逻辑，事前看全是噪音。

真正让我记住今天的，是一个朋友的消息。他在 AI 创业公司上班，昨晚跟我说：公司融资吹了，得裁人。我问他要不要来跟我一起做链上的活，他回了一句：你那边，最近安全吗？

我想了半天，只回了四个字：还行，先活。

#AI #BTC #Web3 #科技股 #FuturaKey

Symbiosis 开出的白帽赏金是 20%，限期到了，没下文。

我把这事翻来覆去想了很久。20% 是什么概念？实际损失 33.6 万美元，赏金 6 万多。让一个刚证明「你的桥能无限印钱」的人，为了 6 万块把手里的东西交出来？

只有两种可能。要么对方看不上这笔钱——那问题更吓人，看不上钱的人搞你，图什么？要么对方在等一个更好的价。

不管是哪种，这都不像「白帽」的剧本。白帽求名，黑帽求财。这次这位既不着急要名，也不着急要财，就耗着。耗着什么？等官方的完整复盘出来，等 BridgeV2 的技术细节公开，等下一个谈判窗口。

说实话，这个月三起异常铸币，我最不安的就是 Symbiosis 这个收尾。Liquid 至少退了 85%，钱有个去向。Symbiosis 这里悬着一个 461 亿面值的问号，官方报告还没出，赏金没人领。

悬而未决，最磨人。

#Symbiosis #BTC #Web3 #跨链桥 #FuturaKey

今晚我翻了自己的团队群，翻到一条上个月我亲手发的消息：

「铸造量监控先放一放，等 V2 上线一起做。」

看到这条，我后背发凉。

不是因为 Symbiosis 出事，是因为我知道这句话在多少个团队的群里出现过。功能要上线、日程排满了、这个监控「看起来暂时用不上」——然后就是凌晨四点二十八分。

事故从来不在你准备好的时候来。它专挑你「放一放」的地方下手。

做链上产品这几年，我最大的体会是：安全不是一个功能，是一张欠账清单。你今天划掉一条，明天就少一个被凌晨四点叫醒的理由。你今天拖一条，它就在某个桥的角落里等你。

所以今晚我把铸造监控从 backlog 里捞出来了，排到下周一。没有商量，没有「再等等」。

行情可以等，代码不能等。这句话我自己说过很多次，今天才知道说和做之间隔着什么。

#Symbiosis #BTC #Web3 #链上安全 #FuturaKey

看到江卓尔公开维持全仓空单，还喊了个点位：上冲 7.6 万后回调。

先声明，我不评论别人的仓位，赔赚都是人家自己的本事。但这事值得想一层。

大 V 公开喊单，流量是实打实的。跟单的人呢？大部分人是看他过去对了几次就冲进去的，没人问一个更根本的问题：他的仓位规模和风险承受力，跟你是一回事吗？他爆了还能再来，你爆了就出局了。

这行最贵的学费，就是跟别人下单。因为别人的逻辑你学不到，只能学到入场价。赚了是他神，亏了是你贪。

我自己的原则很简单：任何观点都只当成信息来源，不代替自己的判断。尤其是带点位的，越是具体，越要打问号——点位是观点里最容易兑现的流量货币。

说回行情，FOMC 就在前面，这种时候喊什么方向都有人信，也都不值得全信。管住手，比管住仓位难。

#BTC #FOMC #合约 #FuturaKey #风险管理

Hoje vi um número: a DEX de ações tokenizadas na rede Base, e o volume de negociação em um único dia ultrapassou 100 milhões de dólares.

Acho que esse assunto está sendo subestimado. Enquanto todo mundo ainda discute o mercado, tem um grupo de pessoas levando ações para a blockchain.

Pense no que isso significa. Antes, na cadeia só dava para lidar com cripto; agora, os limites do que é possível tocar na blockchain estão se expandindo para fora. Não é algo que acontece de uma vez hoje, mas o rumo está ficando aos poucos mais claro.

Sinceramente, eu sempre desconfiei um pouco da narrativa de ações tokenizadas. Conformidade é um grande problema, liquidez é um grande problema, e um telefonema do regulador pode derrubar o ambiente. Mas, olhando por outro ângulo: a demanda é real. O mercado tradicional tem horário limitado, barreiras altas e problemas de integração transfronteiriça; já a blockchain funciona 7×24 horas e permite acesso global. Desde que a demanda seja real, cedo ou tarde a oferta vai encontrar um jeito.

Para quem trabalha com produtos na cadeia, isso é cem vezes mais importante do que o noticiário de curto prazo. Me lembra uma coisa: não fique olhando apenas se hoje sobe ou desce; veja para onde os limites da infraestrutura estão se expandindo.

Sobre o mercado, não quero falar demais hoje. Antes do resultado do FOMC sair, qualquer coisa que se diga é só ruído.

#Base #Web3 #RWA #FuturaKey #链上金融

Hoje eu queria falar de um assunto mais “de nicho”, mas que acho mais importante do que o movimento do mercado: o prêmio do kimchi na Coreia voltou a subir, em 1,33%.

Muita gente não sabe o que isso significa. Em resumo: as moedas nas bolsas sul-coreanas ficam um pouco mais caras do que no exterior, porque o dinheiro deles não sai tão facilmente. Quanto maior o prêmio, mais urgente é a vontade de entrar.

1,33% não é muito alto, mas a direção merece atenção. Quando o prêmio disparou no passado, geralmente não eram pequenos investidores animados — havia alguém com pressa para trocar o won coreano por ativos na blockchain.

Eu não compro muito a ideia de que prêmio é um sinal de “fundo”. Sinal é algo que só vira sinal se você acredita; se não acredita, é apenas um número. Prefiro tratar isso como um termômetro de sentimento: tem gente com mais pressa do que nós.

Quem está com pressa normalmente acaba em dois destinos: comprar na melhor posição ou vender na pior.

Meu estado de espírito agora está bem tranquilo. O FOMC está logo ali; nessa hora, ficar adivinhando a direção pelo prêmio não vale tanto quanto terminar o código. O mercado vai se mostrar sozinho; o código que não terminamos não vai.

#BTC #泡菜溢价 #Web3 #FuturaKey #行情

Blockstream 说不付赎金。4700 万美元，说不要就不要。

我昨晚刷到这条，手机没关，盯着天花板想了很久。

先说对面是谁：一个自称白帽的人，扣着 600 枚 BTC。之前退过 3400 枚，留这些当找零。现在官方把话说死了：没谈过，也不会谈，这是犯罪，走法律追。

我的第一反应是痛快。这行被先动手再讲理的人搞臭太久了——搬空你家当，再回来说我是帮你。滚。

但痛快完，我做了个测试：换我扛不扛得住？诚实想了十分钟。扛不住。我会付，付完对外说这是赏金。

所以这步棋帅，帅在我做不到。

后来我想明白他们为什么敢。今天付了，明天所有链上储备都成了取款机。赎金第一次是止损，第二次就是融资。

有些钱看着是省，其实是借的高利贷。

你怎么看？换你会付吗？

#Liquid #BTC #Web3 #链上安全 #FuturaKey

“Via legal para recuperar” — essas cinco palavras. A seção de comentários está rindo de tudo.

O dinheiro na cadeia, quem você procura para cobrar? O endereço não fala, a chave privada não se entrega. Quem ri, tem suas razões.

Mas eu perguntei a um amigo que trabalha com conformidade e ele respondeu algo que me deixou atordoado: a qualificação vale mais do que correr atrás do pagamento.

O que isso quer dizer? Assim que houver abertura de um caso criminal, aquelas 600 BTC são consideradas produto do crime. Os controles de risco das exchanges globais em conformidade não são brincadeira: endereços com produto do crime não entram no mercado; e até tentativas de lavagem via cross-chain também são marcadas. O hacker segura o “ouro digital” mas não consegue transformar em dinheiro.

A retaliação mais dura não é recuperar o dinheiro — é fazer com que ele apodreça na mão do outro.

Toda vez que ele quiser realizar o valor, vai ter que viver apavorado. Esse “apavoro toda vez”, é pior do que prisão.

Então não tenha pressa em rir de “a lei não funciona na blockchain”. Nesta rodada, o campo de batalha é fora da cadeia.

#Liquid #BTC #Web3 #区块链安全 #FuturaKey

Hoje à noite, vamos colocar alguns sinais de setembro lado a lado para ver: a conclusão é bem clara — agora não é hora de chutar o fundo, é hora de definir disciplina.

Primeiro, vamos listar o que merece atenção nesta semana.

1) A Liquid foi roubada em US$ 320 milhões. Ativos-âncora foram “cunhados” do nada para perfurar o valor; o atacante se declarou white hat e, depois de devolver 85%, deixou cerca de US$ 47 milhões. 2) A Cronos teve rollback de blocos por causa de um ataque via empréstimos — a narrativa de “imutabilidade” on-chain foi quebrada de forma deliberada. 3) O ETF de XRP teve entradas líquidas no dia que superaram BTC e ETH; o dinheiro está indo para o ativo em que a “história regulatória” está mais clara. 4) O índice de ganância ainda está acima de 70, mas o preço foi moído de 78K até 76K; isso mostra que esta queda não é um colapso emocional, e sim uma retirada ativa do capital diante dos dados macro.

Agora, olhando um pouco mais à frente: o FOMC se reúne na terça e na quarta da próxima semana. A decisão sai na madrugada de 17/9, no horário de Pequim. Depois de CPI e PPI terem superado as expectativas consecutivamente, o mercado já está apostando que vão insistir. Minha avaliação: em setembro, é provável que não haja alta de juros. Mas se Powell for firme uma única vez, os ativos de risco vão balançar de novo.

Como fundador da FuturaKey, eu estabeleci para mim três disciplinas — e estou compartilhando com você:

Primeira: antes da decisão sair, não reforçar posição e não tentar comprar no fundo. Guarde as balas; deixe o mercado escolher a resposta.

Segunda: revise novamente a lista de auditorias de segurança dos projetos que você já tem em mãos. A densidade de ataques deste mês mostra: o mercado pode esperar, mas o código não.

Terceira: um mercado fraco é a janela para lapidar ferramentas. As demandas por monitoramento on-chain e alertas de cunhagem anômala estão aumentando — e é por isso que eu continuo insistindo em fazer produtos de segurança.

Por fim, uma verdade dura: o mercado não está sem oportunidades; o que falta são pessoas que, quando as oportunidades chegarem, ainda tenham balas.

Quantos % do seu capital você já está alocado agora? Vamos conversar nos comentários.

O que foi dito acima é apenas observação pessoal e não constitui recomendação de investimento.

#BTC #FOMC #Web3 #链上安全 #FuturaKey

Antes do FOMC, minhas três disciplinas: não aumentar posição, não comprar em queda, e manter munição

Nesta semana, o CPI e o PPI vieram acima do esperado em sequência, e a aposta do mercado em novos aumentos de juros está esquentando. O FOMC se reúne na terça e na quarta-feira da semana que vem, e a decisão será divulgada na madrugada de 9/17, no horário de Pequim.

Minha análise: em setembro, é provável que não haja aumento de juros, mas se Powell “duro” uma vez só com a boca, os ativos de risco vão ter que balançar mais uma rodada.

Nessas horas, mais importante do que acertar a direção é conseguir chegar até o momento em que a resposta for revelada. Defini três disciplinas para mim e também compartilho com você:

Primeira: antes de a decisão sair, não aumentar posição nem comprar em queda. O mercado vai dar a resposta primeiro; não há necessidade de apostar dinheiro de verdade.

Segunda: revisar novamente a lista de auditoria de segurança dos projetos que você já tem em mãos. A densidade de ataques deste mês mostra: o mercado pode esperar, o código não.

Terceira: um mercado fraco é uma janela para lapidar ferramentas. Demandas como monitoramento on-chain e alertas de anomalia estão aumentando, e é por isso que eu insisto em desenvolver produtos de segurança na FuturaKey.

Por fim, digo a verdade nua e crua: o mercado não está sem oportunidades; o que falta são pessoas que ainda tenham munição quando a oportunidade chega.

Quanto da sua carteira você já está com posição agora? Vamos conversar nos comentários.

Acima é apenas uma observação pessoal e não constitui recomendação de investimento.

#BTC #FOMC #Web3 #链上安全 #FuturaKey

O Liquid caiu 85%, deixando 47 milhões como recompensa — isso é “white hat”?

Nos últimos dias, a comunidade tem discutido muito esse assunto, e eu também vou expor meu ponto de vista.

Primeiro, vamos deixar os fatos claros: o atacante criou 4.000 tokens LBTC “do nada”, trocando-os pelo processo normal por 3.996 BTC reais. Depois que a Blockstream corrigiu os nós, a outra parte devolveu mais 3.400 unidades, ficando com cerca de 598,5 unidades — o que, a preços atuais, equivale a cerca de 47 milhões de dólares.

O atacante se diz “white hat”: “Eu não vim para roubar dinheiro; vim para avisar que há uma vulnerabilidade.”

Mas há um problema de lógica aqui. Qual é o processo padrão de uma divulgação responsável? Descobrir a falha → reportar ao projeto → esperar a correção → receber a recompensa. E desta vez foi: primeiro esvaziar 95% dos recursos → esperar o projeto corrigir → devolver 85% → ficar com os 15% restantes como recompensa.

A ordem foi invertida; assim, a natureza do ato muda. Ao confirmar on-chain que os nós foram corrigidos e que o reembolso era possível, a Blockstream deixou tudo ainda mais delicado — para o atacante, isso equivale a reconhecer que “devolver o dinheiro é um acordo”. O CTO da Ledger colocou ainda de forma mais direta: “não é white hat; é fazer sequestro primeiro para depois negociar.”

Como fundador da FuturaKey, e alguém que também cria produtos on-chain, eu entendo por que a comunidade se divide em duas correntes. Uma acredita que: “a maior parte do dinheiro voltou, então foi bom.” A outra acredita que: “se esse tipo de ação for incentivada, na próxima vez o atacante terá ainda mais confiança — primeiro esvazia, depois devolve uma parte, e pronto, se limpa.”

Minha posição é a segunda. O motivo é simples: se “agir primeiro e depois devolver” puder ser chamado de white hat, então não haverá custo de falha para a indústria de hackers — no sucesso, fica uma parte; na falha, se diz white hat e pede para ser perdoado. Isso é extremamente injusto com pesquisadores que fazem divulgação de segurança de forma responsável.

O que merece ainda mais atenção são os sinais do setor: neste mês, Liquid com 320 milhões e o Cronos teve rollback de blocos — a densidade de incidentes de segurança está aumentando. No mercado em baixa, os hackers ficam ainda mais ativos do que em alta. Os projetos cortam orçamento de defesa, mas a recompensa dos ataques não muda.

Para usuários comuns, meu conselho é apenas um: fixe o nível de segurança dos ativos ancorados e de ativos de sidechain sempre abaixo do da mainnet. Não coloque um grande volume lá só porque a rentabilidade parece um pouco maior.

Você acha que “esvaziar primeiro e devolver 85%” é white hat? Vamos conversar na seção de comentários.

O acima é apenas observação pessoal e não constitui recomendação de investimento.

#Liquid #BTC #Web3 #链上安全 #FuturaKey

"Chegou ao fim a era de 'trocar a blockchain com a Uniswap'. Vamos conversar sobre o design dos Hooks do V4

Nestes dias estou estudando a arquitetura do Uniswap V4 e registrando algumas impressões.

Antes, na cena DeFi, o formato de projeto mais comum era: fazer fork do Uniswap, mudar para outra blockchain e ajustar o UI. Como na arquitetura V3 cada par de trading precisa ter um contrato separado implantado, para diferenciar era preciso reescrever tudo.

O V4 mudou essa lógica. O ponto central são dois aspectos:

**Arquitetura Singleton**: o estado de todos os pools fica reunido em um único contrato PoolManager. Criar um pool passa a ser “atualizar o estado” em vez de “implantar um novo contrato”, reduzindo drasticamente o custo de gas.

**Sistema de Hooks**: contratos externos são acoplados em nós do ciclo de vida do pool para inserir lógicas personalizadas. Para fazer taxas dinâmicas, não é preciso reescrever todo o AMM: basta criar e acoplar um Hook. O núcleo do market making e a segurança ficam totalmente herdados do próprio Uniswap.

Esse design reduz o “limiar de inovação”, mas também traz um novo problema: quem garante a segurança do próprio Hook? Mesmo que a fundação esteja bem sólida, se a lógica do Hook tiver uma vulnerabilidade, ainda assim ela pode ser explorada. Em certa medida, a responsabilidade de auditoria é transferida para cada desenvolvedor de Hooks.

Depois vou escrever uma análise técnica mais detalhada.

#Uniswap #DeFi #DesenvolvimentoWeb3 #FuturaKey