futurakey

Rạng sáng 4 giờ 28 phút, Cầu của Symbiosis đã bị đánh sập.

Không phải “ăn cắp”, mà là “tạo ra”. Kẻ tấn công đúc ra 2 mũ 62 syBTC—tổng cộng 461 tỷ USD—vào một tài khoản mới.

461 tỷ. Con số đó lớn đến mức tôi không còn hình dung nổi. Tôi có thể hiểu 330.000 đô, hiểu 30 triệu, nhưng 46,1 tỷ thì lại giống như đang xem phụ đề phim khoa học viễn tưởng.

Trên thực tế, số tiền chỉ rút ra được 4,39 WBTC, tương đương 336.000 USD. Có người có thể nghĩ: thế thì cũng ổn, thiệt hại không quá lớn. Nhưng tôi không nghĩ vậy. Điều khiến tôi rợn người thật sự không phải “lỗ bao nhiêu”, mà là “tạo ra bao nhiêu”. Hãy tưởng tượng tủ sắt nhà bạn: kẻ đó không phá khóa, không đoán mật khẩu—mà chỉ in ra vài tờ sổ tiết kiệm của ngân hàng bạn, mệnh giá 461 tỷ. Cuối cùng hắn chỉ đổi ra được 330.000. Bạn sợ 330.000 đó ư? Bạn sợ chính “việc in sổ tiết kiệm” mới đáng sợ.

Điều đáng sợ nhất của vụ việc này không bao giờ nằm ở con số. Mà nằm ở quy trình: tạo ra → toàn bộ bên dưới đều chấp nhận → đổi lấy tiền thật. Ba khâu, không khâu nào bị kẹt.

Tháng này đã là vụ thứ ba. Liquid, Nomic, Symbiosis—cùng một kịch bản, diễn đi diễn lại ba lần.

Ai dạy họ?

#Symbiosis #BTC #Web3 #链上安全 #FuturaKey

Thấy tin Morgan Stanley liên tục mua thêm BTC trong ba ngày lên tới 7.855 BTC, rồi lại thấy tin cây cầu Symbiosis bị xuyên thủng, tôi bỗng thấy thị trường này cực kỳ phân hóa.

Một bên là Phố Wall lặng lẽ cộng thêm vị thế trong ba ngày, bên kia là các dự án trên chuỗi lúc 4 giờ sáng bị đúc 46,1 tỷ mệnh giá tiền giả. Cùng một ngành, nhưng hai kiểu sống, hai loại rủi ro.

Lẻ thì nhìn giá, tổ chức nhìn quản lý vị thế, còn hacker thì nhìn lỗ hổng trong quy trình của bạn. Ai cũng ở trong thị trường này, nhưng căn bản không chơi cùng một trò.

Đôi khi tôi tự hỏi, sau khi đợt “thanh lọc” này kết thúc, thứ gì sẽ ở lại? Chắc chắn không phải những cây cầu huy động vốn bằng cách kể chuyện, cũng không phải những dự án bị xuyên thủng lúc 4 giờ sáng. Thứ ở lại là những người làm đến cực hạn những việc nhàm chán nhất—kiểm hàng, giám sát, kiểm toán, kiểm soát rủi ro. Mỗi việc đều nhàm chán, nhưng cái nào cũng giúp giữ mạng.

Morgan Stanley tăng thêm vị thế không có gì lạ; điều hiếm là nó tăng liên tục trong ba ngày và còn công khai. Tín hiệu này đáng suy ngẫm hơn cả diễn biến giá: có người ở đúng vị trí này, dùng tiền thật bỏ phiếu cho chữ “dài hạn”.

FOMC ngay phía trước rồi. Sự ồn ào là cho ngắn hạn, còn sổ sách là cho dài hạn.

#BTC #机构 #Web3 #链上安全 #FuturaKey

Trong một tháng, ba vụ đúc tiền bất thường. Liquid, Nomic, Symbiosis.

Có người gọi đó là “trùng hợp”, nhưng tôi không tin. Ba sự kiện là cùng một kịch bản: logic đúc tiền có lỗ hổng → tự nhiên tạo ra tiền mới → các quy trình ở hạ nguồn vẫn được thông qua bình thường → lấy đi vàng thật. Ngay cả vị trí của lỗ hổng cũng gần như giống nhau — không ai kiểm tra nguồn gốc “trước khi tài sản được đưa vào”.

Đây không phải là trùng hợp, đây là một mô thức. Những cây cầu xuyên chuỗi, về bản chất, là đem “niềm tin” giao khoán cho mã hợp đồng. Và thói quen trong ngành làm kiểm toán hợp đồng là: xem hàm số, không xem quy trình. Hàm viết đẹp đến mấy, nếu trong quy trình thiếu một bước “kiểm hàng”, thì vẫn có người dùng giấy tờ gửi giả để rút tiền.

Tôi nhớ khi cách đây vài năm, các vụ nổ của cầu xuyên chuỗi bùng phát dữ dội, mọi người đều hô “cầu là tương lai”. Giờ nhìn lại, cầu không trở thành tương lai — mà trở thành ATM của hacker. Tháng này ba phát liên tiếp, tháng sau thì sao?

Tôi không đến để bôi xấu. Câu chuyện về cầu sẽ không chết, thứ chết là những cây cầu không kiểm hàng. Người làm trong ngành phải nghĩ rõ một điều: người dùng của bạn giao tài sản cho bạn, yêu cầu đầu tiên không phải lợi nhuận cao, mà là “ngủ ngon”.

Làm việc kiểm hàng trước, rồi hãy bàn đến những thứ khác.

#Symbiosis #BTC #Web3 #跨链桥 #FuturaKey

Hôm nay nhìn biến động của cổ phiếu Mỹ và thị trường crypto, tôi cứ ngây ra trước màn hình mãi nửa chừng.

Nỗi hoảng loạn về an toàn AI khiến cổ phiếu công nghệ bị đạp xuống hàng loạt, cả phân khúc S&P công nghệ đều đỏ rực. Lẽ ra tài sản rủi ro phải cùng “đuối” theo. Thế nhưng Bitcoin lại đi ngược xu hướng, trụ vững trên mốc 77K, bình tĩnh hơn ai hết.

Tôi làm phát triển đã nhiều năm, lăn lộn ở cả hai giới AI và Web3, lần đầu tiên thấy chúng “xé nhau” công khai như vậy.

Trước giờ mọi người hay nói hai thứ này là “người nhà”: đều là tài sản rủi ro, đều là những con cá trong cái ao thanh khoản của USD; một khi tăng thì cùng tăng, một khi giảm thì cùng giảm. Nhưng sau màn kịch hôm nay, e rằng cách nói đó phải sửa lại.

Tôi suy nghĩ cả đêm, chợt thông ra một góc nhìn—không chắc đúng, nhưng khá thú vị: AI bây giờ được thị trường định giá như “năng lực sản xuất”, còn Web3 được định giá như “bảo hiểm”. AI mà gặp sự cố thì mọi người lo là “không hiện thực được kỳ vọng”; còn thị trường truyền thống càng hoảng, càng có người chuyển tiền vào Bitcoin—cái “ngăn kéo nằm ngoài hệ thống”. Hướng của nỗi hoảng loạn khác nhau, nên hướng của dòng tiền cũng khác nhau.

Tất nhiên, cũng có thể là tôi nghĩ nhiều. Ông thị trường mỗi ngày đều phải bịa ra một câu chuyện để giải thích giá cả: hôm nay câu chuyện vừa vặn mang tên “AI sụp, coin mạnh lên”, ngày mai có thể sẽ là câu chuyện khác. Chuyện về biến động, xem lại sau thì có hết lý lẽ; còn nhìn trước thì toàn là nhiễu.

Điều thực sự khiến tôi nhớ hôm nay, là một tin nhắn từ một người bạn. Anh ấy làm ở một công ty khởi nghiệp AI, tối qua nói với tôi: gọi vốn thất bại, phải cắt giảm nhân sự. Tôi hỏi anh có muốn qua bên tôi làm việc trên chuỗi không, anh đáp một câu: Bên cậu dạo này có an toàn không?

Tôi suy nghĩ một lúc lâu, rồi chỉ trả lời đúng bốn chữ: Ừm được, cứ sống đã.

#AI #BTC #Web3 #科技股 #FuturaKey

Sự cộng sinh (Symbiosis) đưa ra bạch mũ (white hat) thưởng 20%, đến hạn rồi không có thêm thông tin.

Tôi đã suy nghĩ về chuyện này rất lâu, lật đi lật lại. 20% là khái niệm gì? Tổn thất thực tế lên tới 336.000 USD, còn tiền thưởng thì hơn 60.000. Bảo một người vừa chứng minh được “cây cầu của bạn có thể in tiền vô hạn” giao nộp thứ mình đang có, chỉ vì 60.000?

Chỉ có hai khả năng. Một là phía đối phương không coi trọng khoản tiền đó—nghe càng đáng sợ hơn: nếu người không coi trọng tiền mà vẫn chèn ép bạn, họ muốn gì? Hai là đối phương đang chờ một mức giá tốt hơn.

Dù là trường hợp nào, chuyện này cũng không giống kịch bản của “bạch mũ”. Bạch mũ muốn danh tiếng, hắc mũ muốn tiền tài. Lần này, người đó vừa không vội muốn danh, cũng không vội muốn tiền, mà cứ kéo dài. Kéo dài để làm gì? Đợi bản tổng kết đầy đủ của cơ quan chức năng ra mắt, đợi các chi tiết kỹ thuật của BridgeV2 được công khai, đợi cửa sổ đàm phán tiếp theo.

Nói thật, trong tháng này có ba vụ đúc tiền bất thường, thứ khiến tôi bất an nhất chính là phần kết của Symbiosis. Liquid ít nhất đã hoàn trả 85%, tiền có hướng đi rõ ràng. Còn với Symbiosis, vẫn treo một dấu hỏi trị giá 46,1 tỷ (giá trị danh nghĩa), báo cáo chính thức chưa ra, tiền thưởng thì không ai nhận.

Ở trạng thái lửng lơ, thứ hành hạ con người nhất chính là sự bất quyết.

#Symbiosis #BTC #Web3 #跨链桥 #FuturaKey

Tối nay tôi lục nhóm đội của mình và lỡ thấy một tin nhắn mà tháng trước chính tay tôi đã gửi:

“Tạm gác việc giám sát sản lượng đúc lại, đợi khi V2 ra mắt thì cùng làm.”

Đọc xong tôi lạnh sống lưng.

Không phải vì Symbiosis gặp sự cố, mà vì tôi biết câu này đã từng xuất hiện trong nhóm của bao nhiêu đội khác. Tính năng thì chuẩn bị lên, lịch thì kín, cái giám sát “trông như tạm thời không dùng tới” — rồi đến 4:28 sáng.

Tai nạn không bao giờ đến đúng lúc bạn đã sẵn sàng. Nó nhắm vào những chỗ bạn “tạm gác”.

Làm sản phẩm trên chuỗi mấy năm nay, trải nghiệm lớn nhất của tôi là: an toàn không phải là một tính năng, mà là một danh sách các khoản nợ phải trả. Hôm nay bạn gạch đi một khoản, ngày mai sẽ bớt đi một lý do bị đánh thức lúc 4 giờ sáng. Hôm nay bạn trì hoãn một khoản, nó sẽ chờ bạn ở một góc khuất nào đó của cây cầu.

Vì thế tối nay tôi lôi việc giám sát sản lượng đúc từ backlog ra, đưa lịch sang tận thứ Hai tuần sau. Không bàn bạc, không có “chờ thêm”.

Diễn biến thị trường có thể chờ, nhưng code thì không thể chờ. Câu này tôi đã tự nói với mình rất nhiều lần, và hôm nay tôi mới hiểu giữa lời nói và hành động còn cách nhau điều gì.

#Symbiosis #BTC #Web3 #链上安全 #FuturaKey

Thấy Giang Trác Nhĩ công khai duy trì vị thế Short toàn bộ (full), còn hô một mốc: sau khi tăng lên 76.000 rồi sẽ điều chỉnh.

Trước hết xin nói rõ: tôi không bình luận vị thế của người khác; lãi hay lỗ đều là năng lực của họ. Nhưng chuyện này đáng để nghĩ sâu thêm một tầng.

Một đại V công khai hô lệnh thì lượng người xem là có thật. Vậy người đi theo lệnh thì sao? Phần lớn mọi người chỉ nhìn anh ta đã đúng được mấy lần trước đó rồi lao vào. Không ai hỏi một câu hỏi căn bản hơn: quy mô vị thế của anh ấy và mức chịu rủi ro của anh ấy, có giống bạn không? Anh ấy nổ vẫn có thể quay lại; còn bạn nổ thì bạn bị loại.

Khoản học phí đắt giá nhất trong nghề này chính là học bằng cách đi theo lệnh của người khác. Vì bạn không học được logic của người ta, chỉ học được giá vào. Lãi thì bảo anh ấy là thần, lỗ thì là bạn tham.

Nguyên tắc của tôi rất đơn giản: mọi quan điểm chỉ xem như một nguồn thông tin, không thay thế cho phán đoán của chính mình. Đặc biệt là những quan điểm kèm mốc giá—càng cụ thể càng phải gắn dấu hỏi. Bởi mốc giá là “tiền tệ” lưu lượng dễ được hiện thực hóa nhất.

Quay lại diễn biến: FOMC ngay phía trước. Lúc này hô hướng nào cũng có người tin, nhưng cũng chẳng đáng để tin hoàn toàn. Kìm tay còn khó hơn kìm vị thế.

#BTC #FOMC #合约 #FuturaKey #Quản trị rủi ro

Hôm nay mình lướt thấy một con số: một sàn DEX cổ phiếu token hoá trên chuỗi Base, khối lượng giao dịch trong một ngày đã vượt 100 triệu đô.

Mình cảm thấy chuyện này đang bị đánh giá thấp. Mọi người còn đang cãi nhau về diễn biến thị trường, thì có một nhóm người khác đang đưa cổ phiếu lên blockchain.

Hãy nghĩ xem điều đó có ý nghĩa gì. Trước đây trên chain chỉ chơi được tiền mã hoá, giờ ranh giới những thứ có thể chạm tới trên chain đang được mở rộng ra ngoài. Không phải một bước là xong ngay trong hôm nay, mà là hướng đi đó đang dần trở nên rõ ràng.

Nói thật, mình vẫn bán tín bán nghi với câu chuyện cổ phiếu token hoá. Tuân thủ pháp lý là một vấn đề lớn, thanh khoản cũng là vấn đề lớn—chỉ cần một cuộc gọi của cơ quan quản lý là có thể lật tung cả cuộc chơi. Nhưng đổi góc nhìn lại: nhu cầu là có thật. Thị trường truyền thống có thời gian mở cửa hạn chế, ngưỡng tham gia cao, còn rắc rối xuyên biên giới thì nhiều. Còn trên chuỗi là 7×24 giờ, toàn cầu có thể vào. Chỉ cần nhu cầu là thật, thì sớm muộn gì nguồn cung cũng sẽ tìm cách.

Với những người làm sản phẩm trên chain, điều này quan trọng gấp một trăm lần so với biến động thị trường ngắn hạn. Nó nhắc mình một điều: đừng chỉ nhìn hôm nay tăng hay giảm, mà hãy xem ranh giới của hạ tầng đang mở rộng theo hướng nào.

Chuyện thị trường thì hôm nay mình không muốn nói nhiều. Trước khi kết quả FOMC được công bố, nói gì cũng chỉ là nhiễu.

#Base #Web3 #RWA #FuturaKey #链上金融

Hôm nay muốn nói về một chủ đề ít người để ý, nhưng tôi nghĩ nó quan trọng hơn cả diễn biến giá: mức premium kim chi của Hàn Quốc lại tăng lên, 1,33%.

Nhiều người không hiểu ý nghĩa của chuyện này. Nói đơn giản, là các đồng coin trên sàn Hàn Quốc đang được giao dịch đắt hơn so với ở nước ngoài một chút, vì tiền của họ ra nước ngoài không dễ dàng như vậy. Premium càng cao thì càng cho thấy những người muốn đi vào thị trường càng gấp gáp.

1,33% không phải là cao, nhưng hướng đi đáng để chú ý. Trước đây khi premium tăng vọt, thường không phải nhà đầu tư lẻ hào hứng, mà là có người đang vội vàng đổi won Hàn Quốc sang tài sản trên blockchain.

Tôi không lắm tin quan điểm premium là tín hiệu “bắt đáy”. Chỉ cần bạn tin thì đó mới là tín hiệu; không tin thì nó chỉ là một con số. Tôi muốn coi nó như nhiệt kế cảm xúc: có người đang gấp gáp hơn chúng ta.

Những người gấp gáp thường rơi vào hai kết cục: mua ở vị trí tốt nhất, hoặc bán ở vị trí tệ nhất.

Hiện tại tâm thế của tôi khá bình. FOMC đang ở ngay trước mắt, lúc này ngó premium để đoán hướng còn kém việc viết xong code. Diễn biến giá sẽ tự nó đi theo con đường của nó; code viết không xong thì sẽ không tự xong được.

#BTC #泡菜溢价 #Web3 #FuturaKey #行情

Blockstream nói không trả tiền chuộc. 4700 vạn USD, nói không thì không.

Tôi vừa xem được nội dung này tối qua, điện thoại không tắt, cứ nhìn trần nhà và suy nghĩ mãi.

Trước hết nói bên kia là ai: một người tự xưng là mũ trắng, đang giữ 600 BTC. Trước đó đã trả lại 3400 BTC, còn lại số này coi như tiền thừa/tiền trả lại. Bây giờ phía chính thức đã nói dứt khoát: không đàm phán, cũng sẽ không đàm phán; đây là phạm tội, đi theo pháp luật mà truy.

Phản ứng đầu tiên của tôi là thấy đã đã. Dòng này bị làm bẩn quá lâu bởi những kẻ ra tay trước rồi mới giảng đạo lý — lục sạch tài sản của bạn, rồi quay lại bảo tôi là giúp bạn. Biến.

Nhưng sướng xong, tôi làm một bài test: đến lượt tôi đứng mũi chịu sào, liệu có chịu nổi không? Thành thật nghĩ mười phút. Chịu không nổi. Tôi sẽ trả; trả xong thì đối ngoại nói rằng đó là tiền thưởng.

Vậy nên nước cờ này nhìn thì ngầu, nhưng ngầu ở chỗ tôi không làm được.

Sau đó tôi mới hiểu vì sao họ dám. Hôm nay trả, ngày mai mọi dự trữ trên chuỗi đều thành máy rút tiền. Tiền chuộc lần đầu là để cầm máu, lần hai thì chính là huy động vốn.

Có những khoản tiền nhìn như là tiết kiệm, nhưng thật ra là vay nặng lãi.

Bạn nghĩ sao? Đổi bạn thì có trả không?

#Liquid #BTC #Web3 #链上安全 #FuturaKey

“Con đường pháp lý để truy đòi” năm chữ này, bình luận bên dưới đều đang cười.

Tiền trên blockchain thì tìm ai để truy? Địa chỉ thì không biết nói, khóa riêng thì không biết tự thú. Người cười thì có lý do để cười.

Nhưng tôi hỏi một người bạn làm về tuân thủ, anh ấy trả lời một câu khiến tôi sững người: “Xác định tính chất còn đáng giá hơn cả việc đòi tiền.”

Ý là sao? Một khi đã khởi tố hình sự, 600 BTC kia sẽ trở thành tài sản phạm tội. Hệ thống kiểm soát rủi ro của các sàn giao dịch tuân thủ trên toàn cầu không phải dạng vừa đâu; địa chỉ tài sản phạm tội không thể vào sàn, còn việc rửa qua cross-chain cũng sẽ bị gắn nhãn. Kẻ tấn công nắm giữ “vàng số” nhưng không thể tiêu ra.

Đòn phản kích tàn nhẫn nhất không phải là đòi lại tiền, mà là khiến tiền mục nát ngay trong tay đối phương.

Mỗi lần hắn muốn hiện thực hóa giá trị, lại phải sống trong sợ hãi một lần. Cái “mỗi lần đều phải tim đập thình thịch”, còn hành hạ người ta hơn cả ngồi tù.

Vì vậy đừng vội cười rằng “pháp luật không có tác dụng trên blockchain”. Ván này, ngoài chuỗi mới là chiến trường.

#Liquid #BTC #Web3 #区块链安全 #FuturaKey

Tối nay hãy gom vài tín hiệu của tháng 9 lại để xem cùng nhau, kết luận rất rõ ràng: hiện tại không phải lúc đoán đáy, mà là lúc đặt kỷ luật.

Trước hết điểm lại những việc đáng nhớ trong tuần này.

Thứ nhất, Liquid bị đánh cắp 320 triệu USD. Tài sản neo bị “đúc” thêm một cách vô hình để xuyên thủng, kẻ tấn công tự xưng là mũ trắng, sau khi rút lui 85% thì để lại khoảng 47 triệu USD. Thứ hai, Cronos đã phải rollback khối do cuộc tấn công vay mượn—câu chuyện “không thể bị sửa đổi” trên chuỗi bị chủ động phá vỡ một lần. Thứ ba, dòng tiền ròng của ETF XRP trong một ngày đã vượt BTC và ETH, tiền đang chảy về những tài sản có “câu chuyện quản lý” rõ ràng nhất. Thứ tư, chỉ số tham lam vẫn ở trên 70, nhưng giá lại đi ngang mài từ 78K xuống 76K—cho thấy đợt giảm này không phải sự sụp đổ cảm xúc, mà là dòng tiền chủ động rút lui trước dữ liệu vĩ mô.

Nhìn xa hơn, FOMC sẽ họp vào thứ Ba và thứ Tư tuần tới, và vào rạng sáng ngày 9/17 theo giờ Bắc Kinh sẽ ra quyết định. Sau khi CPI, PPI liên tiếp vượt kỳ vọng, thị trường đã “đặt cược” rằng rồi sẽ cứng rắn. Nhận định của tôi: tháng 9 nhiều khả năng sẽ không tăng lãi suất, nhưng chỉ cần Powell cứng rắn thêm một lần thì tài sản rủi ro lại phải rung lắc thêm một đợt.

Với tư cách là người sáng lập FuturaKey, tôi đặt ra cho mình ba kỷ luật và cũng chia sẻ với bạn:

Thứ nhất, trước khi quyết định được công bố thì không mua thêm, không bắt đáy. Giữ đạn ở đó—đợi thị trường tự chọn đáp án.

Thứ hai, rà lại từ đầu danh sách kiểm toán an toàn cho các dự án đang nắm giữ. Mật độ tấn công của tháng này cho thấy: thị trường có thể chờ, nhưng code thì không thể chờ.

Thứ ba, thị trường yếu là “cửa sổ” để mài công cụ. Các nhu cầu như giám sát on-chain, cảnh báo đúc đột biến đang ngày càng tăng—đó là lý do tôi kiên trì làm sản phẩm thuộc mảng an ninh.

Cuối cùng nói một câu thật lòng: thị trường không thiếu cơ hội, mà thiếu những người còn đạn khi cơ hội đến.

Bạn hiện đang có mấy phần trăm vốn? Hãy thảo luận ở phần bình luận.

Trên đây chỉ là quan sát cá nhân, không phải lời khuyên đầu tư.

#BTC #FOMC #Web3 #链上安全 #FuturaKey

Trước FOMC, tôi có ba kỷ luật: không mua thêm, không bắt đáy, giữ đạn

Tuần này CPI và PPI liên tiếp vượt kỳ vọng, thị trường đang gia tăng đặt cược cho khả năng tăng lãi suất. FOMC sẽ họp vào thứ Ba và thứ Tư tuần tới, quyết định sẽ được công bố vào rạng sáng ngày 17/9 theo giờ Bắc Kinh.

Nhận định của tôi: tháng 9 nhiều khả năng sẽ không tăng lãi suất, nhưng chỉ cần Powell “cứng miệng” thêm một lần, thì tài sản rủi ro lại phải rung lắc thêm một đợt.

Trong thời điểm như vậy, quan trọng hơn việc đoán đúng hướng là sống đến lúc câu trả lời được công bố. Tôi đã tự đặt ra ba kỷ luật cho mình và chia sẻ với bạn:

Thứ nhất, trước khi quyết định được đưa ra thì không mua thêm và không bắt đáy. Thị trường sẽ lần lượt đưa ra câu trả lời, không cần dùng tiền thật để cược.

Thứ hai, rà soát lại danh sách kiểm tra an toàn cho các hạng mục hiện có trong tay. Mật độ tấn công của tháng này nói rõ: thị trường có thể chờ, nhưng mã code thì không thể chờ.

Thứ ba, thị trường yếu là “cửa sổ” để mài giũa công cụ. Các nhu cầu như giám sát on-chain và cảnh báo bất thường đang ngày càng nhiều—đó cũng là lý do tôi kiên trì làm các sản phẩm an ninh tại FuturaKey.

Cuối cùng nói thẳng một câu thật lòng: thị trường không thiếu cơ hội, thiếu người còn “đạn” khi cơ hội đến.

Giờ bạn đang có mấy phần trăm vốn trên vị thế? Bình luận trao đổi nhé.

Những nội dung trên chỉ là quan sát cá nhân, không cấu thành lời khuyên đầu tư.

#BTC #FOMC #Web3 #链上安全 #FuturaKey

Liquid đã rút 85%, để lại 47 triệu làm tiền thưởng — vậy có tính là white hat không?

Hai ngày nay cộng đồng vẫn đang tranh cãi về chuyện này, và tôi cũng nói quan điểm của mình.

Trước hết hãy nêu rõ các sự kiện: kẻ tấn công đã tạo ra 4000 token LBTC “tồn tại ngoài không gian”, rồi thực hiện quy trình bình thường để lấy đi 3996 BTC thật. Sau khi Blockstream sửa các node, phía đó trả lại thêm 3400 token, để lại khoảng 598.5 token — theo giá hiện tại tương đương khoảng 47 triệu USD.

Kẻ tấn công tự nhận là “white hat”: Tôi không đến để trộm tiền, tôi đến để nhắc các bạn rằng có lỗ hổng.

Nhưng ở đây có vấn đề về logic. Quy trình tiêu chuẩn của công bố có trách nhiệm là gì? Phát hiện lỗ hổng → báo cáo cho bên dự án → chờ sửa chữa → nhận tiền thưởng. Còn lần này là: trước tiên rút cạn 95% dự trữ → đợi dự án sửa → sau đó hoàn trả 85% → giữ lại 15% làm tiền thưởng.

Trình tự đảo ngược nên bản chất cũng đổi theo. Việc Blockstream xác nhận trên chuỗi rằng node đã được sửa và có thể hoàn tiền cũng khiến mọi thứ trở nên tinh vi hơn — xét từ góc nhìn của kẻ tấn công, điều đó tương đương với việc thừa nhận “cứ hoàn tiền là hòa” như một lối thoát.

CTO của Ledger nói còn thẳng hơn: Đây không phải white hat, mà là bắt cóc rồi mới đàm phán.

Tôi là người sáng lập FuturaKey, đồng thời cũng tự làm các sản phẩm on-chain, nên tôi hiểu vì sao cộng đồng bị chia thành hai phe. Một phe cho rằng: tiền phần lớn đã quay về, vậy là kết quả tốt. Phe còn lại cho rằng: nếu hành vi kiểu này được khuyến khích, lần sau kẻ tấn công sẽ càng lấn tới — cứ trút cạn trước rồi nói sau, dù gì cũng sẽ được hoàn lại một phần để “rửa sạch”.

Quan điểm của tôi là theo phe sau. Lý do rất đơn giản: nếu “ra tay trước, rồi hoàn tiền sau” mà vẫn được gọi là white hat, thì ngành công nghiệp hack sẽ không có chi phí thất bại nữa — tấn công thành công thì giữ lại một phần, tấn công thất bại thì xưng là white hat để xin tha. Điều này cực kỳ bất công với những nhà nghiên cứu thật sự làm công bố bảo mật một cách nghiêm túc.

Điều đáng chú ý hơn nữa là tín hiệu của ngành: tháng này Liquid gặp sự cố 320 triệu, Cronos rollback, cho thấy mật độ sự kiện an ninh đang tăng lên. Trong giai đoạn thị trường gấu, tin tặc hoạt động mạnh hơn thị trường bò — còn ngân sách phòng thủ của dự án đang bị cắt, trong khi lợi ích từ tấn công thì không đổi.

Với người dùng phổ thông, lời khuyên của tôi chỉ có một: hãy “neo” mức độ an toàn của tài sản được phát hành trên sidechain/anchored asset, và luôn thấp hơn mainnet. Đừng vì lợi suất cao hơn một chút mà đổ cả lô lớn vốn lên đó.

Bạn nghĩ “trước tiên rút cạn rồi hoàn 85%” có được xem là white hat không? Hãy thảo luận trong phần bình luận.

Trên đây chỉ là quan sát cá nhân, không phải lời khuyên đầu tư.

#Liquid #BTC #Web3 #链上安全 #FuturaKey

"Thời đại "Uniswap đổi sang chuỗi khác" đã kết thúc" Hãy cùng bàn về thiết kế Hooks của V4

Mấy ngày nay mình đang nghiên cứu kiến trúc của Uniswap V4 và ghi lại một vài cảm nhận.

Trước đây, hình thái dự án phổ biến nhất trong mảng DeFi: fork Uniswap rồi triển khai trên một chuỗi khác, chỉnh sửa chút UI. Vì trong kiến trúc V3, mỗi cặp giao dịch đều phải triển khai hợp đồng riêng. Muốn tạo khác biệt thì chỉ có thể viết lại.

V4 đã thay đổi logic này. Cốt lõi có hai điểm:

**Kiến trúc Singleton**: Toàn bộ trạng thái của các pool được gom vào một hợp đồng PoolManager. Việc tạo pool biến thành "cập nhật trạng thái" thay vì "triển khai hợp đồng mới" nên chi phí gas giảm mạnh.

**Hệ thống Hooks**: Hợp đồng bên ngoài được gắn vào các điểm trong vòng đời của pool, nơi có thể chèn logic tùy chỉnh. Muốn áp dụng phí động thì không cần viết lại toàn bộ AMM; chỉ cần viết một Hook rồi gắn vào. Phần cốt lõi của logic tạo lập thị trường và tính an toàn đều được kế thừa từ chính Uniswap.

Thiết kế này làm "ngưỡng đổi mới" thấp hơn, nhưng đồng thời cũng mang đến vấn đề mới: sự an toàn của chính Hook sẽ được ai đảm bảo? Nền tảng có vững đến đâu thì logic Hook bạn viết vẫn có thể có lỗ hổng và bị tấn công. Trách nhiệm kiểm toán (audit) ở một mức độ nhất định đã chuyển sang từng nhà phát triển Hook.

Sau này mình sẽ viết chi tiết hơn về phần tách nhỏ kỹ thuật.

#Uniswap #DeFi #Web3 phát triển #FuturaKey