我刚看了X 6月11日之后官方没有新的可见推文 最近官方明确推的还是App V2 Community Bug Bounty 截止6月16日 奖励里有TMX 还有V2 Pioneer角色 大家现在聊的也很直接 有没有上榜 断签伤不伤 XP MP 徽章怎么算 TGE到底什么时候来 有些人急 有些人觉得没动静可能是在打磨产品 这段时间最难受的就是消息不多 每天写内容 做任务 打卡 最后肯定都想知道有没有结果 我现在不会拿旧消息硬写新热点 能确认的就是Bug Bounty还在跑 大家还在等TGE 后面主要看官方会不会在6月中下旬给新动作 不是让你冲 是你要想清楚自己每天做的动作有没有留下记录 @TermMaxFi

Pentest-Swarm-AI 是一个用 AI agent swarm 做自动化渗透测试的项目。 它把 recon、classification、exploitation 和 reporting 拆给不同 specialists，支持 bug bounty、continuous monitoring 和 CTF 模式；跑自动化渗透测试前，授权范围和测试边界要先写清。 GitHub 现在约 1.6k stars，今天新增 111 stars。 工具地址：

最近市场有点无聊。 那就去薅点项目方羊毛 😂 @primitforall 正在进行 Beta 测试， 我这边拿到了一些体验金名额。 🎁 抽 10 位朋友 💰 每人 20 USDT 交易体验金 重点： ✔️ 免费领取 ✔️ 盈利可提走 ✔️ 顺手还能参与 Bug Bounty 平时玩 Perp 的朋友， 或者想体验 Avalanche 新产品的， 都可以来试试。 参与方式👇 1️⃣ 注册账号 2️⃣ 关注 @damobianyuan 和 @primitforall 3️⃣ 加入 TG 社区 4️⃣ 填写报名表单 ⏰ 24 小时后开奖 看看谁能把 20U 变成 200U 🍀📈 #Avalanche# #Perp# #Crypto#

本以为 5 月风平浪静，结果 DeFi 又出事了 这次被打的是 1inch @1inch 生态中一个重要的流动性提供方TrustedVolumes。根据 Blockaid 监测，攻击发生在以太坊上，受影响的是TrustedVolumes 自定义 RFQ 合约 目前已被提走约 587 万美元资产，包含 1291.16 WETH、126.9 万 USDC、20.6 万 USDT 和 16.94 WBTC Blockaid @blockaid_ 还提到，这次攻击者与 2025 年 3 月 1inch Fusion V1 事件为同一操作者，但漏洞并不相同。这意味着，问题不在同一个洞被反复利用，而更像是攻击者对这类链上撮合体系已经形成了持续性研究和定向打击能力 事件发酵后 TrustedVolumes 已公开被盗地址，并表示愿意就 bug bounty 与资金返还展开沟通；而 1inch 也迅速澄清，称此次事件不涉及 1inch 协议、基础设施或用户资金，TrustedVolumes 是独立运作的流动性提供方，并非 1inch 独占使用 如果你近期用过 1inch Fusion 或与 TrustedVolumes 相关的执行路径，最现实的动作不是围观吃瓜，而是 尽快检查并撤销相关授权

🫤去年我发现某家全球Top 5的大所存在一个严重漏洞，价值在 $100,000+ 级别，为防止被黑客利用，我第一时间主动联系他们团队，快速通报并协助处理。 一句“谢谢”，然后就彻底没下文了.. 没有反馈、没有奖励、甚至没有公开致谢。 以后不客气，直接走 Bug Bounty 流程—修复、披露，公开透明。

Velvet不是又一个带AI的交易终端。 它在底层做的是一件更安静的事：把“我想达成什么结果”直接翻译成可验证的链上动作，同时把社交信号、AI分析和执行层缝在同一套自托管流程里。 普通人真正会碰到的三个摩擦点，它怎么拆 摩擦1：信息在不同界面，执行在另一个界面 多数人打开五个标签页：看聪明钱、看新盘、看K线、看路由、再切钱包签名。 Velvet把“发现 → 分析 → 准备交易”压进同一条自然语言通道。你可以直接跟Velvet Unicorn说“帮我看看Base上最近流动性突然变深、但聪明钱还没大规模进的token”，它会拉链上动量、钱包流、社交信号，然后给出可签名的交易提案。 关键点不在“AI会说话”，而在每一步都必须你亲自授权。 资金从未离开钱包，AI只是把复杂路由和数据整理成你能一眼看懂的提案。 摩擦2：想跟别人的策略，却永远不知道对方真实执行价和滑点 传统跟单要么中心化、要么链上各跑各的，结果就是“我跟的人赚了，我亏了”。 Velvet的Onchain Vault用Safe标准合约把这一点钉死：同一策略里，管理者和存款人看到的是同一套执行结果。资产全程非托管，费用结构（管理费、表现费、进出费）写在合约里，任何人都能验证。 对普通用户来说，这意味着“加入一个社区策略”不再是盲信KOL截图，而是加入一条可审计的共享执行路径。摩擦3：跨链还要自己桥、自己算gas、自己防MEV 现在支持Base、Ethereum、BNB Chain、Solana、Hyperliquid、Monad、Sonic，最近还加了Arbitrum。 更少人注意到的是背后的intent路由：你可以一边用A链资产，直接买B链token，桥接和gas在后台处理，用户侧接近无感。同时内置MEV防护和多聚合器路由（Jupiter、1inch、0x、Kyber、DFlow、Enso等）。 这不是“多链支持”的宣传语，而是把普通用户最烦的碎片化操作压缩掉了。最近真正值得盯的细节（不是口号）VelvetX 还在邀请制阶段，但它已经把“社交层”做进交易流： 13M+钱包追踪、KOL动向、社交信息流，和AI、现货、永续、收益放在同一界面。 VU Bot 刚上线，直接进Telegram群。群里每个人都能让AI读token、比拼谁的判断更准，把“群聊吹票”变成可量化的小竞赛。 Gems Epoch 11 拉长到三个月，8月10日左右结算约271万$VELVET。连续挖矿有递增加成，交易量分11档倍率，现货1x、永续0.2x。这不是简单的空投农场，而是把持续使用行为直接映射到奖励权重。 Prompt-to-Strategy 和MCP支持已经开放：你可以用自然语言描述一个想法，生成能24/7跑的自主策略框架；开发者和外部AI agent也能直接接DeFi原生数据。 费用模型干净：只收交易费，最高100% cashback（成交量阶梯 + veVELVET质押），新用户首月15%，被推荐用户20%，推荐人终身拿被推荐人手续费的50%。 安全侧有七次独立审计（PeckShield、Spearbit等），实时监控，Webacy风险提示，开源bug bounty。邮箱/社交账号也能一键生成非托管钱包（Turnkey），不需要先有助记词。一个很少被写的观察大多数“AI交易工具”本质是CEX API的包装层，或者中心化策略黑盒。 Velvet走的是另一条路：意图层在链上、执行可验证、AI只负责提案、最终签名权永远在用户手里。 这让它更像“给普通人用的链上操作系统”，而不是又一个会说话的交易机器人。对白天有工作、晚上才有空看市场的人来说，真正有用的不是更高的杠杆数字，而是： 少切几个页面、少猜几次真实滑点、少自己桥几次链，同时还能用自然语言把复杂动作拆开看清楚。 @Velvet_Capital @yzilabs @xhunt_ai 本文纯独立观察

AI 黑客来了！开源框架让 AI Agent 自主挖漏洞并真实验证 渗透测试一直很贵、很慢、还容易漏。现在有个开源项目把这件事用 AI Agent 彻底重做了。 Strix（usestrix/strix）是一个开源 AI 黑客框架，它用多 Agent 协作的方式，像真实黑客一样动态执行代码、发现漏洞，并通过真实 PoC（Proof of Concept）验证，避免静态扫描的大量误报。 // 核心亮点： • Graph of Agents：多个 AI Agent 协同作战，支持白盒/灰盒/黑盒测试 • 真实验证而非猜测：Agent 会自己写 exploit 并执行验证，极大提升可信度 • 自动生成修复 PR：发现问题后还能直接帮你提交修复代码 • 全流程开发者友好：CLI 一键扫描 + GitHub Actions CI/CD 集成 • 支持本地大模型：可接 Ollama、LM Studio 等，数据不出本地 • 完整工具链：内置浏览器自动化、终端执行、代码分析等黑客常用工具 目前已获 27.1k stars，被定位为「把渗透测试从几周缩短到几小时」的 AI 原生安全工具。 对 DevSecOps 团队、bug bounty 猎人、AI 安全研究者，以及想把安全左移到开发流程里的团队来说，这是一个极具颠覆性的开源项目。 GitHub： 去 star 一下，试试让 AI Agent 帮你扫描项目。

很多人看到Raydium @0xINFRA 被盗 134 万美元，第一反应，又一个 DeFi 被黑了？ 但看完整个事件后，我发现这次最有意思的地方恰恰不是黑客有多强，而是代码太“长寿”了。 攻击者挖的不是 Raydium 现在的主协议，也不是大家每天在用的流动性池。他盯上的，是一段埋在 Solana 链上快 5 年的“古董代码”。 这不是当前主协议被攻破，也不是一句用户资金安全就能轻轻带过的事。它更像是一起典型的 DeFi 遗留代码安全事故。 攻击者盯上的，是 2021 年 Serum 时代的 AMM V3 旧程序。那批池子早就被废弃，用户通过现在官方界面根本访问不到，但链上代码和里面的资金却一直躺着没人管。 利用 LP Mint 的验证逻辑漏洞，伪造 LP Token，直接把这些沉睡多年的资金搬空了。金额不算今年最大，但这件事特别有代表性。 它暴露的不是什么前沿技术漏洞，而是整个 DeFi 长期忽视的老问题：项目升级新代码，却很少真正清理历史。 Code is Law，大家都懂。但链上还有一句话：Code Never Dies。废弃不等于消失，那些没人维护、没人监控的老合约，恰恰成了黑客最爱挖的宝藏。 现在越来越多攻击者不硬刚经过无数审计的主协议，而是专做考古，翻几年前的旧代码，性价比极高。 好在 Raydium 团队这次反应很快，第一时间公布根因、影响范围，并承诺用 Treasury 全额补偿。RAY 价格也没出现恐慌抛售，因为核心流动性、活跃池和主协议都没事，真正被挑战的是治理和安全维护能力。 这件事后，我觉得 DeFi 项目该把下面几件事列为标准动作： - 定期审计遗留合约 - 对废弃程序强制下线（Sunset） - 资金彻底迁移清零 - 异常 Mint/Withdraw 实时监控 - 长期维持 Bug Bounty 牛市里大家爱聊 TVL、收入和币价，但我越来越觉得，最被低估的其实是安全建设。一个协议成熟不成熟，不是看它多久没出事，而是看它怎么处理历史旧债、出事后敢不敢负责。 Raydium 这次亏了 134 万，但如果处理得好，未必会丢信任，反而可能成为 Solana DeFi 加强安全治理的转机。 DeFi 的进化从来不是零事故，而是在事故中不断升级。问题不是漏洞会不会来，而是谁能在下一次之前，把旧账先还干净。