卧槽，MetaMask（Consensys）居然被一个朝鲜黑客肉身渗透，在内部写了一个月的核心出入金代码。 这个黑客在 GitHub 的 ID 叫 imyugioh，化名 Tyler Knapp，通过第三方外包服务商混进了 Consensys 担任开发顾问。 从 3 月 9 日到 4 月份，他直接参与了核心钱包代码中负责加密货币与现金转移的敏感模块。 虽然总法律顾问 Matt Corva 在 4 月紧急叫停所有产品发布并切断其权限，最后确认没有资产损失或恶意代码部署，但这波“潜伏偷家”暴露出的行业漏洞是灾难性的。 TRM Labs 数据显示，2025 年全球加密黑客攻击损失的 27 亿美元里，有一半以上是朝鲜黑客干的（包括从 Bybit 卷走 15 亿）。 最近一个以太坊资助的项目查了 53 个加密项目，硬生生揪出了 100 个疑似伪装的朝鲜 IT 人员。 所有圈内项目都必须审查有没有朝鲜黑客，尤其是交易所，太危险了。

一朝鲜黑客以外包身份潜入MetaMask参与法币出入金开发，未造成数据和资金损失 MetaMask 母公司 Consensys 法律主管 Matt Corva 披露，MetaMask 出现一起安全事件，团队混入了一名朝鲜黑客。该黑客名为 Tyler Knapp，通过长期合作的人力资源供应商以外包形式进入 MetaMask，绕过了公司直接招聘的背景审查。该黑客在公司工作了一个月，参与了钱包法币出入金功能的开发，期间因 IP 和行为异常，被公司安全监控发现。公司立即撤销其所有权限，暂停其经手的所有产品发布。Matt Corva 称，目前没有造成实质性的数据或资金损失。

小狐狸钱包母公司 Consensys 表示 他们通过一家“信誉良好的第三方服务商”，外包了一名软件开发者，但后来发现此人疑似与朝鲜有关。 这个开发者使用化名 Tyler Knapp，以顾问身份参与工作，并在大约一个月内接触过 Consensys 的部分系统。 发现风险后，Consensys 暂停了一部分产品发布，立即切断其权限，并展开全面调查。 目前据说没有产生任何实质性的数据和资金损失，但是根据他的Github可以看到在今年3-4月有多次MetaMask代码提交记录。 金将军现在真的是无孔不入！

好家伙..MetaMask刚刚大张旗鼓的庆祝完10周年，今天就宣布从团队里揪出来了一个朝鲜黑客😓据其母公司Consensys的法律主管@MattCorva向媒体披露，一个名为Tyler Knapp的朝鲜黑客在MetaMask里工作了一个月，参与了钱包的法币出入金功能开发，此人是由一个与MetaMask长期合作的人力资源供应商进入，而非直接招聘，所以也就是一个外包人员，从而绕过了公司的入职背景审查，但是随着工作过程发现这人不对劲，包括IP和行为异常，触发了公司的安全监控，于是立刻撤销了他的所有权限，并且公司内部通报暂停他经手的所有产品发布，目前说是没有产生任何实质性的数据和资金损失。 根据他的Github可以看到在今年3-4月有多次MetaMask代码提交记录。

据 Drop Site News 报道，区块链公司 Consensys 意外聘用了一名与朝鲜有关联的软件开发人员。该人员化名 “Tyler Knapp”，通过第三方服务商推荐加入 Consensys，曾参与 MetaMask 钱包相关代码开发，包括加密资产与法币转换功能。Consensys 表示，在发现安全风险后已立即终止其访问权限，并展开调查，确认未发生资产或数据泄露、未部署恶意代码，也未影响用户安全。公司随后向执法机构报告事件，并审查第三方工程外包流程。近年来，朝鲜相关人员被发现通过伪造身份进入美国软件公司获取远程开发岗位，试图窃取信息或渗透软件供应链。

上周去面试某澳洲大厂，被面试官的一道架构选型题整沉默了…… 面试官（敲了敲桌面）：“业务部门想要一套实时看板，监控每日商品成交偏好，你打算怎么设计？” 我内心狂翻白眼：“这还用想？简历上不写个 Flink + Kafka 实时流计算，怎么好意思跟你们要 30K 的工资？！必须上最炫的实时流啊！” 我表面强装镇定：“呃……直接搭建 Kafka 集群把订单推过来，接 Flink 做毫秒级滑动窗口计算，再实时打进 ClickHouse 供前端秒级刷新！” 面试官露出了关爱智障的微笑：“行，为了看一个每天只在晚上总结算一次的业务，你每个月多花了公司 20 万维护高可用流集群。回去了解一下 Lamda 架构向 Kappa 演进时对‘业务 ROI 与延迟容忍度’的权衡吧。”

学术水平的提高，本质上只有一个指标：你能独立产出别人无法轻易复现的技术结果的能力。其余都是它的副产品。 举个例子，一个人想要穷尽一生，追求非平衡态统计物理，非线性动力学，复杂系统科学，控制论、博弈论的探索。 首先我会看到这些是同一套数学的五个出口。 状态空间上的流，确定性的是非线性动力学，加噪声就是随机过程，加控制项就是控制论，加多个各自优化的主体就是博弈论。 大偏差理论是贯穿一切的热力学形式。Touchette 2009 的综述值得读三遍，它让我们看清熵、速率函数、自由能、Lyapunov 指数其实是同一个东西的不同外衣。 路径积分、作用量表述把随机热力学和随机最优控制缝在一起（Kappen 的 path-integral control 是最漂亮的接口）。 信息即热力学资源，把控制论真正接回物理。 平均场博弈=控制 + 统计物理 + 博弈的合流点。 看清主干，就不会把时间浪费在互相重复的科普层。 数学地基：测度论概率、随机微分方程（Øksendal）、常微分方程定性理论、变分法。 记得导师说，地基不牢，后面全是文学。 主干书目大脑里过一遍。 随机过程：Gardiner 或 van Kampen ，Sekimoto《Stochastic Energetics》，Seifert 2012 综述 ，Peliti & Pigolotti《Stochastic Thermodynamics》 非线性动力学：Strogatz打底，Kuznetsov，分岔，Guckenheimer & Holmes 控制：Åström & Murray《Feedback Systems》，Liberzon《Calculus of Variations and Optimal Control》，Bertsekas 博弈：Hofbauer & Sigmund《Evolutionary Games and Population Dynamics》（这本直接把博弈变成动力系统，是你这个组合的天然入口），然后Sandholm 网络、复杂系统：Newman《Networks》，其余谨慎，这个领域良莠混杂最严重，暂且不提。 然后，选一个窄到令人不安的锚点。 比如“活性物质中的热力学不确定关系”或“有限信息下的反馈冷却”。 我觉得科研水平真正跃升的地方在这四件事。 1.手算 + 数值复现。 拿一篇佩服的论文，从零复现它的图，会发现论文里 80% 的关键细节没写。 这种痛苦，就是水平本身。 2.写。 把以为懂了的东西写成给别人看的推导。写不出来 = 没懂。 这是廉价也最少人做的自检。 3.进入真实的学术共同体。 独自求索在这几个领域几乎必然失败。判断什么问题值得做只能通过和高手的高频摩擦获得。 找到导师、组会、arXiv 上的通信对象。 4.接受长期的技术孤独。 前五年你会觉得自己只是在学别人早就知道的东西。这是正常的。 穷尽一生是个好志向，但一生需要一个营地。 如果是我，我或许会以一个方向为职业性专长，随机热力学或随机最优控制，毕竟两者技术门槛高、饭碗实在、且是其余三者的枢纽，其余作为持续侵入的卫星。