Transit Swap 这次安全事故不是个简单的坑… 主要原因在于 Transit Swap 协议在进行代币兑换时并未对用户传入的数据进行严格检查，导致了任意外部调用的问题。攻击者利用此任意外部调用问题窃取了用户对 Transit Swap 授权的代币。 多说无益，尽力追踪。

Coca cola 🆒 Seedance 2.0 prompt 👇 【风格】潮流饮料变装广告（Fashion Transition Ad），竖屏9:16，真实摄影（Photorealistic）+ 平面抠像拼贴风（Cutout Collage Graphic），丝滑卡点变装，8K超清，可乐红#E61A27#/纯黑/纯白三色体系 【时长】15秒 【场景】开场为纯白摄影棚背景；第2秒起切换为可乐红纯色背景+画面中央巨大白色曲线可乐瓶形抠像框（经典弧线瓶身剪影），背景压一层深红色"COLA"斜体大字；全程无真实品牌logo 【角色】主角@图片1（保持参考图容貌与发型；开场穿黑色插肩长袖+黑色阔腿短裤；各段变装均为红黑白配色） [00:00-00:02] 镜头1：拧盖卡点（White Studio Open） 纯白背景中景：主角@图片1手持无标识可乐瓶（深棕色汽水+红色瓶标），双臂交叉做两次卡点拧盖动作，第三拍"啵"一声拧开瓶盖，气泡嘶声升起。 音效：两声节拍音、瓶盖"啵"、碳酸气泡嘶嘶声。 [00:02-00:03] 镜头2：一口切世界（Snap Transition） 她仰头喝一口，吞咽瞬间背景"啪"地整体切换：可乐红背景+白色瓶形抠像框罩住全身，深红"COLA"斜体字横贯背景。 音效：吞咽声+重低音"咚"一声定格。 [00:03-00:07] 镜头3：变装1·街头节奏（Transition Pop / Floating Props） 瞬切变装：反戴红色棒球帽、头架白色墨镜、黑色马甲叠穿红色背心、白底黑波点裤袜+黑色短裤、红色厚底鞋，手持可乐瓶。 她在瓶形框内做轻快跳跃舞步：单脚跳、扭胯、举瓶摆拍。 周围漂浮红白配色道具：磁带随身听、拍立得相机、头戴耳机、采样器，白色3D立体字"气泡拉满"分布四角。 音效：卡点节拍+道具飞入的"咻咻"声。 [00:07-00:10] 镜头4：变装2·活力当下（Kick Jump Pose） 瞬切变装：白色棒球帽、白T印红色图案、红黑外套系在腰间、黑色短裤、红色高帮帆布鞋。 她做踢腿跳跃定格姿态，随后落地转身摆胯。 漂浮道具换成：红色帆布鞋、白色鸭舌帽、红白相机、墨镜，3D立体字换为"痛快当夏"。 音效：节拍延续+跳跃落地"砰"。 [00:10-00:13] 镜头5：变装3·夏日漂浮（Floating Summer） 瞬切变装：白色一字肩短上衣、红白条纹短裤、赤足，身体呈漂浮泳姿斜躺在瓶形框中，手持可乐瓶。 周围漂浮：红白条纹泳圈、小黄鸭、红色人字拖、白色网兜包，3D立体字"离开地心引力"。 音效：节拍转轻盈+水泡"咕噜"声。 [00:13-00:15] 镜头6：产品海报收尾（End Card） 瞬切至海报画面：红黑斜切双色背景，中央一瓶无标识可乐瓶特写（深棕汽水、红瓶标、白色"COLA"字样），瓶身挂着细密水珠。 白色斜体大字从两侧弹入："可乐爽人瓶"，下方一行小字"#爽出你的痛快##"。 画面定格，不淡出。 音效：最后一记重音+气泡嘶声收尾。

兄弟们有人真的把 Claude 搭成了一家公司。 不是比喻，是真的按组织架构图塞了 42 个技能。 开发部：Superpowers、Context7、Skill Creator、MCP Builder、Webapp 测试、Claude-Mem。 设计部：UI UX Pro Max、Taste、前端设计、Transitions、Web artifacts、品牌指南。 营销部 45 个技能，社媒 17 个，财务 8 个，小企业 31 个，法律 9 个。 文案、SEO、线索磁铁、Reels、缩略图、报表、对账、审计、合同、NDA、合规，全给你分好了。 最离谱的是，每个技能都是真的，能直接装。 这已经不是用 Claude 了。 这是在给 Claude 招了一整栋写字楼。 结构看下图👇

⚡ 又发现一个前端动画神器，几行代码就能让网页元素丝滑动起来，还能跑满 120 帧。 GitHub 狂揽 32.5k star，它的前身就是大名鼎鼎的 Framer Motion，现在改名 Motion，连 Vue 也一起支持了。 有了他，前端再也不用手写一堆 CSS keyframes 和 transition，缓动曲线调到头秃。 一句 就搞定网页入场动画、手势反馈滚动联动，弹簧动画、布局过渡。 它把 JS 的灵活和浏览器原生 API 拼在一起，动画走 GPU 加速，所以才跑得动 120 帧不卡顿。 部署也很简单，npm install motion 就能用。 GitHub：

Halborn 要审 Alkanes，而且明确说是 Bitcoin metaprotocol + indexer，这个定性我觉得很关键。 BTC L1 资产协议最难的地方，不只是合约逻辑本身，而是不同节点能不能从同一段 Bitcoin 历史里 replay 出同一个协议状态。 这也是我最近在本机跑 Bitcoin full node + Alkanes full index 的原因。 我不想只看 UI 或第三方 API 给出来的结果。 我更想自己从原始链数据往上验证 state transition、trace、余额、失败调用和流动性变化。 如果 BTC DeFi 真的起来，优势不会只是“谁先发现下一个 ticker”。 真正的壁垒会是：谁拥有自己的数据层。

Aztec 似乎又被盗了，其 Private Rollup Bridge 0x737901bea3eeb88459df9ef1BE8fF3Ae1B42A2ba 有三笔可疑利用（总约 215 万美金）： 1,158 ETH 150,000 DAI 0.46963295 renBTC 资金主要都在： 0x6952d9246e9aFE8B887B2877225163436F78E97F 其中部分 ETH 转移到： 0x15930a0fef3421f48c6553b5691682cc1b22edb3 0x33d6a0d9bc210e823e043d604179cd844eb467df 攻击地址 Gas 来源 初步分析原因：Aztec RollupProcessor 的 Escape Hatch 在开启窗口内允许任意 caller 提交一个可被 verifier 接受的 rollup proof。合约在 processDepositsAndWithdrawals() 中只根据 proofData 里的 public output 字段执行 L1 资产释放：当 inner tx 满足 proofId == 0 且 publicOutput > 0 时，RollupProcessor 会调用 withdraw(publicOutput, outputOwner, assetId)，直接从自身托管储备中向 outputOwner 支付对应资产。 该攻击地址连续构造/提交 escape-hatch proofs，使 proofData 中的 inner tx 声明： - assetId = 0，publicOutput = 1,158 ETH - assetId = 1，publicOutput = 150,000 DAI - assetId = 2，publicOutput = 0.46963295 renBTC 由于这些 withdrawals 被 proof/state transition 接受，RollupProcessor 分别从自身 ETH / DAI / renBTC 储备向攻击者地址释放资产。 具体信息看看 @aztecnetwork 怎么说。cc @SlowMist_Team @MistTrack_io

本次FCC，4月30日会议，3:0 一致表决通过！ 短期：流程走不完，几乎没变化 长期：CN2-GIA/CMI线路失去低延迟优势，美西VPS连接质量下降并且成本提高 NPRM 拟禁止中国移动、中国电信、中国联通在美国运营数据中心，并可能禁止美国运营商与「Covered List」上的实体进行网络互连（即物理禁止 Verizon、AT&T 等与其互联）。 1）禁止美资运营商与中资运营商进行网络互联（Interconnection），涉及 IP Transit、语音互联、SMS 中枢、企业回程等关键设施 2）禁止中资运营商在美国运营数据中心及互联网交换中心接入点（PoP） 3）可能扩及关联企业：持股 ≥ 10% 的附属公司，或以「Covered List」实体设备（华为、中兴等）组网的企业 4）另一项提案同日推进：禁止所有中国实验室为进入美国市场的电子设备提供测试认证