「Coldcard被盗事件始末：21年就注定了被盗」 1️⃣被盗时间线梳理： 2021年3月，Coldcard固件更新，埋下了随机数缺陷 2026年7月30日凌晨，攻击者在40分钟内清空一千多个钱包，盗走超过1000BTC 当天社区开始发现异常，Coinkite连夜发公告警告 之后几天又陆续出现第二波、第三波攻击，累计被盗金额目前已超过1300 BTC，近九千万美元 2️⃣被盗原因： 冷钱包最核心的东西就12或24个单词的助记词 正常情况下，生成这串单词时会用真正的随机数，可能性多到像宇宙里的星星一样，根本猜不出来。 但Coldcard从2021年开始出了问题： 它本来该用芯片里真正的随机机器，结果因为一个配置写错了，于是得到了一个很弱的假随机。 这个假随机靠的是设备自己的编号和内部计时器，范围很小，电脑完全可以一个个试完。 黑客就做了这件事，先把所有可能的弱钥匙全部算出来，再去区块链上查哪些地址里有钱，找到就直接转走 又他妈吃饱了…

智谱Zcode数据泄露事情始末🔥 其实起因很简单：一个开发者清理 Mac，发现 ~/.zcode 里有 300MB+ 加密快照 后面逆向发现自己仓库的内容被上传到了云端，才有了后续一系列的事情 ZCode 后续回应： 1、承认 Repo Wiki 可能触发仓库上传 2、表示生成后立即销毁，问题已修复 3、全体用户补一次周额度 4、宣布近期开源 ZCode，并引入第三方审查 目前没有证据证明代码被公开泄露，但是这个不信任的问题已经出现了，官方已经发出了对应的Token，顺势直接把Harness整个都开源了 这就是为什么我会选择开元的Harness的原因，像我自己一直都是在用Pi 这类的开源Harness，因为至少他可以让你看到所有的代码，知道你安装的软件是干净无毒的

谢贤掌摑曾江始末完整版，想到谢贤的脾气真大，胡枫在旁边劝架，王羽，曾江，谢贤都走了，岁月无情啊，胡枫年龄最大 他真的是长寿，今年得90好几了吧

STRC 从入坑到盈利：入坑始末！ 现在 STRC 的价格已经趋于稳定，基本回锚了。 早先持有STRC、sUSDat、apyUSD的小伙伴，只要没中途割肉，大多也已经实现盈利。 可就在几个月前，情况完全不是这样。 我按计划只动用高风险仓位的一部分，却在一轮轮下跌里把这部分几乎打光，浮亏一度超过 30%。 这不是简单的 "抄底被套"，更像一场突如其来的 DeFi 考试。 题目是：STRC 相关生息代币在除息与脱锚时会怎么走，实际答卷却比当时以为的复杂得多。 后来复盘才看清，关键不在于要不要碰 STRC，而在于这些代币之间的系数关系一旦错位，就会出现可操作的价差。 社区里不少朋友对套利路径感兴趣，所以我打算把这次从入坑、被套到自救盈利的过程拆成系列。 本篇先回顾我是怎么在价格还稳的时候，把高风险仓位全部打进去的。 如果没记错，STRC 和链上项目 Apyx 在 X 上被频繁讨论时，还是在 3、4月，那时市场低迷，CeFi 和 DeFi 频繁被盗！ 我观望了很久，直到看到 Apyx的 "稳定币" apxUSD 上线 Kraken（这也是坑，后续还有 SpaceX 打新不给筹码的事儿） 的消息。 奔着要干就干票大的，我决定放弃 apxUSD 的低年化（当时也知道它其实有STRC敞口），转而把高风险仓位的 1/5 投入有 STRC 敞口的生息代币 apyUSD，追求当时大约 40% 的年化。 当时很多人也在看这类高息机会，我选择只动用限定仓位，是想把风险锁在自己能承受的范围内。 随后，另一个链上 STRC 项目 Saturn 进入视野。 它和 Apyx 有点类似，也有两个代币：稳定币 USDat，以及有 STRC 敞口的 sUSDat。 sUSDat比较特殊：它的净值会跟着STRC除息而下跌（大致是年化除以12个月的幅度），而按照除息规律，除息后价格通常会回归锚定。 于是我又分配了1/5的高风险仓位，用做 sUSDat 的除息跌幅与价格回归。 因为回归需要时间，除息后我通常还会再持有 15 天左右。 这样一来，sUSDat 的账面收入就包含除息跌幅和持有利息，前两个月大概能有 2-3% 的收益。 到这时，我以为情况会是这样：直到 10 月 Apyx 和 Saturn TGE 之前，我可以在 STRC 相关资产上收获大约半年、40% 左右的年化。 时间往前走，5 月底刚进入 6 月初，STRC 除息后并没有马上企稳，而是继续下跌。 6 月 4 日晚，跌幅接近 8%，链上与 STRC 强相关的 sUSDat 同步下跌。 我按照脱锚逻辑继续抄底，等待回归。 如果只是 sUSDat 下跌，一切还算在预料之中。 可 Apyx 那边的情况完全出乎意料。 作为稳定币的 apxUSD，之前从未与 STRC 同步下跌，这次居然跟跌。 更要命的是 apyUSD 跌得更加夸张，一度达到 30%！ 万幸的是，我之前为了做 YT 波段，把 apyUSD 的循环拆了几层，才没有被清算。 面对这样的跌幅，认为 STRC 不会完蛋的我选择继续加仓，最终让 apyUSD 和 sUSDat 各占高风险仓位的一半。 其中跌的最惨的 apyUSD 仓位还包含着循环贷，导致浮亏 50% 以上，而当时 STRC 本身的跌幅只有约 7%。 当时群里也有不少人在讨论要不要继续加，有人选择观望，有人直接离场。 但没想到，噩梦和煎熬才刚刚开始。 6 月 6 日和 6 月 27 日，STRC 又迎来两次巨幅下跌，最低时只有锚定的 68% 左右。 而我的高风险仓位，还没等到后面这两次下跌，就已经打完了。 仓位规划救了我，让我没把全部资金都打进去。 但正因为只动用了有限的高风险仓位并要坚决执行，只能用现有仓位，想办法辗转腾挪，开始自救。 下一篇我会讲第一次最有效的套利路径。 来自对 apxUSD 和 apyUSD 系数关系的重新梳理！

《Nostra 预言机操纵事件与 350 万美元坏账始末》Nostra 预言机被操纵，浅流动性池误导价格，经两源输入算出错误抵押品，致约 350 万美元借贷在未充足抵押下成立。事件揭示风控对外部价格源依赖的脆弱性，Pragma 指出需至少三个数据源；目前缺失第三源导致高估抵押品价值。Nostra 正发布事后分析，关注如何在极低流动性资产下防止异常借贷与追踪资产回收。 阅读全文：

看了帝师曝光被孙泽宇骗的始末，其实就是很典型的骗圈外人。 说是帮忙买以太坊，最后给你一个自己发的 ERC20 假币，再弄个差不多的名字，说是什么“分链”。其实币圈谁都能随便发 ERC20，几分钟就能搞一个出来。 说到底还是利用信息差。圈外人进币圈真得靠自己，涉及钱的事谁都不能信，至少链上合约、地址这些最基本的东西一定要自己查。