据 Onchain Lens 监测，2026 年上半年全球公开披露的加密黑客攻击及安全事件共计 224 起，累计造成约 13.2 亿美元损失。具体攻击类型中，访问控制失效导致的重大攻击包括 Kelp DAO 损失 2.92 亿美元、Drift Protocol 损失 2.8 亿美元、Humanity Protocol 损失 3100 万美元、Step Finance 损失 3000 万美元、Truebit 损失 2650 万美元、Resolv Labs 损失 2500 万美元、AFX 损失 2415 万美元以及 BonkDAO 损失 2100 万美元；钓鱼与社会工程学攻击造成的损失为 2.82 亿美元；预言机问题则导致 Ostium 损失 2400 万美元、Blend Protocol 损失 1086 万美元、Bonzo 损失 900 万美元。报告指出，少数几起安全事件占据了绝大部分损失，权限遭篡改和特权访问失控是引发多起大规模攻击的主要诱因。

这是一场没有硝烟的战争。 而我们必须打赢、终将打赢。 追根溯源，Permit 的本意是好的。而现在，利用它便利性的钓鱼，成为了链上噩梦之一。 ScamSniffer @realScamSniffer 公布了几次报告，所有网络中， 90% 的被钓鱼资产为 ERC-20 类代币。而这其中主要的钓鱼方式就是 Permit / Permit2 钓鱼签名。惨不忍睹。 不开玩笑，今年绝大部分你听说过的个人用户巨额钓鱼，都是 Permit 钓鱼。 一、恐怖片 实话说，早期以太坊玩家过着烧钱的苦日子。 每次和不同的合约交互，都需要付 Gas 去授权代币， Swap 或者 NFT 买卖需要两笔交易才能完成。 而现在，Permit 的使用已经完全普及各个 Defi 项目。你只需要将代币授权给 Permit/Permit2 这个「中介」合约一次。 之后，合约需要调用代币，只需要你的一个签名，节省了 Gas 和时间。 坏消息是，这个便利性变成了「借刀杀人」的恐怖片。 假官网、假空投、假土狗泛滥猖獗、张牙舞爪。其绝大部分都在打开网站的第一时间，就会很着急地弹出钱包、让你「签名登录，从而骗取 Permit 离线签名。 假如软件钱包/硬件钱包没有任何提醒，或者你忽视了潜在的风险，代币权限就被一键钓走了。 黑客得手后，便可以随时用这个签名转走对应的资产。很多时候被盗之后，你甚至没发现是因为这个小小的签名。 各种质押代币是重灾区，经常一钓就是大的，大到震惊全网。 这一切本可以被避免，只要用户得到足够的信息和警告。 二、核心的矛与盾 这个问题的本质就是「盲签（Blind Singing）」。Permit 钓鱼，仅仅只是其带来的风险的一个子集。 「盲签」意味着，你在签名与智能合约交互的时候，看到的是一堆二进制或十六进制乱码的「天书」，而不是清晰地告诉你签名目的和资产可能的变动情况——如转账金额、接收地址、调用的合约和方法等。 这种情况下签名，你可能会被误导，从而被诈骗。 要读懂「天书」，需要字典。而这个字典就是 ABI（Application Binary Interface，应用二进制接口）。它告诉钱包如何解释分析合约中的方法和参数，从一大串字符中提取有用的信息。 硬件钱包的好处在于，即使手机电脑被黑，黑客也无法拿到你的私钥权限，无法物理操作你的资金。但这也导致其受到性能、断网隔离等限制，在解析「盲签」上面临更大的挑战。 三、开诚布公：OneKey 如何推进？ 「盲签」的问题我们必须解决，终将解决。 （1）现在完成时 ✨ 我们先从最大的祸害，现在绝大部分黑客都在使用的「Permit 钓鱼」快速入手。 黑客在钓鱼的时候可能使用的调用方法有「Permit/PermitBatch/PermitBatchTransferFrom/PermitSingle/PermitTransferFrom」，这些都是需要能被解析出来的内容。 现在，OneKey 的 App 软件钱包和 OneKey Pro 硬件钱包，都已支持以太坊和所有 EVM L2 的所有 Permit 类型风险提醒。 假如你签名的是 Permit 授权类型，在你签名之前，我们将会进行一个【高亮提醒】并确认。Classic 1s 也在快速跟进。 和前面提到「以为是普通的登录签名，结果却是签了 Permit 授权导致被盗」的情况说再见吧。 此外，我们已经支持初始授权代币给 Permit/Permit2 合约时，设置「用多少授权多少」。 （2）App 的现在进行时✨ 11 月底（也就是两三周的时间），App 将会渐进式更新的签名交易数据 ABI 解析。 要把所有的签名都能解析，这其实是一个巨大的体力工作。这里有个以太坊签名数据库（www.[删掉]4byte.[删掉]directory），收集了高达 1,350,091 个不同的签名。 目前，我们从以太坊最近 100 万条交易，统计出来了 Top 1000 个合约方法。我们将收集足够多的 ABI（目前也有很多现有的裤），争取 100% 覆盖。这也将涵盖各个 EVM L2。 我们将优先处理高风险的 Permit 类型，之后再扩展到全部。 不管是使用硬件钱包还是仅使用软件钱包，你都能 App 上读取签名目的和资产变动情况，如转账或授权金额、调用的合约和方法等。 此外，OneKey App 将在这之上进行额外的检测。一个是对交互的合约地址进行「是否交互过」检测。帮助你确认这个是你交互过的可信合约。另一个是进行「合约风险监测」，这一块我们将与 BlockAid、ScamSniffer、GoPlus 等知名机构合作。即使是信赖的大项目合约因为黑客出现风险时，也可以第一时间在交互确认前得到警告。 （3）硬件钱包的现在进行时✨ 有了前面的工作，我们将会实现在硬件钱包本地的解析。这样你能够在 App 和和硬件钱包离线本地进行两次确认，更安心。 这意味着，我们将会把 ABI 内置在硬件钱包中，并及时更新各种智能合约新的 ABI。 与 App 同样地，钓鱼重灾区「Permit」系列签名解析，会是我们重点优先推出的对象。 对于无法解析的，我们会警告，并允许用户设置禁止签这种类型的交易，以此倒逼各位新的项目方对 ABI 标注文件进行公布。 同时，我们也建议各位手握大额资产 Permit 调用权限的项目（尤其是质押类），除了保护好自己的合约多签权限之外，也增加类似 T+1 时间锁的功能，让用户即使被钓鱼也有时间反应和阻止。 关于 ABI 的收集，我们的友商 Ledger 在这一块是先锋者，他们推出了「Clear Signing」计划。 主要是在这个 GitHub （https://github.[删除]com/LedgerHQ/clear-signing-erc7730-registry），由第三方上传 ABI 标注文件然后他们进行审核，通过后会更新到固件中进行解析。 （4）其他更进一步的升级✨ a、支持展示硬件钱包的交易数据，进行第三方解析。 对安全要求更高的用户，有时候希望多方认证确认。 我们将通过硬件钱包屏幕展示出动态二维码，在二维码中编码了完整的待签名数据。或者是通过蓝牙加密传输的方式。 用户可以通过外部服务（比如一个第三方的 Ap）扫描该二维码，解析待签名内容，展示给用户。用户核对后，在硬件钱包上确认签名。 b、支持多帐户批量取消授权 & 动态监控。 当项目的合约发生权限问题时，黑客调用 Permit 转移资产往往需要一定的时间。不少用户是来得及进行取消授权拯救自己的资产的。当然，更好的情况是用户自己定期取消授权。 我们正在进行这方面的研发，针对突发风险的合约，针对目标用户进行推送预警，并提醒用户批量取消。不过这个服务消耗资源很大，我们会考虑使用订阅的模式，面向深度用户。 安全不是一个结果，而是一个动态博弈的漫漫长路。而这条路上，我们充满了决心。 共勉。 以上，欢迎点赞分享——让更多朋友明白 Permit 的风险以及我们硬件钱包的努力方向。

这世界上最大的财富 就是信息差 很多人不是不努力 是不知道哪里可以努力 下面这些信息差 任何一个吃透 都够你脱离打工人身份 中介篇 澳洲英国部分学校其实是免费申请的 美国大学的need-blind和无需SAT政策 国内中介一般不主动说 欧洲申根国家有”打工度假签” 国内知道的人极少 西班牙数字游民签证你一定要了解一下 信用卡篇 香港开银行卡攻略 自己研究vs找中介 差几千港币 美国e-trade/IBKR开户 国内”代办”收5000+ 自己搞免费 各种信用卡开卡奖励 拿完就注销那套 海外信用卡薅羊毛 一张卡能薅几千美金welcome bonus 信息搬运类 推特上的Web3空投资讯 翻译搬到微信公众号 月入几万 油管教程切片 搬运到B站 流量分成 小红书爆款贴 搬运到抖音 几乎0成本 ChatGPT/Claude的高质量prompt 整理成”AI变现指南”卖 工具类 VPN教程付费版 实际免费可达成 Notion模板 国外免费的在国内卖199 Figma素材包 同上 Midjourney/SD的prompt整理成”AI绘画课” 电商套利类 拼多多到闲鱼卖 1688到抖音直播卖 美国Costco/TJMaxx→国内代购 日本药妆店→小红书 同一个东西 换个平台 价格差三倍 虚拟商品类 Apple ID跨区充值 巴西/土耳其便宜一半 Steam区域差价 Spotify/Netflix家庭车队 各种海外软件订阅代充 学习/认证类 LinkedIn Learning证书 自己学 vs 培训机构 差几千 AWS/Google Cloud认证攻略 国内培训贵 国外B站免费 各种语言证书 雅思托福真题资源差 生活类 海外机酒积分 自己倒腾免费住五星酒店 信用卡里程兑换商务舱 各种country club会员代办 - 写到这你应该发现了 这些”信息差”没有一个需要高学历 也没有一个需要复杂技术 它们只需要一件事——你知道 而大多数人不知道 不是因为他们笨 是因为他们的信息来源 都是给穷人准备的 每天刷的是同一个抖音 看的是同一个公众号 被推送的是同一套消费观—— 让你买买买 让你贷款上车 让你升级生活 却没人告诉你 真正在闷声赚钱的人 都在用你看不见的渠道 打破信息茧房 是普通人翻盘的第一步 也是唯一一步

看得我泪流满面😭🥹💔就凭这一点，难道中国人还能再吃狗肉吗？ A Belated Tribute to China’s Wenchuan Earthquake Rescue Dogs. This is a tribute that comes years too late. On October 2, 2021, the last search-and-rescue dog that had served in the 2008 Wenchuan Earthquake, Bingjie, passed away. With his death, all 67 rescue dogs that answered the call during one of China’s darkest disasters had completed their final roll call. This isn’t about whether you love dogs or keep pets. It’s about heroes. Back in 2008, when mountains collapsed and entire cities were reduced to rubble, these dogs charged into places no human could safely enter. At a single whistle from their handlers, they disappeared into twisted steel, shattered glass, and unstable concrete without hesitation. Their paws were ripped apart by broken rebar and jagged debris. They bled with every step. Many worked until the pads of their feet were raw and infected. Yet the moment they caught even the faintest scent of life beneath the ruins, they refused to leave. They barked. They dug. They kept digging. For them, every signal they gave meant another chance for someone to survive. That wasn’t simply bravery. It was something even purer. A complete trust in the person who guided them. A trust so absolute that it stood above fear itself. Bingjie was barely a year old when he was deployed to Wenchuan. Still little more than a puppy, he clawed through what had become a living hell and helped save 13 lives. The first little girl he rescued is now a university graduate. The future she was able to live began with a wet black nose finding her in the darkness… and a pair of tiny paws digging until they nearly gave out. If she remembers that moment, then she remembers who reached her first. No matter how you measure it, humanity owes these dogs a debt that can never truly be repaid. There was also Shenhu, another legendary rescue dog. By the time he retired in 2019, nearly fourteen years old, he had helped save 15 lives. His handler couldn’t bear to part with him, so he brought Shenhu home and stayed by his side until the very end. Today, a statue stands in his honor. But the truth is… Dogs don’t understand medals. They don’t understand monuments. They don’t care about titles or glory. A gentle pat on the head. A favorite tennis ball. A few words of praise from the person they trust. To them, that was worth risking everything. If called again, they would have done it all over without a second thought. People often speak of loyalty. These dogs never spoke a word. They carved loyalty into their bones. Now they have all returned to the place people lovingly call the Rainbow Bridge. Perhaps they’re together again, sniffing one another, wagging their tails, healthy and full of life, just as they were back then. To the silent heroes who gave everything so that strangers could have another tomorrow… Thank you. You will never be forgotten.

Bend 新增 Clearstar Reactor $HONEY Vault！ 现已支持抵押： 🔹 savUSD 🔹 sUSN 实时 APY 为 101.29%，为闲置稳定资产提供了新的收益选择。 随着 Berachain 生态不断扩展，越来越多优质资产正在接入 Bend，为用户带来更丰富的资金利用方式与收益机会。 如果您持有 savUSD 或 sUSN，不妨关注一下这个全新的 Vault 👀 👉

Filial piety is like sunshine, warming the world. A 1.5-year-old baby helps a blind granduncle into the house, and netizens praise the family tradition and education in China. 孝心如阳光，温暖人间情。一岁半宝宝搀扶盲人爷爷进屋，网友点赞家风家教。#孝心# #家风家教# #感人故事# #温人间#

2023最后一po了～谢谢大家今年的支持呀！ Last post in 2023 goes to Toji gender bend version because it’s Toji’s bday 😇 Thank you for all your support during 2023, and let’s go 2024!!!!! #tojigenderbend# #jujutsukaisencosplay# #jujutsukaisentoji# #jujutsucosplay#

给美国 Polymarket bot 开发者提个醒： 你可能不是策略变差了 而是在和一个物理距离更近的对手比赛 素材里提到，Polymarket 现在允许 KYC-verified colocation 给 market makers 意思是： 专业交易团队可以在授权情况下，把基础设施部署到更靠近 Polymarket matching engine 的位置 其中不少是亚洲 / 中国团队 这些 setup 跑到 CLOB 的 round trip time，可以低于 10ms 而美国本土服务器上的 bot，光地理延迟可能就要 80–120ms 这个差距，不是优化代码能解决的 这是物理距离问题 在 Polymarket CLOB 这种 FIFO queue 里，毫秒决定结果 第一个挂单的人吃到 fill 第二个到的人，可能什么都没有 如果你的 bot 比 colocated Asian market maker 慢 100ms，那就不是在竞争 而是在每次机会出现后，稳定迟到 这也是为什么 V2 之后，一些原本赚钱的 5-minute BTC bot 开始 bleed 不是模型突然失效 而是短周期 crypto markets 的利润，正在被更专业、更近、更快的基础设施吃掉 素材里提到，目前对非亚洲开发者来说，Ireland / Dublin VPS 可能是更现实的选择 调好之后，P50 round trip to CLOB 可以做到 16–17ms 不完美 但比美国本土 80–120ms 已经好太多 这个账户一个月赚了 $727K 然后在 update 后直接消失 所以现在的建议很直接： 如果你的 5-minute BTC bot 以前赚钱，V2 后开始亏。 别只盯策略 先检查 latency、服务器位置和竞争环境 要么把 infra 迁到 Ireland 要么转向速度要求没那么极端的市场 游戏已经变了 现在赢的人，不只是模型更好 而是服务器更近