前字节PM，AI产品经理丨 用可复制的科学方式获取更多现金流丨 聊工作、写作、投资、成长思考丨 公众号：提早来
Joined November 2018
- Tweets1.4K
- Following589
- Followers777
- Likes2.1K
tizaolai886 retweeted
用 Node.js 的要升级了：三条版本线都有高危漏洞，最严重的可远程执行代码，eMudhra 那 8 枚坏证书也一并拉黑
用 Node.js 跑服务、写工具的开发者，这周要换版本了。10 月 21 日，Node.js 给还在维护的三条版本线发了安全更新：22.x 升到 v22.23.4，24.x 升到 v24.22.1，26.x 升到 v26.12.1。三条线都修了高危漏洞，最严重的一个，官方说可能被用来远程执行代码。
20.x 在 2026 年 4 月 30 日停止维护，25.x 在 6 月 1 日停止维护，这次都没有补丁。Node.js 在公告里提醒，每次发安全更新，停止维护的版本都会受影响，还在用的只能换到 22、24 或 26。
【最需要注意的几个】
Node.js 自带一个解压 Brotli 格式的组件。Brotli 是网页传输常用的压缩格式，HTTP 里写作 br。这个组件有越界写入的问题，也就是把数据写到了不该写的内存位置，官方说这能导致远程执行代码。公告对它只有这一句描述，没说什么情况下会触发。修法是同步了 Google Brotli 项目的一处改动，让解压程序更早发现并拒绝格式不对的数据。
另外三个漏洞出在 HTTPS 的证书核对上，两个高危、一个中危。Node 连 HTTPS 地址时，会核对证书上写的地址和你要连的地址是否一致，对不上就拒绝连接。这三个问题都和 IP 地址有关：IP 用全角数字写（输入法全角状态下打出的“１２７”这种），或者写法不规范、但能被宽松地认成 IP，核对就可能被绕过。修复后，Node 直接拒绝写法不规范的 IP 地址。全角数字那个只影响 24.x 和 26.x。
还有一个高危出在 dns.resolve（查域名对应地址的函数）：域名中间如果夹着一个空字符（NUL），Node 会在那里把名字截断，实际查的只是前半截。
中危里，用启动快照或者把程序打包成单个可执行文件（SEA）的要留意：crypto.randomUUID() 和 randomInt() 的随机数缓存会被一起存进包里，每次启动都生成同样的“随机”值。另有三个低危，涉及 26.x 读取 ZIP 文件，以及实验性的权限模型（--permission 开关）。
这次还更新了 c-ares、OpenSSL、SQLite、undici 等内置组件，修的是这些组件已经公开的漏洞。
【eMudhra 坏证书，Node 也拉黑了】
三个新版本都加了一份内置黑名单，第一批放进去的就是 eMudhra 那 8 枚出问题的中间证书。
这件事前几天刚曝出：印度发证机构 eMudhra 有 8 枚被各家系统认可的“网站公章”，盖章用的密码小到一秒就能算出来，谁拿到都能给任意网站做假证书。10 月 17 日被发现后，Chrome 和 Firefox 当天拉黑，eMudhra 18 日作废，Apple 19 日、Microsoft 20 日跟进，Node.js 21 日发版。
当时 Cloudflare 提醒，浏览器之外的程序要一路更新到编程语言这一层，Node.js 就在这一层。Node 内置了 Mozilla 的可信发证机构名单，却没有浏览器那种随时拉黑坏证书的机制，所以用这 8 枚章签出的假证书，旧版 Node 照样放行。这份黑名单对 Node 建立的所有加密连接都生效。修复的提交说明里写道，它和 Go 语言、Electron 拉黑的是同一批。
想测自己的程序还认不认这几枚章，可以用 Mozilla 工程师 Dennis Jackson 做的自查网站：emudhra.we-have-a-problem.co…
原文：nodejs.org/en/blog/vulnerabi…
🔐 Node.js security updates are now available!
New releases for Node.js 22.x, 24.x & 26.x address multiple vulnerabilities, including high-severity issues.
Review the details and update your systems to stay secure.
🔗 nodejs.org/en/blog/vulnerabi…
#NodeJS #Security
tizaolai886 retweeted
关于个人IP的100条思考
1. 做个人IP不是成为网红，而是做内容营销、分发电子传单。
2. 个人IP的前提是：你是一个值得关注的人。
3. 成功的个人IP才值钱，只有10个粉丝的个人IP不值钱。
4. IP归根结底比拼的是原创内容能力、独立思考能力和大脑前额叶。
5. 成为个人IP，不是要做一个嬉笑怒骂的网红，而是在互联网上做一个特定领域的专家。
6. 个人IP的终局是成为专家。
7. 做IP不是让所有人喜欢你，而是让同频的人识别你。
8. 极度坦诚本身就是一种筛选机制。
9. 真正高级的坦诚不是毫无边界，而是不需要靠伪装获得关系。
10. 一篇好的内容可以同时建立人设+专业+信任，完成整个成交流程。
11. 内容的本质，是对信息释放的控制。
12. 做内容不是做流量，而是在别人的脑子里留下痕迹。
13. 点赞、评论、关注都只是指标，被记住才是结果。
14. 一个人哪怕从来不给你点赞，也可能一直在被你的内容影响。
15. 公开表达对人的底层要求是勇敢。表达意味着允许别人误解你、讨厌你、删除你。被误解是表达者的宿命，不表达才是最大的损失。
16. 博主和IP是两回事，因为商业模式不同。
17. 博主主要靠接商单，流量数据好了商单就多，流量数据差了商单就跑。
18. 对于IP来说，每条内容都是自己产品的广告，如果流量大了反而说明内容出问题。
19. 一个能卖货的广告，对应的人群一定是有限的，只要能卖出产品就足够。
20. 博主和IP最大的区别是IP有产品和服务，自己形成了商业闭环。
tizaolai886 retweeted
这个其实也是博弈论，也是为什么胆子更大不怕失去的人能得到更多。
如果我知道一个人有负债，没副业，有孩子，那我一定会知道就算压榨下也不会轻易离开；反之如果一个人没负债，有副业，来我这完全是为了实现自己的理想，一旦预期和他的不符合他就会跑路，那我可能会尽一切可能挽留ta
这就是博弈论，越不怕失去的，得到的越多
tizaolai886 retweeted
Bitget will begin resuming withdrawals in orderly phases following the security incident identified on September 24.
The vulnerability involved in the incident has been identified and remediated.
Bitget's security and technical teams have since been conducting additional validation and security checks across the withdrawal infrastructure, while independent cybersecurity experts Mandiant and SlowMist continue to support the investigation.
The temporary withdrawal pause remains a security measure and is not related to the availability of user assets. User account balances remain unaffected, and Bitget's Protection Fund covers the financial impact of this platform-wide incident.
Withdrawals will resume in an orderly manner once these security checks are completed.
The current withdrawal resumption schedule is as follows:
> Sep 28, 8:00 (UTC): BTC (Bitcoin Network)
> Sep 29, 8:00 (UTC): ETH (Ethereum, BSC, Arbitrum, Base, Optimism)
> Sep 30, 8:00 (UTC): USDT (Ethereum, BSC, Solana, Tron)
> Oct 2, 8:00 (UTC): Other Tokens / Fiat / P2P
Our objective is to restore withdrawal services across all supported assets and networks as quickly and safely as possible.
The incident remains contained, and no further unauthorized transfers are possible. User funds are unaffected throughout this process. Trading and deposits continue to operate.
Users do not need to take any action ahead of the rollout. Withdrawal availability will be reflected directly on the Bitget platform, and users are advised to follow Bitget's official channels for updates.
𝗜𝗠𝗣𝗢𝗥𝗧𝗔𝗡𝗧 𝗨𝗣𝗗𝗔𝗧𝗘𝗦: The withdrawal plan will be announced by September 26th, 4:00 AM UTC. We appreciate your patience on this matter.
Based on the latest onchain tracing and classification of transactions, assets equivalent to approximately $387.5 million were transferred to attacker-controlled addresses across multiple networks.
The revised figure reflects a more complete accounting of transfers that occurred during the incident, adding affected assets on Zcash and TRON that were not included in the initial estimate. It does not reflect further unauthorized transfers.
The incident remains contained and no further unauthorized transfers are possible.
The incident involved assets across Ethereum and several EVM networks, XRP Ledger, Zcash and TRON.
The primary attacker-controlled receiving addresses identified to date are:
→ EVM: 0x770b10b273fc44fe9197d6bf20f145c2e98463ee
→ XRP: rwNhefsz1UQEusxhCvHip3RANinWi4CTck
→ ZEC: t1WgMdtND8NF7NDUuYmq8MpMj1NTCXkMDVG
→ TRON: TBWNguTTgezw9dVorX441C6nDrZpRxYwKD
The confirmed affected assets include XRP, ETH, USDT, ZEC, USDC, USDT0, XAUt, BNB, AVAX and TRX.
Our investigation and tracing efforts remain ongoing.
The figures above reflect information confirmed at the time of publication and may be updated as additional transactions are classified and traced.
The incident remains contained, with no further unauthorized transfers since the incident was contained, and the investigation with Mandiant and SlowMist remains ongoing
Withdrawals remain temporarily paused while additional security checks and remediation are underway.
Bitget will continue to provide verified updates on the investigation, asset recovery, withdrawal restoration and the User Protection Fund through its official channels.
𝘍𝘰𝘳 𝘪𝘯𝘧𝘰𝘳𝘮𝘢𝘵𝘪𝘰𝘯𝘢𝘭 𝘱𝘶𝘳𝘱𝘰𝘴𝘦𝘴 𝘰𝘯𝘭𝘺.
tizaolai886 retweeted
说句公道话：我不清楚 bitget 的资金是否允许放开提现，但 bitget 现在其实是没法开提现的，bitget 被黑跟 bybit 被黑的本质区别是 bybit 是外部原因导致在冷钱包划转到热钱包的过程里被黑，自身系统没出问题，而 bitget 是自身资金系统被入侵导致的热钱包被黑，这种情况 bitget 首先得搞清楚黑客怎么进去的、是不是还在里面潜伏着、热钱包要不要换，在搞清楚这些问题之前贸然开提现基本上就相当于再给黑客送一笔钱
tizaolai886 retweeted
👀 Un site permet littéralement de VOIR comment fonctionne Bitcoin… comme si tout le réseau était une immense machine dont on pouvait observer les rouages.
Le projet s’appelle VisualizeBitcoin.org. Plutôt que d’expliquer Bitcoin avec des pages de texte technique, le site transforme son fonctionnement en expérience visuelle interactive. On peut suivre le parcours d’une transaction depuis un wallet, comprendre son passage dans la mempool puis observer comment elle finit par être intégrée à un bloc.
Le site permet également de visualiser le rôle des mineurs, la création des blocs et le mécanisme d’ajustement de la difficulté. Des concepts qui paraissent souvent abstraits lorsqu’ils sont expliqués avec du vocabulaire technique deviennent beaucoup plus intuitifs lorsqu’on voit directement comment chaque élément interagit avec les autres.
tizaolai886 retweeted
继续上个帖子：如果 AI 的发展势不可挡，人类现在的职责分工必将终结，财富会重新洗牌，那普通人现在能做什么？
我分享几点在硅谷我看到的和我正在做的，一定对你有帮助
1. 多放手一点，让 AI 帮你找方向
把你现在的工作、擅长的事情、遇到的困难，以及现实约束，认真讲给它听。让它先追问，弄清楚你的处境，再提出下一步
我们很容易只问自己已经想得到的问题。但GPT6，我认为它的灵性可以弥补你的盲区
2. 有条件的话，试一个月 200 美元档的Codex会员
这笔钱对很多人不便宜，量力而行。但如果预算允许，我真的建议拿一个月，体验高额度的模型使用，把一件复杂的事做下去。20$ 或者什么 API 中转站，根本无法支撑你去完成复杂任务
拿出一个你现在觉得最难、最害怕面对，甚至已经拖了很久的问题。把背景交代清楚，让它帮你分析，追问它的依据，再一起往前做
你得给它一个足够重要的问题，才能知道它对自己到底有多大用处。有些事情我们从来不去尝试，是因为早就默认自己做不到。现在有了AI，可以尽情释放你的想象力了
3. 放下对现有工作的执念，也放下周围人的评价
给自己留好收入和生活的余地，但别再把现在的职位、老板的表扬、过去最擅长的工作，当做最重要的。我跟我自己团队成员也是这样说的
一项工作今天被需要，不代表它会一直以同样的方式被需要。周围人认可你的能力，也不代表市场以后还会为它支付同样的价格
如果你已经看见变化，就值得花时间，为自己试出另一条路。哪怕它暂时没有成效，一定要坚持下去。当 AI 持续变强的时候，你过去所做的一切都会成为你的积累。到了某个节点，你会发现这件事情会一夕成真
4. 保持健身，降低皮质醇，享受活着的快乐
越觉得焦虑，越容易只刷消息、只焦虑，最后什么也没做。
身体和睡眠一旦跟不上，就会被社会彻底淘汰。每天推进一点具体的事，看看结果，改一下，再继续。做不动了就去运动、休息
写这个帖子的时候，我依然焦虑，这两天总共只睡了 6 个小时，剩下时间，除了吃喝拉撒，都给了 AI。这可能是普通人改变自己处境的一次重要机会。我也想把握住
日没夜用了两天 GPT-6、Fable 5.1。消耗了 21 亿 Token，我现在最大的感受是焦虑，以及深度恐惧。
我的核心判断：社会分工和财富会因为 AI 重新洗牌，而留给我们调整自己的时间，可能比想象中少得多。
这个帖子想给各位敲响警钟，也分享一下，我觉得普通人接下来应该怎么办。在硅谷，我几乎经历了整个机器学习到如今 AI 的演变。这一次，我觉得跨过了某个奇点
1/ 先分享一组数据：累计消耗了 2,101,817,483 个 token，我几乎重构了我所有的工作流，删掉了约 95% 的 prompt，效果甚至更好
我之前几个月的调优工作，在这次更新面前，突然显得微不足道。这让我开始怀疑，自己过去积累下来的方法，有多少只是为了弥补上一代模型的不足？
2/ 2022 年 12 月，我第一次使用 ChatGPT
到现在，连四年都不到。四年，很多人可能才刚熟悉一份工作，AI 却已经跨过了这么多技术节点。以前还要反复追问、解释的东西，现在交流起来，我真的越来越觉得像在跟一个真人对话。甚至，我感觉这次出现了某种“灵性”
这个词不严谨，但它很接近我的感受。我暂时也不想展开解释，只能说，单看参数和跑分，已经很难传达这次使用带给我的冲击
3/ 让我恐惧的还有另一件事：这种能力，还没有充分进入每个人的日常工作
我坚定认为，一部分工作今天还需要人来做，只是因为把 AI 用到足够好、足够稳定，仍然很贵。
这些门槛到底还能维持多久？
我感到的倒计时，是我们今天赖以挣钱的能力，还能稀缺多久。
一个人学一门技能，要读书、练习、犯错，可能花上好几年。模型的能力一旦得到改进，同一套能力就可以被部署到大量系统里。我们面对的是一种完全不同的积累和复制速度。拿它跟人类个体的学习速度比较，我只有无力感！
所以我觉得，人类需要放下一部分 ego。包括我自己。
不能因为自己有经验、懂技术，就默认 AI 永远只能当实习生，永远只能等人类安排下一步
在它更擅长的问题上，我愿意让AI带着我走。让它指出我哪里想错了，告诉我还缺哪些信息，甚至提出一个我根本没想到的方向。能接受它来指导我，同时检查它的依据，是我这两天跟 AI 的相处模式
4/ 那普通人现在能做什么？
篇幅有限，我把它放在评论区
tizaolai886 retweeted
There’s no way I’m going to sit back and watch people LARP a $Zcash Ordinals project without stepping in
As an #Ordinals OG, Introducing zordinals.fun — a native zOrdinals memecoin launchpad + zRunes infra
⚡️
$ZORDINALS CA 0x6F35BC749c16968D764c23F2F2E049ca80d68976
tizaolai886 retweeted
OG版本的豹拉前排大户都买的挺多，成本也低。尤其有个大户之前拿了4000多万枚筹码（纯利润了），稍微拉一点50万—70万—90万市值他就使劲砸，硬生生把豹拉砸下来，等低位他又抄底一裤裆，无限循环波段。我当时也很无奈，这么好的IP你这些大户占着茅坑不拉屎，耽误大家赚钱。后面牛来洗盘那几天，豹拉跌到20万附近，我想着纸手该走的差不多了，那个大户确实也卖了不少，但还是有一两千万，我抱着侥幸心理再次抄底豹拉，这次买了2000多万枚，心想这回大家一起钻石到底，结果牛来上合约利好一出来，前排纸手又开始疯狂砸盘，连80万市值都冲不上去，被硬生生砸下来，这些纸手真是暴殄天物，白瞎了豹拉这么好的IP。后面发现牛来dev部署了新的豹拉，而且牛来超级钻石手@fmpumpguy 加入了新的豹拉，这就是告诉大家要钻起来，于是果断选择买入。一个好的IP你做不起来就不要硬占着，让有能力有格局的人来做，希望这波豹拉能够成长起来。
tizaolai886 retweeted
今天pons暴涨到320m，发现了一个有趣的东西
pons的dev地址资金来源是这个地址
0xedf323ee46c6f4292cb3d71bd40ddda04b4c9901
这个地址在40天前部署了一个代币agent：
0xe1b48c86153ed05daa45ce98dc6e25bd67a3d674
或许是同一个dev部署的代币，现在市值18k，很可能是同一个dev部署的，含金量应该不用多说了
#robinhood
