走过山路，读过金融，在鱼竿和K线间寻找确定的生活。
Singapore
Joined January 2018
- Tweets4.6K
- Following1.1K
- Followers5.8K
- Likes623
MPC凑不齐私钥难怪无能为力，是不是得把管理私钥的都抓到一个岛上监控起来。
刚刚，Binance 官方正式发布了关于 10 月 29 日 63 亿美元被盗事件的初步调查报告。
结论显示，这并非一次简单的“私钥泄露”，而是朝鲜黑客（FBI 调查认为吻合）潜伏数月、策划的一场有预谋的攻击。
报告透露了几个实战关键细节：
1.极致的社工骗局，连“HR”的社交日常都是伪造的
黑客在 9 月通过正规招聘平台盯上了币安的软件工程师。为了诱敌深入，黑客不仅安排了“项目总监”和“CEO”的多轮视频面试，甚至在面试中主动分享虚假的社交媒体照片和视频来建立信任。
最终，他们成功诱导该工程师在面试后，给自己的工作电脑上下载了伪装成“面试作业”的 0-day 恶意软件。
2. 内部 AI 工具沦为黑客的“内网跳板”
黑客在控制了首个工程师的电脑后，竟然直接利用币安的“内部 AI 工具”作为横向移动的跳板，顺藤摸瓜控制了另一位拥有核心权限的钱包 DevOps 工程师的设备，最终拿到了容器部署权限。
3. EIP-7702 与 MPC 机制，被坏人利用
在 10 月 29 日的最终收网阶段，黑客极其狡猾地利用了以太坊的 EIP-7702 机制（允许账户将执行权委托给智能合约，而无需暴露私钥）。
更让人感到无奈的是，币安热钱包所采用的 MPC（多方安全计算）机制，原本是为了消除单点故障、提升安全性，却在黑客发难的紧急时刻成了限制因素；
因为“没有单一私钥”，安全团队无法一键撤销黑客的恶意授权，反而拉长了阻断攻击的时间。
看完这个官方的报告，小编的感觉只有用防不胜防来形容了。
视频面试做局、大厂AI工具当跳板、反向利用 MCP 机制来拖延时间，原有的每一个环节都以意想不到的方式被巧妙的利用起来。
整个行业的安全假设确实需要重新审视了。
哎，昨天一个钓友突然找我借1000，就一起钓过两次鱼，加上他说他赌博输了30几万这几天，我就没借。
后面他给我说找到钱了，支付宝流水打开一看近30天180万，跟我说中秋电商白干了，国庆输完了。
咋办啊，我现在是真想让他教我怎么干电商的。没借他钱不好意思开口了。🤡
确实有想法， 防机器人又进步了
New in GoCollect: Crack the Crate.
Every crate now opens with a quick game on its lid.
Tilt your phone to roll into the lock.
Hold it.
Twist to crack it open.
Easy for people. Hard for bots. Protected by Cloudflare.
gocollect.fun
奇怪， solana:nDZknLvfFRp5rgUHdzTrQsmSY5NKzoavqdLjSHVpump 这个项目，每时每刻打开来都是800多人在玩 @gocollectfun
