En la revisión de eventos de seguridad, la frase más embarazosa generalmente no es que nos hayan hackeado, sino que, cuando ocurre un problema, no está claro qué versión del código se está ejecutando en línea, déjame verificar.
Suena absurdo, pero muchos equipos, en el momento del incidente, su primera reacción es revisar gitlog, revisar los registros de lanzamiento, revisar la configuración del servidor. El problema es que, para un protocolo que maneja decenas de miles de millones en TVL, esta ambigüedad en sí misma es un riesgo. No puedes ni siquiera aclarar qué se está ejecutando en línea, ¿cómo puedes luego hablar de revisión, responsabilidad, reparación y auditoría?
Lo más problemático es que el número de versión en sí no es suficiente. ¿Alguien hizo un hotfix en secreto antes del incidente? ¿Se ha cambiado el proceso de construcción? ¿Se pueden reproducir estas cosas si no se han documentado previamente? Después del hecho, básicamente solo quedan testimonios.
Esta es también la razón por la que, al investigar el libro blanco @SignOfficial en la sección de SupplyChain&SDLCSecurity, pensé que lo que decía era bastante realista. No solo exige un escaneo de código, sino un conjunto completo de procesos que aseguren qué versión es realmente, como escaneo de dependencias, generación de SBOM, construcciones reproducibles, imágenes de entorno de staging y producción. En otras palabras, no dejar que el lanzamiento de este asunto continúe en la suposición de que debería ser esta versión. #Sign地缘政治基建
Lo más crítico es que cada lanzamiento genere una attestación, guardando la lista completa de dependencias, el hash de construcción, y la información de versión. Así, si ocurre un problema después, no tienes que depender de la memoria de las personas, sino que puedes consultar directamente las evidencias para ver qué versión se ejecutaba en el momento del incidente, qué dependencias estaban incluidas, y si el binario se puede reproducir a partir del código fuente y la configuración.
El libro blanco también exige que los componentes críticos sean auditados por terceros, en coordinación con bug bounty y divulgación coordinada. Esta lógica también es muy clara, porque la seguridad de la cadena de suministro no es solo que el equipo de desarrollo diga con confianza que no debería haber problemas, sino que cada capa debe ser documentada de manera verificable.
$SIGN Cada attestación de SBOM en cada lanzamiento de versión, cada informe de escaneo de actualización de dependencias, cada hash de construcción como evidencia, son en esencia llamadas al protocolo. Para los clientes a nivel institucional, esto no es un plus de seguridad, sino un umbral de entrada.
Lo más aterrador de ser hackeado es que no es la vulnerabilidad en sí, sino que después te das cuenta de que ni siquiera puedes aclarar qué estabas ejecutando en ese momento. Solo cuando un sistema realmente falla, se comprende cuán frágil es la base.
Lo más peligroso de la identidad digital no es la filtración de contraseñas, sino que no sabes dónde está
¿Has hecho clic en recordar contraseña?
Es muy probable que lo hayas hecho. Y después de hacer clic, nunca más volviste a pensar en esto!!!
El navegador te ayuda a rellenar, el teléfono te ayuda a sincronizar, iniciar sesión se vuelve tan suave que casi no se siente. El problema es que detrás de esta suavidad, hay una cosa que muchas personas en realidad nunca han pensado seriamente, ¿dónde está realmente esta contraseña ahora?
¿Está en tu dispositivo local?
¿O ya se ha sincronizado en la nube?
¿Está siendo gestionada por algún servicio de gestión de contraseñas de un tercero que no conoces bien?
Si algún día hay un problema, ¿lo perdiste tú mismo o fue atacado desde otro lado?
Las personas que han invertido en rondas de semillas, básicamente aceptan una premisa: el proyecto puede fracasar. Pero lo que realmente causa ansiedad es el período de caja negra después de que se envía el dinero!!!
El equipo del proyecto dice que está trabajando en el producto, preguntas por el progreso, la respuesta es que va rápido, pasan seis meses, no sale el producto, se ha gastado bastante dinero, ni siquiera sabes en qué se ha quemado ese dinero. Algunas instituciones en Medio Oriente que hacen inversiones tempranas también han comentado sobre problemas similares, invirtieron en un montón de rondas de semillas de Web3, la gestión posterior a la inversión depende básicamente de los informes voluntarios del equipo del proyecto, la veracidad es difícil de verificar de forma independiente.
Lo más incómodo de esto es que asumes un riesgo a nivel de accionista, pero lo que obtienes es solo el derecho a escuchar informes.
Aquí la cuestión central es si los datos posteriores a la inversión se pueden consultar directamente, si los materiales de auditoría se pueden exportar de manera estandarizada. @SignOfficial En la parte de Gobernanza y Operaciones del libro blanco, lo que realmente se está complementando es esto. Se requiere que en los tableros de monitoreo haya métricas en tiempo real como volumen de emisión, volumen de verificación, volumen de distribución, latencia de API. El enfoque no está en cuán profesionales son los términos, sino en que estos no son relatos de informes posteriores a la inversión, sino datos generados por el sistema que los inversionistas pueden ver directamente.
Más adelante, la versión del conjunto de reglas y el hash del conjunto de reglas en EvidenceArtifact también son muy críticos. Cada vez que el equipo del proyecto cambia las reglas o ajusta parámetros, debe dejar un registro en la cadena. Así que no solo escuchas que ha optimizado, sino que puedes verificar qué versión se cambió y si los cambios son los mismos que él dice.
También está todo el conjunto de AuditExportPackage. En el pasado, muchos materiales posteriores a la inversión eran una presentación de PPT, muy completa, pero difícil de verificar. Aquí, el paquete de auditoría se hace en un formato unificado. Aprobaciones firmadas, registros, salidas de conciliación empaquetadas juntas, y también pueden ser leídas por máquinas. Así, después de la inversión, no solo se ve un informe, sino que se verifica evidencia.
Hablando de $SIGN , también es muy sólido. La financiación de Web3 es en realidad un gran mercado, y la auditoría posterior a la inversión es una necesidad fundamental para las instituciones. Cada paquete de auditoría genera una atestación, cada llamada a la API para verificar datos de monitoreo, cada cambio de reglas genera un evidenceartifact, que en esencia son consumos de protocolo. Cuanto más grande es el dinero, más estricta es la conformidad, y más frecuente es la llamada. #Sign地缘政治基建
Por lo tanto, lo más doloroso de la ronda de semillas es que después de invertir el dinero, te quedas mucho tiempo en la caja negra. Si este conjunto de cosas de Sign realmente puede implementarse, complementa el hecho de que la gestión posterior a la inversión pase de escuchar a otros a investigar por uno mismo.
Eché un vistazo al último mapa de calor en la cadena, y hablemos brevemente sobre la situación actual del Bitcoin 📊
Actualmente, el precio de BTC está justo en el límite inferior de la zona de costos para los nuevos jugadores que entran en el mercado, entre 60,000 y 70,000 dólares. Aunque se puede ver que hay capital acumulándose lentamente en esta posición, el tamaño general aún es inferior a los niveles típicos que históricamente han impulsado rebotes fuertes, y la densidad de chips es relativamente débil.
En resumen, la estructura de fondo se está formando lentamente, pero la fuerza de los toros aún no es suficiente; para despegar directamente, necesitamos esperar señales más claras. Mantén la paciencia, observa más y actúa menos 👀 #BTC行情
No estás comprando un coche de segunda mano, estás comprando un fragmento de historia que podría haber sido editado.
Las personas que han comprado coches de segunda mano han experimentado esa inseguridad de alguna manera. El vendedor de coches pone un montón de registros frente a ti, el mantenimiento se ha hecho a tiempo, no ha habido grandes accidentes, el kilometraje es atractivo, y de paso añade que puedes confiar en este coche. Suena completo, pero siempre hay una inquietud en el fondo: ¿son estos registros todos los que hay, o solo la parte que él quiere que veas? Lo que más puede perjudicar en la compra de un coche de segunda mano, muchas veces, no es solo el estado del coche en sí, sino que es demasiado fácil manipular los registros. El ajuste del odómetro es algo que los que entienden saben que no es raro. Ajustar de más de cien mil kilómetros a cinco o seis mil cambia inmediatamente la apariencia y también puede aumentar el precio. Lo que es más problemático es que muchos compradores al final no son derrotados por no entender los coches, sino por la falta de información completa. Porque no estás negociando con un coche, estás evaluando un montón de registros que pueden haber sido editados, filtrados o ensamblados.
Lo que más temen los freelancers, muchas veces, no es que no haya trabajo, sino que, al terminar el trabajo, ¡no reciben el pago!!!😭
Después de dos semanas de entregar el producto, el cliente primero dice que está bien, pero después de unos días vuelve a decir que hay que hacer cambios. Tú, a regañadientes, haces tres versiones, y la otra parte finalmente desaparece. Lo que es aún más problemático son los contratos internacionales, especialmente al tratar con clientes de Oriente Medio, donde la distancia es larga, la identidad es confusa y la cadena de comunicación es extensa. Dices que enviaste el documento, y la otra parte dice que no lo recibió; tú tomas una captura de pantalla del correo como prueba, y él dice que la captura puede ser falsificada. ¿Hay contrato? Unas pocas palabras acordadas por WeChat también cuentan. Pero si realmente se trata de hacer valer tus derechos, los honorarios del abogado pueden ser más caros que el propio contrato.
Así que lo que realmente atrapa a los freelancers en este tipo de colaboración no es que el cliente sea confiable o no, sino si el acuerdo puede ser firme, si la entrega puede ser confirmada y si el dinero puede ser transferido automáticamente según las condiciones.
Hasta hace poco vi el proyecto @SignOfficial , y sentí que algunas cosas estaban claras. EthSign puede redactar el acuerdo de trabajo como ProofofAgreement en la cadena, aclarando el contenido de la entrega, los estándares de aceptación y los puntos de pago, para que, tras la firma de ambas partes, nadie pueda evadir su responsabilidad. Más adelante, TokenTable se ocupa de la capa que más preocupa a los freelancers: no se trata de que el cliente diga que pagará, sino de que el dinero se deposite según las reglas. Por ejemplo, tras la entrega de la primera versión se libera el 50%, y el 50% final se libera tras la aceptación. En el libro blanco ya se soportan cliff y desbloqueos condicionales; esta lógica de pago por fases es adecuada para recibir pedidos internacionales. #Sign地缘政治基建
Si además se combina con attestation para confirmar que se ha entregado y aceptado, entonces el desembolso posterior ya no depende de discusiones, sino de la ejecución según las condiciones. Quién confirmó, cuándo se confirmó y si se debe hacer el pago, todo puede ser verificado en la cadena. Hablando de $SIGN , aquí tampoco se trata de forzar. Los freelancers en todo el mundo son en realidad un mercado de miles de millones; cada contrato firmado en la cadena, cada confirmación de entrega y cada ejecución de pago condicional son invocaciones de acuerdos. Cuantas más colaboraciones internacionales haya, mayor será el volumen de invocaciones.
Así que lo que más temen los freelancers, realmente no es que no haya trabajo, sino que, después de esforzarse, al final tienen que ver el humor de la gente para recibir su pago. Si esta serie de cosas que Sign puede implementar realmente puede integrarse en escenarios de la vida real, lo que se recupera no es un contrato más avanzado, sino la capa más básica de seguridad en los pagos en pedidos internacionales.
¿Pérdida de 19,000 dólares por moneda? Las empresas mineras de Bitcoin han dejado de hacerlo y se han vuelto directamente hacia la IA
Ahora el costo de la minería es demasiado alto, las reglas de supervivencia de los mineros se han convertido en: Vender $BTC por efectivo ➡️ Inversión loca en centros de datos HPC ➡️ Transformarse en proveedores de potencia de IA.
CoinShares ha revelado que estas empresas mineras que cotizan en bolsa ya han hecho más de 70 mil millones de dólares en colaboraciones de IA. Antes competíamos por quién minaba más, ahora competimos por quién puede alimentar mejor a los grandes modelos. Ha comenzado una gran reestructuración en el mundo de la minería.
El mes pasado, un famoso tuvo un concierto y el organizador dijo que había un límite global de 1000 entradas, con un precio de diez mil. Conseguí una entrada y estaba bastante feliz, pero resulta que el día del concierto había claramente más de 1000 personas, y después, alguien contabilizó que solo en una plataforma de segunda mano se habían filtrado 1500 entradas. El organizador dijo que realmente solo emitió 1000 entradas, nadie le cree, pero tampoco nadie puede probar que mintió. El banco central controla la emisión de billetes, cada billete tiene un número único, la cantidad total es pública, cualquier persona puede verificar cuántos están en circulación en el mercado. Pero el organizador del concierto dice que las entradas son limitadas, no tienes forma de verificarlo, podría haber impreso 2000 entradas, podría haber hecho una reimpresión después, podría haber copiado algunas internamente, nunca lo sabrás. El Protocolo de Sign @SignOfficial puede convertir esta afirmación del organizador en un hecho verificable en la cadena. Al emitir las entradas, se crea en la cadena una Atestación de emisión de entradas, con un total de 1000 entradas bloqueadas, cada vez que se vende una se genera una sub-Atestación, numerada del 001 al 1000, el total en la cadena puede ser consultado en tiempo real por cualquier persona. Si se encuentran 2000 personas, se sabe de inmediato que alguien ha emitido en exceso o ha vendido entradas falsas, el organizador no tiene espacio para negar. Cada año, miles de millones de entradas para conciertos globales, eventos deportivos y productos limitados, cada afirmación de límite es una posible lucha por la confianza, ¡cada Atestación de emisión es una verdadera invocación del protocolo $SIGN !
Lo que realmente provoca disputas no es que no se transfiera, sino que las reglas no se han cerrado en absoluto.
El mes pasado ayudé a un proyecto DeFi como asesor, el fundador me envió un mensaje a las dos de la mañana: el período de bloqueo del token ha terminado, hay que desbloquear a 200 contribuyentes tempranos, revisé la tabla tres veces, pero aún hay 12 direcciones que no coinciden. Algunos dicen que no han recibido, otros dicen que han recibido de más, ¡la comunidad ya está empezando a gritar! Cuando terminé de ver, mi primera reacción no fue ayudarlo a revisar la tabla, sino pensar que esto era demasiado familiar. Después de un tiempo, siempre hay algún proyecto que cae en el mismo agujero. Cambia el nombre del proyecto, cambia el nombre del token, pero el guion sigue siendo el mismo. Luego me preguntó algo, y pensé que había dado en el clavo.
En las últimas 4 horas, se liquidaron posiciones por 259 millones de dólares en toda la red, con liquidaciones largas de 249 millones de dólares y liquidaciones cortas de 9.8817 millones de dólares.👻
De los cuales, se liquidaron posiciones de BTC por 118 millones de dólares y de ETH por 73.6592 millones de dólares. #美伊和谈陷僵局 #BTC行情