Chen七月千顺

Nella revisione degli eventi di sicurezza, la frase più imbarazzante di solito non è "siamo stati hackerati", ma è "quale versione del codice stava girando online al momento dell'incidente, lasciami controllare."

Sembra assurdo, ma molte squadre, quando arriva il momento dell'incidente, la prima reazione è controllare il gitlog, controllare i registri di rilascio, controllare la configurazione del server. Il problema è che, per un protocollo che gestisce decine di miliardi di TVL, questa ambiguità è di per sé un rischio. Non riesci nemmeno a dire quale versione stava girando online, come puoi poi parlare di revisione, responsabilità, riparazione e audit.

Più complicato è il fatto che il numero di versione di per sé non è sufficiente. Qualcuno ha spinto di nascosto una hotfix prima dell'incidente? È stato cambiato il processo di costruzione? Queste cose possono essere replicate se non sono state solidificate in anticipo, e dopo l'incidente rimane praticamente solo una testimonianza.

Questo è anche il motivo per cui, mentre studiavo il white paper @SignOfficial nella parte SupplyChain&SDLCSecurity, ho trovato che ciò che diceva era piuttosto concreto. Non richiede solo la scansione del codice, ma un'intera serie di processi che possono fissare cosa sia realmente questa versione: scanning delle dipendenze, generazione di SBOM, build riproducibili, immagini di staging per l'ambiente di produzione. In parole povere, non permettere che il rilascio rimanga solo nell'idea che dovrebbe essere questa versione. #Sign地缘政治基建

La cosa più importante è che ogni rilascio generi un'attestazione, conservando l'elenco completo delle dipendenze, l'hash di costruzione e le informazioni sulla versione. In questo modo, se successivamente si verifica un incidente, non è necessario fare affidamento sulla memoria delle persone, ma si può semplicemente controllare quale versione stava girando al momento dell'incidente, quali dipendenze erano incluse e se il binario può essere riprodotto dal codice sorgente e dalla configurazione.

Il white paper richiede anche che i critical components facciano audit di terze parti, collaborando con bug bounty e coordinando le divulgazioni. Questa logica è molto lineare, poiché la sicurezza della supply chain non è solo una questione che il team di sviluppo afferma "non ci sono problemi", ma ogni livello deve essere spostato il più possibile da spiegazioni verbali a registri verificabili.

$SIGN Ogni attestazione SBOM di ogni rilascio di versione, ogni rapporto di scansione per ogni aggiornamento delle dipendenze, ogni prova dell'hash di costruzione, essenzialmente sono tutte chiamate al protocollo. Per i clienti di livello istituzionale, questo non è un valore aggiunto di sicurezza, ma una soglia di ingresso.

La cosa più spaventosa quando un server viene hackerato non è la vulnerabilità stessa, ma scoprire dopo che non riesci nemmeno a chiarire quale versione stavi eseguendo. È solo quando un sistema ha realmente un problema che si capisce quanto sia fragile la base.

《Padre Ricco, Padre Povero》 l'autore Kiyosaki è tornato a battere il piede! 🔥

Il suo ultimo post afferma che ora tutti i paesi stanno stampando denaro in modo frenetico, il debito sta salendo senza limiti, e se continui a tenere stretto il cash e i risparmi in dollari, la tua ricchezza sarà lentamente erosa dall'inflazione. Inoltre, con i conflitti geopolitici che non mostrano segni di fine, i prezzi del petrolio non scenderanno affatto, e i giorni difficili dell'alta inflazione potrebbero durare ancora a lungo.

In questa epoca di grande liquidità, le persone comuni devono combattere con la "consapevolezza finanziaria". Kiyosaki è molto chiaro: la svalutazione della moneta fiat è inevitabile, e per proteggere la propria ricchezza è necessario concentrarsi sulle vere valute dure. Oltre all'oro, all'argento, al petrolio e alle riserve alimentari che ha sempre sottolineato, questa volta ha ribadito il supporto per $BTC e $ETH 🚀!

Quando i grandi nomi della finanza tradizionale stanno trattando le criptovalute come un salvagente, hai già convertito la tua moneta fiat in asset fondamentali? Qual è la tua posizione contro l'inflazione? Fai un commento qui sotto 👇

#BTC #ETH

Chi ha investito in un round seed, di solito accetta un presupposto: il progetto potrebbe fallire. Ma ciò che rende davvero ansiosi è quel periodo di black box dopo che i soldi sono stati inviati!!!

Il team del progetto dice che stanno lavorando al prodotto, chiedi aggiornamenti e la risposta è che stanno accelerando; sei mesi passano, il prodotto non è arrivato e i soldi sono stati spesi, non sai nemmeno dove siano stati investiti. Anche alcune istituzioni del Medio Oriente che fanno investimenti precoci si sono lamentate di problematiche simili, hanno investito in una serie di round seed Web3, e la gestione post-investimento dipende principalmente dalla consapevolezza del team del progetto nel riportare, difficile verificare l'autenticità in modo indipendente.

La cosa più scomoda è che stai assumendo un rischio a livello di azionista, ma ciò che ottieni è solo il diritto di ascoltare i rapporti.

Qui il problema centrale è se i dati post-investimento possano essere consultati direttamente e se i materiali di audit possano essere esportati in modo standardizzato. @SignOfficial Nel white paper, la sezione Governance&Operations in effetti si occupa di questo.
Richiede che nei monitoring dashboards ci siano indicatori in tempo reale come issuancevolume, verificationvolume, distributionvolume, APIlatency. Il punto non è quanto siano professionali le parole, ma che questi non sono resoconti auto-generati nei rapporti post-investimento, ma dati generati dal sistema che gli investitori possono vedere direttamente.

Scendendo ulteriormente, le versioni e l'hash del ruleset in EvidenceArtifact sono anche molto importanti. Ogni volta che il team del progetto modifica le regole o i parametri, deve lasciare una registrazione sulla blockchain. In questo modo non stai solo ascoltando che hanno ottimizzato, ma puoi verificare quale versione è stata modificata e se le modifiche corrispondono a ciò che hanno detto.

C'è anche questo AuditExportPackage. In passato, molti materiali post-investimento erano solo una presentazione PPT, scritta in modo molto dettagliato, ma difficile da verificare. Qui Sign ha standardizzato il pacchetto di audit. signedapprovals, logs e reconciliationoutputs vengono impacchettati insieme e possono essere letti da una macchina. Così, il post-investimento non è più solo vedere il rapporto, ma verificare le prove.

Parlando di $SIGN , è molto hardcore. Il capitale di rischio in Web3 è in realtà un grande mercato, e l'audit post-investimento è una necessità per le istituzioni. Ogni pacchetto di audit genera un'attestazione, ogni chiamata API per controllare i dati di monitoraggio, ogni cambiamento delle regole genera un evidenceartifact, essenzialmente è tutto consumo protocollo. Più grande è il capitale, più rigorosa è la conformità, più frequenti sono le chiamate. #Sign地缘政治基建

Quindi, la cosa più frustrante del round seed è che dopo aver investito soldi, rimani a lungo in una black box. Se questo sistema Sign può davvero essere implementato, colma il divario tra ascoltare gli altri e fare verifiche autonome.

Ho dato un'occhiata all'ultima mappa termica pubblicata sulla blockchain e parliamo brevemente della situazione attuale di Bitcoin 📊

Attualmente, il prezzo di BTC si trova esattamente nella parte bassa della fascia di costo per i nuovi investitori, tra 60.000 e 70.000 dollari. Anche se si può notare che ci sono fondi che stanno lentamente accumulando, la scala complessiva rimane ancora al di sotto dei livelli tipici che in passato hanno spinto forti rimbalzi, con una densità di chip relativamente debole.

In sintesi, la struttura di fondo si sta lentamente formando, ma per ora la forza dei rialzisti non è ancora sufficiente; per decollare direttamente dovremo aspettare segnali più chiari. Mantieni la pazienza, osserva di più e agisci di meno 👀
#BTC行情

Quello che i liberi professionisti temono di più, spesso non è la mancanza di lavoro, ma il fatto che, una volta completato il lavoro, non ricevono il pagamento!!! 😭

Dopo due settimane di lavoro per completare la consegna, il cliente inizialmente dice che va bene, poi dopo un paio di giorni torna a dire che deve ancora essere modificato. Hai dovuto fare tre versioni, ma alla fine l'altra parte scompare del tutto. Più complicato è il lavoro internazionale, specialmente con i clienti del Medio Oriente, a causa della distanza, dell'identità poco chiara e della lunga catena di comunicazione. Tu dici che hai inviato il documento, l'altra parte dice di non averlo ricevuto; tu prendi uno screenshot dell'email per dimostrare, ma lui dice che lo screenshot può essere falsificato. C'è un contratto? Qualche accordo verbale su WeChat conta. Ma se si tratta di far valere i propri diritti, le spese legali potrebbero essere superiori al valore del lavoro stesso.

Quindi, quello che davvero blocca queste collaborazioni non è se il cliente è affidabile o meno, ma se gli accordi possono essere definiti chiaramente, se le consegne possono essere confermate e se i pagamenti possono essere eseguiti automaticamente secondo le condizioni.

Fino a poco tempo fa, ho visto il progetto @SignOfficial e mi sono reso conto che alcune cose si sono chiarite. EthSign può prima redigere l'accordo di lavoro come ProofofAgreement sulla blockchain, specificando chiaramente il contenuto della consegna, gli standard di accettazione e i punti di pagamento, in modo che dopo la firma da entrambe le parti nessuno possa tirarsi indietro. Inoltre, TokenTable si occupa della parte che interessa di più i liberi professionisti: il cliente non dice semplicemente che pagherà, ma prima inserisce il denaro secondo le regole. Ad esempio, il rilascio del 50% alla prima consegna e il rilascio del restante 50% alla fine dell'accettazione. Il white paper supporta già il cliff e lo sblocco condizionale, e questa logica di pagamento scaglionato è perfetta per gli ordini internazionali. #Sign地缘政治基建

Se poi si utilizza l'attestazione per confermare che è stata effettuata la consegna e l'accettazione, il rilascio dei fondi non dipenderà più da discussioni, ma sarà eseguito secondo le condizioni. Chi ha confermato, quando ha confermato e se si deve effettuare il pagamento, tutto sarà verificabile sulla blockchain.
Inoltre, parlando di $SIGN , qui non si tratta di forzare le cose. I liberi professionisti a livello globale costituiscono già un mercato di miliardi, ogni contratto sulla blockchain, ogni conferma di consegna e ogni esecuzione di pagamento condizionato sono chiamate di protocollo. Maggiore è la collaborazione internazionale, maggiore sarà il volume delle chiamate.

Quindi ciò che i liberi professionisti temono di più non è la mancanza di lavoro, ma il fatto di lavorare duramente e, alla fine, dover ancora guardare in faccia le persone per ricevere il pagamento. Se questo sistema di Sign potesse davvero essere integrato nella realtà, ciò che verrebbe migliorato non sarebbe la firma di contratti più sofisticati, ma la sicurezza dei pagamenti nella parte più bassa degli ordini internazionali.

Perdita di 19.000 dollari per singolo pezzo? Le aziende minerarie di Bitcoin hanno smesso, si sono girate per occuparsi di AI

Ora i costi di estrazione sono diventati troppo elevati, le regole di sopravvivenza dei miner sono diventate:
Vendi $BTC per contante ➡️ Costruzione frenetica di centri dati HPC ➡️ Trasformazione in fornitori di potenza di calcolo AI.

CoinShares ha rivelato che queste aziende minerarie quotate hanno già avviato collaborazioni per oltre 70 miliardi di dollari nell'AI. In passato si competiva su chi estraeva di più, ora si compete su chi ha la potenza di calcolo in grado di nutrire grandi modelli. Inizia una grande ristrutturazione nel settore minerario.

Il mese scorso, un certo concerto di una celebrità ha messo in vendita i biglietti, l'organizzatore ha detto che erano disponibili solo 1000 biglietti in tutto il mondo, al prezzo di diecimila. Sono riuscito a prenderne uno e sono stato abbastanza felice, ma il giorno del concerto c'erano chiaramente più di 1000 persone, e successivamente qualcuno ha calcolato che su una certa piattaforma di seconda mano erano stati venduti 1500 biglietti. L'organizzatore ha affermato che effettivamente erano stati emessi solo 1000 biglietti, nessuno ci crede, ma nessuno può dimostrare che stia mentendo.
La banca centrale controlla l'emissione di banconote, ogni banconota ha un numero unico, la quantità totale è pubblica, chiunque può verificare quanto è in circolazione. Ma per i biglietti del concerto, l'organizzatore dice che sono limitati, non hai modo di verificarlo; potrebbero averne stampati 2000, potrebbero averne stampati di più in seguito, potrebbero copiare internamente, non lo saprai mai.
Il Sign Protocol di @SignOfficial può trasformare questa affermazione dell'organizzatore in un fatto verificabile sulla blockchain. Quando vengono aperte le vendite, viene creata un'Attestazione di emissione dei biglietti sulla blockchain, con un totale bloccato di 1000 biglietti; ogni volta che ne viene venduto uno, viene generata un'Attestazione secondaria, numerata da 001 a 1000, e il totale sulla blockchain è consultabile in tempo reale da chiunque. Se sul posto si trovano 2000 persone, si saprà subito che qualcuno ha emesso più biglietti o che ci sono stati biglietti falsi, e l'organizzatore non avrà spazio per negare.
Concerti globali, eventi sportivi, prodotti in edizione limitata, ogni anno ci sono decine di miliardi di biglietti, ogni volta che viene fatta un'affermazione di limitazione c'è un potenziale gioco di fiducia; ogni attestazione di emissione è una vera chiamata al protocollo $SIGN !

$SIGN #Sign地缘政治基建