defi爱好者，eth holder，web3 security research, building @opland_io 为了多听些不同观点
Singapore
Joined February 2023
- Tweets813
- Following1.3K
- Followers1.8K
- Likes1.1K
ramble｜crypto x AI retweeted
#医保 #养老金 #公积金 #延迟退休
看到很多自由职业的朋友，还在主动自费缴纳社保，感到悲痛惋惜。来分享一下我的观点：
🏥医保
1. 大部分缴纳医保的年轻人，从未真正使用过医保。
这是一个恶意的文字游戏，自费是自己掏钱，医保支付大部分情况下依然是自己掏钱。
不妨检查一下付款的详单，大概率用的是个人账户支付，而非统筹账户 —— 也就是自费。
但在所有医院付款环节中，这里被特意的设计成 让你误以为是医保报销。
如果你想真正看病报销，推荐查看这个视频《2023最清晰实用医保指南》，足够清晰易懂，也足够让你头昏眼花。
bilibili.com/video/BV1GW4y1D…
2. 自由职业者可以选择只缴纳居民医保，这是全中国唯一尚存的“老百姓福利”。
门诊报销比例，实际使用中占比很小，医保重要的是重大疾病、尤其是住院手术时的报销能力。
这一点居民医保性价比很高，虽然需要通过层层关卡（申请转院），但操作得当是可以真实落地报销的。
3. 商业险，须知保险的本质是杠杆。
购买保险，是你本人和保险公司之间的对赌，对赌一定有输赢。对方一堆精算师算出来的价格，你只要接受了，毫无疑问是你输。
那为什么必输还得买呢 —— 因为你还不够有钱，也承担不起重病的风险，所以不得不接受这个必输的交易，来获取一定杠杆。这个杠杆就是，你用每个月相对少量钱的付出，加杠杆，获取重大疾病发生时的医疗费用兜底。
换句话说，如果你有一些资产，比如应急现金留够了 100 万，那就不用考虑额外买商业保险了。以国内保险从业者的素质而言，条款里每一项细则都可能是坑，完全可以选择不参与这种必输的游戏。
👴养老金
已经退休的公务员，到手工资比重点大学的毕业生高很多，这不是段子而是现实。养老金是非常简单的问题：你到底是哪一边的？
公务员、国企、私企、自由职业（打零工），身份不同，实际到手的养老金差异巨大，网上可以搜到足够多的数据。有多少人考公，就有多少人想明白了这一点，选择努力做被供养的那一边。
看到很多年轻公务员抱怨工作强度大，收入低，被 PUA。那你为啥不来另一边 😆
没有谁是傻子，大家都会为自己的利益努力。作为既得利益者，当然是希望更多人缴纳养老金，更晚退休。如果你不幸在另一方，唯一能做的抵抗就是尽量不交，尽量少交。
至于能不能可持续发展，这根本没有讨论价值，如果还在纠结这个问题，我收回上一句话“没有谁是傻子”。
🏠 公积金
这个部分没有坑，或者说坑不在这里… 住房公积金是实打实能提取，能到手的真钱，算收入的时候考虑进去。
据我观察，愿意冒风险给员工避税的公司越来越少了。在这个过程中，企业的风险远大于收益，而且能把账算明白的也是少数，吃力不讨好。
以前我上班的时候，有一份工作税前是 4 万，到手是 5.3万。—— 还真就有人选择不要到手 5.5，选择要到手 2.7 + 全额缴纳的。
当然企业是为了自己省钱，还是为了给你也省点，要具体情况具体计算。不要先入为主拒绝，一切以自己到手为准。
🎫 社保的额外价值
也就是落户和房票。
在我辞职之后的一段时间，还继续保持着上海的社保。当时还没做决定，未来会不会在上海生活，买房，落户。所以付费保持着连续社保，断了这些就没资格了。
当决定定居日本之后立刻停了，止损。放今天看，落户和房票 显然越来越不值钱了，更加没有维持的必要。
公积金早已提取完毕了，养老金我放弃，医保还有钱。所以我依然保持着，回国时顺带找三甲医院做的检查的习惯，尽量把医保的钱花掉。不报销，仅医保个人账户自费，不给国家添麻烦。
——
我想说的说完了 ～ 大部分人也许还没有选择，但理应知道自己在做什么，这样有选择的时候才能选对。
祝早日退休，领到自己应得的养老金。
ramble｜crypto x AI retweeted
⚠️FomoPeek App 1.2版本盗窃资产风险预警
近期我们收到多起用户资产被盗反馈，经核实，相关事件均涉及私钥泄露，其中部分用户曾下载并使用 FomoPeek 1.2 版本App。
经 @SlowMist_Team & OKX 安全团队联合分析确认：该应用有明确证据被植入恶意代码。除正常业务功能外，该应用还捆绑了两个与业务无关的模块，其中包含一套专业的 iOS 内核攻击框架，集成 8 种漏洞利用方案，可根据设备型号及系统版本自动选择攻击方式。
攻击成功后，该应用可突破 iOS 沙盒隔离机制，进而读取并解密系统钥匙串（Keychain），并访问设备上其他 App 的数据文件。用户存储在设备中的私钥、助记词、登录凭据、聊天记录及文件等，均可能因此面临泄露风险。此外，该应用还会连接与公开业务无关的隐蔽服务器，接收远程指令。
我们截获的通信明文显示，其攻击功能当前处于开启状态，并会定期自动执行。设备运行的 iOS 版本越低，潜在风险越高。
如您曾下载或使用过该应用，请立即：检查账户资产及私钥安全状况；在确认未安装过该应用的安全设备上创建新账户并生成全新密钥；尽快将资产转移至新账户；更新至最新版 iOS 系统；不要继续使用或重新安使用或重新安装该应用。如发现异常资产活动，请立即联系相关平台官方客服，并保留设备及相关证据，以便进一步核查。
🚨 SlowMist TI Alert: FomoPeek App v1.1–1.2 Asset Theft 🚨
We have recently received multiple reports of users having assets stolen. Our investigation found that the affected cases involved private key exposure, and some of the users had previously installed and used @FomoPeek App versions 1.1–1.2.
A joint investigation by the @SlowMist_Team and @okx security teams confirmed that the app contains malicious code.⚠️
Besides its normal features, FomoPeek includes two modules that are unrelated to its stated business functions. One of them contains an #iOS kernel exploitation framework with eight different exploit methods. The framework can automatically choose an attack method based on the device model and iOS version.
‼️Affected iOS versions: iOS 12.0–18.7 and iOS 26.0–26.1.‼️
If the exploit succeeds, the app may escape the iOS sandbox, access and decrypt Keychain data, and read files belonging to other apps on the device.
🔐 This means sensitive data stored on the device, including private keys, seed phrases, login credentials, chat history, and files, may be exposed.
The app also connects to hidden servers that are unrelated to its public-facing services and can receive remote commands.
Based on plaintext traffic captured during our analysis, the attack functionality is currently enabled and runs automatically at regular intervals. In general, devices running older iOS versions are at higher risk.
If you have installed or used FomoPeek versions 1.1–1.2, we recommend that you take action immediately:
1️⃣ Check your accounts and assets for any unusual activity.
2️⃣ On a trusted device where FomoPeek has never been installed, create a new account and generate a new private key and seed phrase.
3️⃣ Move your assets to the new account as soon as possible.
4️⃣ Update your device to the latest available iOS version.
5️⃣ Do not continue using or reinstalling FomoPeek.
6️⃣ If you notice any suspicious asset activity, contact the official support team of the relevant platform and keep the affected device and related evidence for further investigation.
ramble｜crypto x AI retweeted
什么叫完全接纳自己？我的理解是“即便我有局限、有缺点、有不如人的地方，我依然完整地站在自己这边”。这是要我们能“向内求而不是向外求”，什么是向内求？
1）知道自己的性格特质，知道自己能力边界（擅长什么不擅长什么），知道自己的缺点；
2）关注点从“别人怎么看、外界给不给认可”转到“我此刻是什么样、我按自己的节奏往哪走”；
因为你不再把自我价值押在不可控的外部比较上，你会从容、通透进而淡定。
但接纳不等于止步，很多人把“完全接纳自己”理解成“认命、躺平、不再进步”，真正的接纳恰恰相反：它允许我们带着不完美继续走，并不需要先把自己否定一遍再去进步。
可以把它想成一种无条件的自我同盟：
1）我看见自己的短板，但不因此贬低自己；
2）我看见自己的进步（哪怕很慢），也不因此膨胀；
3）我允许自己处在过程中，而不是要求自己必须已经抵达某个“配被接纳”的终点。
当这个同盟关系稳了，自信才会从内部长出来。
古人说“日拱一卒可，功不唐捐”，是因为你的动力不再来自“我还不够好，必须赶紧证明自己”，而来自“我已经完整了，所以可以按自己的节奏变得更好”。
看蓝狐老师这段话有感而发
ramble｜crypto x AI retweeted
以太坊放弃为 L1 采用 Poseidon 后量子哈希，转向 SHA 或 BLAKE。
Poseidon 是 2019 年从 EF 走出来的 SNARK 友好哈希，目前 zkRollup 和 zkVM 大量在用。当初选它是因为在 SNARK 电路里证明传统哈希太贵，而 Poseidon 的代数哈希便宜得多。
现在之所以放弃这个 Poseidon，主要有两个原因，一个是安全性，以太坊当前一个很主要的方向是抗量子，但是目前 Poseidon 在抗量子上的安全性不足，另一方面是 SHA2、BLAKE2s 这些传统哈希在 SNARK 里的证明性能已经追平 Poseidon。
所以 Poseidon 的必要性就已经没有了，以太坊在哈希函数上的选择也能统一了。
Goodbye, Poseidon!
An epic 8-year, 8-figure rabbit hole in post-quantum cryptography reaches its dream conclusion. The Ethereum Foundation is abandoning Poseidon for L1, pivoting to SHA or BLAKE. This milestone unlocks ultimate security for lean Ethereum and foreshadows a golden era of hash-based cryptography.
Since 2018, the Ethereum Foundation has invested in magic cryptographic bricks, so-called "SNARK-friendly hashes". In 2019, Poseidon was born. It held strong and became the dominant SNARK-friendly hash, securing billions via zkrollups and zkVMs.
In a stunning reversal, breakthrough SNARK designs show that SNARK-friendly hashes aren't necessary after all. Off-the-shelf traditional hash functions like SHA2 and BLAKE2s can now match Poseidon in a SNARK. In hindsight the key was not SNARK-friendly hashes, but hash-friendly SNARKs.
The secret is doing maths over the smallest prime number: 2. So-called "binary fields" natively speak the language of bits, aligning with the boolean operations inside traditional hashes. This is a stark departure from "prime fields", where awkward large-prime arithmetic makes bit manipulation painfully expensive.
We're talking sci-fi cryptography. 1M traditional hash calls proven per second, on a laptop. Just 100x overhead vs native CPU boolean compute. Nobody predicted such performance, not even the handful of binary-field visionaries. Hat tip to the research geniuses: Jim and Ben with Binius in 2023; Ron, Benedikt and William with Flock in June.
With SHA2, the lean aesthetic of minimal assumptions reaches its climax. The EF's principled stance on pure hash-based cryptography has aged like fine wine. We now enjoy foundations the world can trust for decades and centuries, foundations worthy of the dream of an internet of value.
Speed of deployment is a secondary win. There's no longer a need to wait years for Poseidon cryptanalysis to bake. Emile and Thomas from the EF post-quantum team are moving at breakneck speed with binary fields. The strawmap now points to a production-grade leanVM in 2027, with CL, DL, EL deployments in 2028.
As AI becomes exceptional at cryptanalysis, the contrarian bet to avoid riskier structures like lattices and isogenies is visibly paying off. The past weeks have been brutal. Lattice-based "HAWK" and isogeny-based "SQIsign", both signature schemes in NIST's Round 3, have suffered blows. Sources I trust say more blood is coming.
On AI, the open autoresearch trend kicked off by ECDSA[.]fail is spreading fast, with amazing outcomes from zk[.]golf and SNARK[.]fast. Days ago SNARK[.]fast crossed 1.8M BLAKE3/sec proven on an M3 Max. Stay tuned for fresh autoresearch challenges dropping tomorrow.
Also tomorrow: Ethproofs call #10, dedicated to binary fields. Possibly the most noteworthy Ethproofs call yet. Experts leading the charge will present the future of hash-based SNARKs at 2pm UTC. What an incredible time to be alive. To witness history, DM me for a calendar invite :)
Today I can confidently claim that hash-based cryptography has won out for blockchain post-quantum signatures. SNARK succinctness compresses arbitrarily many signatures into one small proof per block. SNARK flexibility yields k-of-n threshold signatures, complex multisigs, and more.
Ultimate security. Uncompromising performance. Full programmability.
Believe in something. Believe in hashes.
ramble｜crypto x AI retweeted
今天，是Gate事件刑事立案后的第14天。
警方正式发函后，Gate先后以“文件格式不支持、压缩包可能存在病毒、怀疑报假警、材料不完整、要求视频验证”等理由反复推诿。警方逐项补充、全部配合后，Gate直到前几天才回复司法调证函。
警方让我辨认Gate提供的“手持身份证及纸条认证材料”是不是我本人。看到照片后，大家的第一反应是：这也太假了，明显PS的图片，如此明显的伪造资料，究竟是怎么通过审核的？@gate @Gate_zh
事实非常清楚：
第一，照片中的身份证根本不是我的身份证。身份证排版错误，登记地址与我的真实地址完全不符，甚至连地址开头的［省份］都没有。
第二，身份证号码明ps痕迹明显。正常身份证号码应延伸至头像右侧，但Gate提供的照片中，号码只到左肩位置，字体和长度均明显异常。
第三，照片中的人根本不是我。其外貌特征与我明显不符，连手部细节都能看出差异：对方拇指指甲没有月牙，而我本人拇指指甲一直有明显月牙。
然而，就是这样一张假身份证、一个非本人、配上一份漏洞百出的手持认证材料，竟然通过了Gate的安全审核，并被作为“用户本人验证通过”的依据。
Gate最大的问题，不只是攻击者提交了虚假资料，而是如此低级、明显的虚假资料，居然能够通过你们的风控审核！
更严重的是，Gate目前只向警方回复了部分材料，最关键的人脸活体验证视频至今仍未提供。此前你们口口声声表示“已经掌握关键线索”“将全力配合”，可真正刑事立案、警方正式调证后，交出的却是如此离谱的材料，核心证据仍然缺失。Gate现在拿出一点边角材料，再不断声称“正在配合”，本质上就是在拖延时间。
表面上看，是我的账户遭到盗取；但从整个过程来看，真正被攻击者击穿的，是Gate自身的身份审核和安全风控体系。攻击者仅凭假身份证、假手持资料和非本人人脸，就能重置账户安全验证并转走巨额资产，这已经不是单个用户的偶发损失，而是所有Gate用户都可能面临的系统性安全风险。
想想多可怕，辛苦多年积累的资产，可能只需要一张假身份证、一份假纸条和一段非本人的视频，就被他人轻易控制。你回来看到资产被转走时，Gate最终只需要用一句“系统验证通过”，就把全部责任推给用户。
Gate，你们内部真的应该立即自纠自查，而不是继续推诿和拖延。请立即成立专项调查组，安排真正专业、负责的人员，全程深入配合警方调查，完整提交活体人脸视频、审核记录、操作日志、设备信息及全部原始证据，尽快查清漏洞、锁定责任、还原事实，早日向警方、受害用户和公众交代真相。
如此低级、业余的审核结果，暴露出的究竟是个别审核人员失职，还是整个风控体系已经形同虚设？
一个管理着上100亿美元用户资产的交易平台，如果连“身份证是不是假的、照片里的人是不是本人”都无法识别，又凭什么让全球用户相信：自己的资产放在Gate是安全的？
请大家关注，转发，今天这是发生在我身上的事情，明天就可能发生在任何一名Gate用户身上，越想越气，越想越后怕
ramble｜crypto x AI retweeted
如果是 iPhone，屏幕监控不大可行，但有变通方式，比如无孔不入的广告或信息采集 SDK，产业链级共享用户习惯来达到精准投递。如果是 Android，权限宽松许多，包括 Accessibility（无障碍权限）的技巧结合，可以完成屏幕监听目的。
如果结合 0day 手法，那一切皆有可能，而且这早不是什么秘密或者说稀缺品…🥶
反正助记词（明文、自以为非明文、截图等形式）不要触网，不要触网，不要触网！
ramble｜crypto x AI retweeted
隔了几天没看gate，今天一看我人懵逼了，头皮凉了，我的 Gate 账户被盗，约 170 万美元资产被提空。
我本人实名账户，已设置手机验证、Google Authenticator、邮箱验证；期间我的手机没有收到任何短信验证码，我也从未向任何人提供视频、手持身份证照片或登录录屏。
但我邮箱里显示 7 月 4 日出现“重置登录密码邮箱验证”“重置安全项-补充资料”，7 月 5 日出现“账户邮箱更换提醒”。Gate 客服也确认：更换安全项通常需要实名本人提供手持照片或登录屏幕。另外我没有开api和api提现权限。
请 Gate 立即说明：是谁提交了这些资料？为何在我未收到短信、未提供视频/手持身份证/录屏的情况下，安全项和邮箱可以被重置？请立刻冻结相关链上地址、公开处理进展并给出赔付方案。
下面是具体被盗链接
etherscan.io/address/0x34660…
etherscan.io/address/0x34660…
etherscan.io/address/0x34660…
etherscan.io/tx/0x35309c1ab6…
etherscan.io/tx/0x0f8a202c5b…
ramble｜crypto x AI retweeted
Tether 联合创始人 Reeve Collins 接受采访并概述了其对稳定币未来演变路径（稳定币 2.0）的看法。Collins 认为传统稳定币（1.0 时代）存在结构性缺陷：发行方（如 Tether）将用户资金投入美债并保留了全部 3% 至 4% 的收益，而用户作为价值提供者却未获得任何回报。为了解决这一问题，Collins 推出了下一代去中心化稳定币协议 STBL，该协议通过创新的双代币结构。Collins 强调，STBL 是一个去中心化协议技术基础设施，允许银行、知名品牌、体育特许经营权等机构在其上发行属于自己的、透明且具备收益的定制稳定币。wublock123.com/news/news-631…
ramble｜crypto x AI retweeted
Most LP dashboards show balances. Opland shows what actually happened.
Generate a report for your LP positions and break down Fee PnL, Inventory PnL, IL, Gross/Net Profit, and APR by pool.
Self-custodial, wallet-linked, and built for real DeFi position review.
Explore Opland.
ramble｜crypto x AI retweeted
老罗是初代网红里，唯一兼具相声演员 和 启蒙公知角色的。当时手机里常放一些郭德纲相声和老罗语录，只有老罗的节目让人大笑过后又突然觉得明白了些什么。
那是中国互联网比较美好的一段“小阳春”，还可以热议一些严肃的话题：比如走向公民社会什么的，后来发现这都是幻觉。再之后流量就被玩坏了，网红也一代不如一代
ramble｜crypto x AI retweeted
情感上我也认同，但E的问题也挺明显的：@ethereumfndn商业化能力不够 ，长期向竞争对手(bsc/avax等)无偿输血，比如evm标准，ZK/抗量子解决方案，流失市场份额也没换回类似专利/版权费之类的收入，ROI跟Tron/Solana比就是差一截；再一个Defi上每年充当黑客几个B的提款机，都是长期持续的卖压。
ramble｜crypto x AI retweeted
还是继续提醒下吧，不要用你的 IDE 打开任何陌生的目录。这种 1Click 利用手法，虽然在这些 IDE 新版都做了缓解措施，但还可以绕过。
项目方注意自己的研发人员，别成为这种投毒攻击的靶子。Drift 2.8 亿美金被盗教训就在眼前。
特意处理成的极简无害的 PoC，可以用你的 IDE 玩下（如 Cursor/VS Code/Antigravity/TRAE）：
github.com/evilcos/vscode_ta…
纯演示，具体步骤看仓库的 README。
再再次提醒：在野攻击已经不少，身边已经有几个中招真实案例，比如愿意公开这个遭遇的 @brucexu_eth 所幸止损及时无任何损失。😎
ramble｜crypto x AI retweeted
这篇文章非常好，我强烈推荐所有玩 Openclaw 的用户仔细阅读。这个不是花里胡哨的东西，而是非常扎实的使用分享。
我补充一个作者没有提到的场景，也是我用的比较多的场景：在一个 workspace 下使用不同的 agent。我相信很多人会有一个疑问：这和一个 agent 在不同的频道配备不同的模型有什么区别呢？既然所有的 agent 都共享一个 soul.md、user.md 和 agent.md 的情况下。而且每个频道都可以独立设置自己的提示词。
我直接贴一份在我的要求下，AI 产出的对比结论吧
问题：同 Workspace 下不同 Agent vs 单 Agent 配置不同模型
结论先行：
如果你只想实现“频道A用强模型、频道B用便宜模型”，那采用 单 Agent + bindings 就足够了，实际体验差异极小。在同一个 Workspace 下部署多 Agent，其核心价值在于运行隔离，而非知识隔离。
主要区别：
1. 会话隔离层级更细
* 单 Agent：按频道/DM分 session。
* 多 Agent：按 agentId + 频道/DM 分 session。核心优势在于故障域更小，局部异常不影响整体业务。
2. 权限边界可按 Agent 切分
* 单 Agent 很难实现“A频道可 exec、B频道禁 exec”的硬策略。
* 多 Agent 可以把频道路由到不同 Agent，各自独立配置 tools/sandbox/elevated 等安全策略。
3. 认证状态 (Auth) 分离
* 单 Agent 所有路由复用同一套登录态。
* 多 Agent 各自有独立的 agentDir/auth-profiles，账号登录态互不污染。
4. 职责与运维隔离
* 可以把某些频道固定分配给专职的 coder，其他分配给 main。后续的排障、上下文重置和日志审计都会更清晰。
架构选型指南：
* 只差模型/Prompt -> 单 Agent
* 要权限/认证/故障域隔离（但仍共享代码库）-> 同 Workspace 多 Agent
* 要人格/长期知识完全隔离 -> 多 Workspace 多 Agent
ramble｜crypto x AI retweeted
CLAUDE CODE but for HACKING
its called shannon, you point it at website and it just... tries to break in... fully autonomous with no human needed
i pointed it at a test app and it stole the entire user database, created admin accounts, and bypassed login, all by itself, in 90 minutes
ramble｜crypto x AI retweeted
OpenAI与区块链投资巨头Paradigm深度合作推出EVMBench，一个专门评估AI代理在EVM智能合约漏洞检测、修补与攻击利用能力的基准，直击区块链安全最核心的攻防难题
智能合约目前保障超过千亿美元资产，漏洞一旦被利用后果将是灾难性的，EVMBench的意义在于：它首次系统性量化AI代理在真实高价值场景下的攻防能力，推动AI从攻击工具转向防御利器，加速智能合约审计自动化
在这个基准上，最新GPT-5.3-Codex达到了72.2%成功率，较半年前的GPT-5（31.9%）大幅跃升，显示出复杂链上交互与漏洞利用上的能力正在逼近人类专家水平
局限是检测召回率与修补成功率和高级人类审计人员仍有差距，距离全面可靠的AI安全审计还有较大的进步空间
Introducing EVMbench—a new benchmark that measures how well AI agents can detect, exploit, and patch high-severity smart contract vulnerabilities. openai.com/index/introducing…
