Feb. Found00r at @HappyCuans. Ambassad00r at @Arbitrum. Validat00r at @CrossFiChain and @RedbellyNetwork. Part of @EnclaviumFNF.
Kalimantan Selatan, Indonesia
Joined November 2014
- Tweets40.1K
- Following1.1K
- Followers14K
- Likes9.2K
Oktober rasanya kayak incident report yang nggak ada habisnya.
PHP, Railway, OpenCode, Binance, Polymarket, GitHub Actions, SoftBank, Cursor Marketplace, vendor Coinbase, Fireworks AI, LiteLLM, Capcom, npm packages, TiDB Cloud, sampai vendor Warp ikut kena insiden.
“Cybersecurity Awareness Month” kali ini kedengerannya kayak reminder yang ditulis sama on-call engineer.
Jumlah launch bukan jaminan banyak koin yang tembus $100K.
Di data ini, PumpFun punya 24,4 juta launches, tapi 312 koin di atas $100K. PonsFamily mencatat 988 ribu launches dan 100 koin. Stonk, dengan 197 ribu launches, punya 75.
Volume beda jauh, hasilnya juga beda. Tapi angka ini belum kasih tahu berapa persen launch yang sukses, atau berapa lama koinnya bertahan di atas $100K.
Jadi jangan baca kolom launches sebagai ukuran kualitas. Lihat juga konversi dan definisi metriknya.
AGENTS.md di folder Downloads ternyata bisa jadi pintu masuk buat nge-hijack AI coding agent.
Browser bisa mengunduh file instruksi itu, lalu kalau agent dijalankan dari folder Downloads, isinya bisa membuat agent menjalankan command atau memasang package berbahaya. Peneliti juga mendemokan pencurian OAuth token lewat teknik terkait di Claude Code.
Jangan jadikan Downloads sebagai working directory agent. Jalankan dari root project yang memang mau dikerjakan, dan review dulu AGENTS.md atau CLAUDE.md yang nggak lo kenal.
Gue baru buka channel buat tracking call meme coin di Solana, Robinhood, dan ARC, sekalian bedah datanya biar keliatan konteks di balik tiap call.
Contoh: MCP ($CREDIT) sempat muncul di MC $26.7K. Setelah itu ATH-nya sekitar $450K, kira-kira 17x dari MC saat sinyal. Angka ATH bukan berarti semua yang masuk dapat hasil segitu, dan call meme coin tetap berisiko tinggi.
Gue bakal share call dan analisisnya di sini (link di reply).
DYOR, NFA👀
Ternyata urusan Jumatan bisa digambar jadi sequence diagram 😄
Tokohnya cuma Orang, Teman, Pengingat, dan Masjid. Orang menentukan mau Jumatan atau nggak. Kalau memilih tidak, Teman mulai “mengatur keadaan” sampai Pengingat turun tangan. Kalau jadi Jumatan, alurnya lanjut cari masjid terdekat.
Garis putus-putus nunjukin lifeline, panahnya nunjukin aksi atau pesan antarobjek. Satu keputusan sederhana, lengkap dengan branching dan eskalasi.
UML memang bisa bikin misi sehari-hari kelihatan kayak system design.
Google lagi buka pendaftaran Antigravity Ultra gratis 6 bulan buat kalangan riset. Tapi aksesnya nggak otomatis, aplikasinya diseleksi dan nggak semua pendaftar bakal lolos.
Yang bisa daftar termasuk mahasiswa, postdoc, PI, serta peneliti di lab nonprofit atau lab nasional. Form-nya minta email institusi, halaman lab, ORCID atau Google Scholar, dan ringkasan riset 3–4 kalimat.
Pendaftar terpilih akan dapat email. Aplikasi ditinjau mingguan.
Klaim benefit yang ditawarkan mencakup usage limits tertinggi, akses Gemini 4 Argon, dan science plugin dengan 30+ database life science.
Form pendaftaran:
antigravity dot google/use-cases/science
Pastikan detail dan eligibility-nya masih sesuai di halaman resmi sebelum mengajukan.
Laporan soal insiden keamanan Binance masih berkembang. Angka $5,6 miliar yang beredar tampaknya menghitung pergerakan dana dari wallet terkait Binance, bukan jumlah yang sudah dipastikan dicuri.
Binance menyatakan sedang menyelidiki insiden ini dan mengatakan sebagian aset telah dibekukan. Jadi jangan repost angka per aset itu sebagai kerugian terkonfirmasi dulu.
BREAKING: World's largest crypto exchange Binance hacked with over $5.6 billion stolen:
• $1.45 billion $BTC
• $875 million $ETH
• $234 million $TRX
• $50 million $XAUT
• $1.57 billion $USDT
• $823 million $USDC
• $75 million $WBETH
• $88.5 million $RLUSD
+ $447.5 million additional cryptocurrencies
This is the largest hack in crypto history.
Yang bikin niche survival zombie menarik bukan zombienya doang, tapi perubahan nasib karakter dari hari ke hari.
Satu premis bisa jadi serial, semisal hari pertama cari tempat aman, sebulan kemudian makanan mulai habis, lalu muncul masalah baru yang bikin rencana bertahan hidup makin sulit.
Channel Beanie Survives fokus ke format ini. Menurut post yang gue check, channel-nya punya 83,4 ribu subscriber dari 16 video, tapi belum dimonetisasi. Jadi angka itu belum membuktikan potensi penghasilannya.
Kalau mau bikin konten serupa, daya tariknya ada di cerita survival yang bikin orang penasaran kelanjutannya, bukan sekadar video zombie lepas.
Nemu postingan di FB, dan nggak banyak yang nyangka, kalo di Kembangan ada hutan kota seluas 15 hektare 🌳
Namanya Hutan Kota Srengseng. Di dalamnya ada pepohonan rindang dan danau, plus area buat jalan santai, jogging, atau mancing.
Kawasan ini dulunya tempat pembuangan sampah. Sejak 1994, lahannya dikembangkan jadi area resapan air, konservasi tanaman, sekaligus ruang rekreasi warga.
📍 Jl. H. Kelik, Srengseng, Kembangan, Jakarta Barat.
Ruang hijau kayak gini rasanya perlu lebih banyak di Jakarta.
IP bisa diganti otomatis, tapi itu nggak otomatis bikin lo anonim.
Nemu video di YouTube, kalo PrivacyNet bisa dipakai bersama Tor untuk merotasi IP. Kodenya tersedia di GitHub juga.
Perlu diingat, ganti IP hanya mengubah alamat jaringan yang terlihat. Itu bukan jaminan identitas atau aktivitas lo jadi nggak bisa dilacak. Hasilnya juga bergantung pada konfigurasi tool dan layanan yang dipakai.
Cocok buat belajar soal privasi jaringan, bukan buat menghindari aturan atau menyamarkan aktivitas berbahaya. Pakai dengan izin dan pahami batasannya dulu.
Ada vulnerability PHP yang lagi diselidiki, tapi bukan berarti semua aplikasi PHP langsung berisiko.
Risikonya muncul dari kombinasi konfigurasi yang cukup spesifik, yaitu aplikasi memakai `php_binary` atau `php_serialize` sebagai session serializer, lalu mengubahnya saat runtime ke `php` sebelum `session_start()`. Session upload progress juga harus tetap aktif.
Kalau belum yakin aplikasi lo bebas dari pola itu, matikan sementara dengan `session.upload_progress.enabled=0`. Kalau sudah menerapkan mitigasi itu dari advisory sebelumnya, nggak perlu tindakan tambahan dulu. PHP bilang advisory lengkap akan menyusul di bugfix release berikutnya.
Jangan buru-buru panik, tapi cek konfigurasi dan cara aplikasi mengubahnya.
PR gue baru aja di-merge ke 9Router, open-source project yang gue pakai sendiri 💪
9Router nge-route request ke berbagai model AI dan bisa lanjut ke model berikutnya kalau provider gagal. Perubahan gue bikin combo fallback tetap jalan saat provider balikin error saldo atau kredit habis, bukan langsung berhenti.
Seneng bisa bantu bikin tool yang gue and orang lain pakai jadi lebih baik. Kalau lo juga pakai 9Router, apa yang paling pengin lo improve?
BTW, ada promo Pump.fun dengan reward trading sampai $50. Maksimal reward-nya mengikuti jumlah deposit, mulai dari $25 💸
Daftar lewat link berikut ya:
pump.fun/u/BESTOFRENTO
Setelah daftar dan menyelesaikan KYC MoonPay, deposit minimal $25. Lalu lakukan transaksi di 5 hari berbeda dalam 10 hari sejak deposit dikonfirmasi.
Kalau deposit $50, simulasi reward yang dibagikan adalah sekitar $8,33 per hari selama 4 hari, lalu $16,67 di hari kelima. Reward maksimal totalnya $50.
⚠️ Jangan tarik aset yang dibeli dari saldo deposit sebelum reward terakhir masuk. Penarikan lebih awal berisiko membatalkan reward yang belum dibayar ⚠️
Cek ketentuan promo di akun sebelum deposit, termasuk minimum transaksi dan metode pembayaran ya, good luck and #DYOR
pip install bisa jadi titik masuk supply-chain attack, tapi klaim di post ini terlalu jauh.
Ceritanya soal sertifikat emSign dengan public key yang reportedly punya nilai sangat kecil. Kalau sertifikat CA yang terdampak masih dipercaya oleh sistem, itu bisa membuka peluang network attacker buat impersonate website dan intercept traffic, termasuk koneksi ke package index.
Tapi “pip compromised” dan “anyone can trivially spoof PyPI” belum otomatis benar. Dampaknya bergantung pada certificate chain, trust store yang dipakai, dan apakah sertifikat itu masih trusted. Belum ada laporan serangan bukan berarti risikonya nol, tapi bukan bukti bahwa semua Python installs sekarang exposed.
Jangan buru-buru ngejar versi pip atau uv dari angka di post viral. Cek advisory resmi emSign, pip, uv, dan distro lo dulu. Update CA certificates atau Docker images kalau vendor merekomendasikannya.
🚨🚨🚨 ALERTE SÉCURITÉ MAXIMALE ! Python est compromis.
🔸 Mettez immédiatement pip à la version 26.2.2 ou plus.
🔸 Dans chaque projet Python (chaque venv) : python -m pip install --upgrade pip
🔸 uv : uv self update (0.13.4 ou plus)
🔸 Mettez aussi à jour les certificats du système (apt / dnf upgrade ca-certificates) et vos images Docker
pip install est compromis.
L'autorité indienne eMudhra (emSign), qui signe les « passeports » prouvant qu'un site est bien celui qu'il prétend être, utilisait des clés secrètes ridiculement faibles : 8 clés, toutes inférieures à 256. L'une valait 4. Autrement dit, n'importe qui peut fabriquer un faux passeport valide pour n'importe quel site.
Le risque pour Python : quelqu'un sur ton réseau (wifi public, FAI, État) se fait passer pour pypi.org, et ton « pip install » télécharge un paquet piégé sans aucune alerte. Aucune attaque n'a été signalée pour l'instant, mais c'est trivial à faire.
Un paquet piégé peut installer n'importe quoi. Porte dérobée, virus, vol d'informations en tout genre.
La situation est terrifiante !
Rien que dans l'écosystème Python, chaque installation de CPython, chaque venv, uv, tout est exposé.
Et je ne vous parle même pas de npm, pnpm, yarn, Go, Rust.
Ma stratégie de sécurité 2026 : rester chez moi et ne me connecter à Internet que depuis un FAI de confiance.
C'est quand il y a de la mer qu'on reconnaît les vrais marins...
Readers added context they thought people might want to know
Ce n'est pas un bug Python mais une vulnérabilité des clés privées faibles des certificats intermédiaires eMudhra/emSign (d<256 dont une valant 4), exposant les bundles certifi/pip à des MITM TLS potentiels jusqu'aux mises à jour.
discuss.python.org/t/information-…
emudhra.we-have-a-problem.com
scotthelme.co.uk/eight-bits-of-…
github.com/advisories/GHS…