0xGene retweeted
从币安的初步通报来看，DevOps 工程师终端遭入侵并非罕见的攻击入口，单台终端失陷，为什么能突破后续的权限控制，最终发起未经授权的提款交易
从红蓝对抗视角拆解这起攻击的三个可能实现的核心技术点：
高阶免杀：针对 DevOps 终端的攻击极少用公开载荷。攻击者大概率结合了开发环境投毒（恶意依赖包/插件）与白加黑（Dylib/DLL 劫持）、间接系统调用（Indirect Syscalls）及内存休眠混淆，在不触发本地 EDR 告警的情况下静默驻留
隐蔽横向：不做任何内网扫描，直接复用工程师本地缓存的活跃会话（劫持 SSH Agent Socket、窃取云端 STS Token 或 kubeconfig），顺着合法的运维通道直接切入目标服务容器，完美绕过 MFA 与边界防火墙
权限绕过：现代交易所普遍采用 HSM/MPC 保护私钥，私钥本身无法导出。但攻击者拿下上游“服务容器”后，相当于控制了向签名机发号施令的大脑——直接复用容器自身的 mTLS 证书或高权限服务凭证，在内存或消息队列中伪造“已通过风控审批”的提款请求，驱使底层签名节点自动完成签名上链
Web3 机构的核心防御必须彻底打破“内网即信任”假设，在三个关键节点做阻断：
终端零信任与无凭证化：针对 DevOps 笔记本被攻破的入口风险，严禁办公终端本地明文落盘 kubeconfig、SSH 私钥或长效云端凭证，强制使用硬件密钥（如 YubiKey）绑定单次高危运维鉴权，从源头废除木马的会话劫持能力
生产容器 JIT 隔离与运行时监控：针对攻击者顺着运维通道切入服务容器的路径，切断办公网到生产集群的常驻网络权限，仅开放即时按需（JIT）临时审批通道，并配合 eBPF 容器运行时监控实时熔断异常指令
签名层独立校验与带外审批（OOB）：针对未碰触私钥却能提交未授权提款的逻辑绕过，底层 MPC/HSM 节点绝不能盲目信任内部服务容器发来的指令，必须独立校验不可篡改的端到端业务原始签名，并对大额异常提款强制触发脱离生产网的硬件多签带外确认与链上速率熔断
看到有些关于 18,270 BTC 是Binance自救转移还是被黑客转移的讨论，虽然内心深处当然希望是Binance自救转移，但是看下时间线，真的很难说服自己...求被打脸。
#binance 目前被黑的资产里，有部分是几乎不可能追回的；最麻烦的是黑客还在持续掏钱，截止目前还没有被控制住的迹象。
日子是真的没法过了，硬件钱包各种hack，交易所各种hack，defi协议各种hack，加密用户真的是AI时代的大冤种了。
arkm.com/explorer/entity/21a…
#binance 目前被黑的资产里，有部分是几乎不可能追回的；最麻烦的是黑客还在持续掏钱，截止目前还没有被控制住的迹象。
日子是真的没法过了，硬件钱包各种hack，交易所各种hack，defi协议各种hack，加密用户真的是AI时代的大冤种了。
arkm.com/explorer/entity/21a…
🚨 Bitget Hack $350M+ 🚨
满满的恶意，bitget 刚庆祝八周年，又是亚洲凌晨大家睡得最沉的时候...
能观察到的攻击凌晨2点30分就开始了，EVM一侧资金在半个小时之后，接近凌晨3点开始大额转出，攻击的范围包括了Bitget的热钱包和冷钱包，然后一直持续到现在凌晨5点多，足足3个多小时才控制住，哎。
截止黑客已经把大部分EVM资产兑换成 ETH（约6万个）
1️⃣ 疑似冷钱包 (Bitget 35)
0xffa8DB7B38579e6A2D14f9B347a9acE4d044cD54
---
⏰ 凌晨3点16分，第一笔异常交易是的 12,719.46 BNB被盗；紧接着是821,011 AVAX，13,965 ETH；
⏰ 凌晨4点09分，最后一笔1,395 ETH 被转出。
⏰ 凌晨4点40分，疑似安全团队重新控制了这个冷钱包，各种资产开始从其他热钱包地址向这个地址归集。
2️⃣ 主力热钱包 (Bitget 6)
0x1AB4973a48dc892Cd9971ECE8e01DcC7688f8F23
--
⏰ 凌晨2点31分，攻击者发起了一笔小额测试攻击‼️；
⏰ 凌晨2点58分，攻击者发起了大额转出 34.75M USDT，12.85M USDC，7131 ETH；
⏰ 凌晨5点23分，攻击者发起 8.2M AVAX-USDC 转出；
⏰ 凌晨5点23分，攻击者发起 1879 ETH 转出；
⏰ 凌晨5点23分，攻击者发起 233 ETH 转出（最后一笔）
3️⃣ 热钱包 (Bitget 5)
0x5bdf85216ec1e38D6458C870992A69e38e03F7Ef
--
⏰ 凌晨3点01分，3000 XAUT + 5737 OP-ETH
4️⃣ 热钱包 (Bitget 3)
0x97b9D2102A9a65A26E1EE82D59e42d1B73B68689 ⏰ 凌晨3点01分， 1555 Base-ETH
☠️黑客的地址组：
arkm.com/explorer/entity/f22…
AAVE：Arbitrum Bro, 黑客那边被你们冻住的 7100 万美元，可以先还回来吗？用户这边等着资产恢复。
Arbitrum：别急，DAO 正在投票，流程走完应该很快。DeFi United 嘛，懂的，Bro。
AAVE：等你好消息！
（美国律师登场）
DPRK 债权人律师：兄弟们，我知道你们很急，但是先别急，这笔钱现在不能动。
AAVE：？？？
DPRK 债权人律师：我们手上有以前针对 DPRK 的判决。这个黑客是 Lazarus，Lazarus 就是 DPRK，所以这笔钱属于 DPRK 的财产利益。既然是 DPRK 的，我们就可以执行索赔（要优先给我们）。
AAVE：先等一下。你们怎么证明这是 DPRK 黑客？
DPRK 债权人律师：推特上大家都这么说。
AAVE：...还有呢？
DPRK 债权人律师：还有新闻报道呀。
AAVE：就算真是 Lazarus，黑客偷来的钱，拿在手里几天，就变成他的财产了吗？
DPRK 债权人律师：至少足够我们主张执行。
AAVE：那我换个例子。有人砸了 Tiffany 橱窗，抢了一颗钻石，店里的保安把钻石截下来。由于小偷以前欠别人钱，现在小偷的债主跑来说：这钻石现在归我？
DPRK 债权人律师：如果能证明小偷对它有财产利益，是的。
AAVE：但那是被偷的钻石。
DPRK 债权人律师：Bro，和我说没用，去法院讲道理吧。
Arbitrum：那我现在到底能不能把钱转给资产恢复钱包？
DPRK 债权人律师：不能。限制处分通知已经送达了。没有法院命令，别动。
AAVE：但这笔钱对应的是无辜用户的损失。
DPRK 债权人律师：Bro，和我说没用，去法院讲道理吧。
AAVE：如果这个逻辑成立，以后拦截黑客资金，还要先和黑客的债主打官司？
DPRK 债权人律师：欢迎感受阿美利坚司法的光辉。
AAVE：那以后谁还敢第一时间冻结黑客资金？冻住之后，反而被拖入一场甚至几场成本不菲的资产归属权诉讼战。
DPRK 债权人：Bro，和我说没用，去法院讲道理吧。
AAVE：如果被制裁国家的黑客偷来的钱可以被拿去偿还旧判决，那等于每次追回黑客盗窃的资金，都可能变成“黑客受害人 vs 黑客国家债权人”的争夺。
DPRK 债权人：所以，兄弟你们别动钱哦。
AAVE：法官阁下，要么尽快解除这个限制，要么让对方拿出3个亿保证金！用户现在就在等资产恢复，不是一年以后！
法官：兄弟们，我知道你们很急，但是先别急，我们得照章办事...
（改写自 @the_smart_ape 帖子）
关于 Arbitrum / KelpDAO 冻结资产被 DPRK 判决债权人盯上这件事。
太长不看：
1. DPRK judgment creditors 已经启动纽约判决执行程序，并取得法院批准替代送达。当前效果只是先锁住资产，法院没有判定这笔 ETH 最终归谁。
2. Arbitrum / Security Council 现在不能安全地绕开法院，短期内要把 ETH 转给 Kelp recovery 的可能性非常低。
3. Kelp-side 的强论点：如果这批 ETH 是被盗资产的可追踪 proceeds，DPRK / Lazarus 作为 thief 通常没有 good title。
4. Kelp-side 的最大风险：tracing、ownership、standing、recovery mechanism 证明是一个技术活。
所以...用户要做好“持久战”的心理准备，哪怕 Defiunited 再募捐到额外 30,000 ETH 替代 Arbitrum 这笔冻结，直接对用户进行赔付可能会让这个问题在未来愈发的复杂。
如果还有没走的用户建议早点走uniswap撤离吧：
卖出 aArbWETH 直接换 WETH，磨损只有0.05%-0.2%，大额可能要twap慢慢换，小额随时都能走。
Pool: aArbWETH <-> WETH
app.uniswap.org/explore/pool…
--- 以下是正文 ---
纽约州南区法院的法庭判令的原始文件：
beige-just-flyingfish-108.my…
当前情况在大部分web3用户眼里就是“DPRK 受害人律师要抢 Kelp/AAVE用户的钱”；不过从法律程序看，情况更复杂。
目前发生的链条大致是：
4月19日，Kelp / rsETH 相关资产遭遇攻击，攻击者被认为与 DPRK / Lazarus 有关。大约 36,167 rsETH 被跨链到 Arbitrum 上，并存入 AAVE 借出 ETH 和 wstETH，最终全部兑换为 30,766 ETH。
4 月 21 日，Arbitrum Security Council 紧急冻结了攻击者地址的 ETH。
4 月 30 日，DPRK 受害人一方的律师启动纽约判决执行程序，向 Arbitrum DAO 发出 **CPLR § 5222 restraining notice**，并请求法院批准替代送达。
5 月 1 日，S.D.N.Y. 法院批准了替代送达。也就是说，可以通过 Arbitrum governance forum、Security Council 成员、相关实体和律师等渠道，把 restraining notice 和 writs of execution 送达到 Arbitrum DAO 相关方。
5 月 2 日左右，相关 notice 被贴到 Arbitrum governance forum。
所以现在的状态是：这批资产已经进入一个正式的 judgment enforcement 程序。它不只是普通律师函，也不是 DAO 社区可以无视的治理争议。当然这一步也没有等于法院已经判定 DPRK 受害人可以拿走钱。
当前状况是：在法院进一步处理前，Arbitrum DAO / Security Council 不应擅自转移、释放或处分这批被主张为 DPRK / Lazarus 相关的资产。
这一点对 Arbitrum 很关键。
如果 Security Council 或 DAO 在 restraining notice 没有被解除、修改，或者没有拿到 court order 的情况下直接把资产转给 Kelp recovery wallet，法律风险会非常大。即使 Kelp-side 最后在实体权利上有理，Arbitrum 也可能因为违反 restraining notice 被追究责任。
所以最可能的路径是走完法院程序，再动资产：
Arbitrum / Kelp-side 进入法院程序，提出 defenses，主张 adverse claim，要求法院确认 DPRK 对这批资产没有可执行的 property interest，或者请求法院批准一个 court-supervised recovery plan。
接下来时间上可能会有几个节点：
第一，短期内可能会出现 emergency briefing 或 hearing。
如果 Arbitrum、Kelp 或其他受影响方主动出庭，法院可能会先处理一个很实际的问题：资产能不能继续冻结、能不能进入 escrow、能不能允许某种受控 recovery plan。
第二，如果双方只争“先不要动资产”，这个问题可能比较快进入法院视野。
但如果争的是最终 ownership / priority，也就是谁有权拿走这批 ETH，时间可能会明显拉长。
第三，CPLR § 5222 对第三方 garnishee 的 restraining notice 通常有一个很重要的时间维度：对第三方来说，restraining effect 一般可以持续到送达后一年，或者 judgment 被 satisfied / vacated，以较早者为准。 所以如果法院没有更早修改或解除 restraint，理论上这类冻结可能拖到接近一年。当然，实际中如果各方快速出庭、证据清楚，也可能更早解决。
这对 Kelp / AAVE 用户的影响很直接：
1. 短期内，Arbitrum 冻结的这部分 ETH 很难被用于kelp recovery处置。 资产技术上被冻结，法律上也被 restraining notice 锁住。即使 DAO 社区支持归还，也需要解决法院程序问题。
2. 中期看，用户能否尽快恢复损失，有不少争议问题需要明确：
🤔 frozen ETH 和 Kelp exploit 的链上路径是否足够清楚；
🤔这批 ETH 是原始被盗资产、直接 proceeds，还是经过 swap / bridge / conversion 后的混合资产；
🤔谁有资格代表受害人出庭主张权利；
🤔recovery wallet 或 claims process 是否能被法院接受；
🤔Arbitrum DAO / Security Council 在法律上到底是 custodian、controller，还是只是有技术 freeze / unfreeze 能力的治理主体。
当然，个人觉得Kelp-side 的实体论点其实还可以：如果这批 frozen assets 能被证明是 Kelp / rsETH exploit 中被盗资产的可追踪 proceeds，那么 DPRK / Lazarus 只是 thief。一般法律原则下，thief does not get good title。小偷偷来的东西，通常不会因为经过钱包、桥或 DEX，就变成可以拿来偿还小偷旧债的合法财产。
这也是 DPRK judgment creditors 最需要跨过的门槛：他们只能执行 DPRK 的 property interest，不能执行本来属于第三方受害人的财产。
但 Kelp-side 最大的挑战也在这里。
法院不会只听一句“这是 Kelp 用户的钱”。法院会看 tracing、ownership、standing 和 recovery mechanism。 如果链上路径不够干净，或者资产经过多次转换后已经很难证明是特定受害人的 property / proceeds，DPRK judgment creditors 的策略就会变强。他们会说，这些资产现在已经是 DPRK / Lazarus 控制下的 proceeds，因此可以用于执行旧判决。（当然我是觉得链路还算干净，唯一复杂的就是通过AAVE抵押套了一层借贷关系）
以上均非法律意见，只是基于公开材料的程序性分析。
关于 Arbitrum / KelpDAO 冻结资产被 DPRK 判决债权人盯上这件事。
太长不看：
1. DPRK judgment creditors 已经启动纽约判决执行程序，并取得法院批准替代送达。当前效果只是先锁住资产，法院没有判定这笔 ETH 最终归谁。
2. Arbitrum / Security Council 现在不能安全地绕开法院，短期内要把 ETH 转给 Kelp recovery 的可能性非常低。
3. Kelp-side 的强论点：如果这批 ETH 是被盗资产的可追踪 proceeds，DPRK / Lazarus 作为 thief 通常没有 good title。
4. Kelp-side 的最大风险：tracing、ownership、standing、recovery mechanism 证明是一个技术活。
所以...用户要做好“持久战”的心理准备，哪怕 Defiunited 再募捐到额外 30,000 ETH 替代 Arbitrum 这笔冻结，直接对用户进行赔付可能会让这个问题在未来愈发的复杂。
如果还有没走的用户建议早点走uniswap撤离吧：
卖出 aArbWETH 直接换 WETH，磨损只有0.05%-0.2%，大额可能要twap慢慢换，小额随时都能走。
Pool: aArbWETH <-> WETH
app.uniswap.org/explore/pool…
--- 以下是正文 ---
纽约州南区法院的法庭判令的原始文件：
beige-just-flyingfish-108.my…
当前情况在大部分web3用户眼里就是“DPRK 受害人律师要抢 Kelp/AAVE用户的钱”；不过从法律程序看，情况更复杂。
目前发生的链条大致是：
4月19日，Kelp / rsETH 相关资产遭遇攻击，攻击者被认为与 DPRK / Lazarus 有关。大约 36,167 rsETH 被跨链到 Arbitrum 上，并存入 AAVE 借出 ETH 和 wstETH，最终全部兑换为 30,766 ETH。
4 月 21 日，Arbitrum Security Council 紧急冻结了攻击者地址的 ETH。
4 月 30 日，DPRK 受害人一方的律师启动纽约判决执行程序，向 Arbitrum DAO 发出 **CPLR § 5222 restraining notice**，并请求法院批准替代送达。
5 月 1 日，S.D.N.Y. 法院批准了替代送达。也就是说，可以通过 Arbitrum governance forum、Security Council 成员、相关实体和律师等渠道，把 restraining notice 和 writs of execution 送达到 Arbitrum DAO 相关方。
5 月 2 日左右，相关 notice 被贴到 Arbitrum governance forum。
所以现在的状态是：这批资产已经进入一个正式的 judgment enforcement 程序。它不只是普通律师函，也不是 DAO 社区可以无视的治理争议。当然这一步也没有等于法院已经判定 DPRK 受害人可以拿走钱。
当前状况是：在法院进一步处理前，Arbitrum DAO / Security Council 不应擅自转移、释放或处分这批被主张为 DPRK / Lazarus 相关的资产。
这一点对 Arbitrum 很关键。
如果 Security Council 或 DAO 在 restraining notice 没有被解除、修改，或者没有拿到 court order 的情况下直接把资产转给 Kelp recovery wallet，法律风险会非常大。即使 Kelp-side 最后在实体权利上有理，Arbitrum 也可能因为违反 restraining notice 被追究责任。
所以最可能的路径是走完法院程序，再动资产：
Arbitrum / Kelp-side 进入法院程序，提出 defenses，主张 adverse claim，要求法院确认 DPRK 对这批资产没有可执行的 property interest，或者请求法院批准一个 court-supervised recovery plan。
接下来时间上可能会有几个节点：
第一，短期内可能会出现 emergency briefing 或 hearing。
如果 Arbitrum、Kelp 或其他受影响方主动出庭，法院可能会先处理一个很实际的问题：资产能不能继续冻结、能不能进入 escrow、能不能允许某种受控 recovery plan。
第二，如果双方只争“先不要动资产”，这个问题可能比较快进入法院视野。
但如果争的是最终 ownership / priority，也就是谁有权拿走这批 ETH，时间可能会明显拉长。
第三，CPLR § 5222 对第三方 garnishee 的 restraining notice 通常有一个很重要的时间维度：对第三方来说，restraining effect 一般可以持续到送达后一年，或者 judgment 被 satisfied / vacated，以较早者为准。 所以如果法院没有更早修改或解除 restraint，理论上这类冻结可能拖到接近一年。当然，实际中如果各方快速出庭、证据清楚，也可能更早解决。
这对 Kelp / AAVE 用户的影响很直接：
1. 短期内，Arbitrum 冻结的这部分 ETH 很难被用于kelp recovery处置。 资产技术上被冻结，法律上也被 restraining notice 锁住。即使 DAO 社区支持归还，也需要解决法院程序问题。
2. 中期看，用户能否尽快恢复损失，有不少争议问题需要明确：
🤔 frozen ETH 和 Kelp exploit 的链上路径是否足够清楚；
🤔这批 ETH 是原始被盗资产、直接 proceeds，还是经过 swap / bridge / conversion 后的混合资产；
🤔谁有资格代表受害人出庭主张权利；
🤔recovery wallet 或 claims process 是否能被法院接受；
🤔Arbitrum DAO / Security Council 在法律上到底是 custodian、controller，还是只是有技术 freeze / unfreeze 能力的治理主体。
当然，个人觉得Kelp-side 的实体论点其实还可以：如果这批 frozen assets 能被证明是 Kelp / rsETH exploit 中被盗资产的可追踪 proceeds，那么 DPRK / Lazarus 只是 thief。一般法律原则下，thief does not get good title。小偷偷来的东西，通常不会因为经过钱包、桥或 DEX，就变成可以拿来偿还小偷旧债的合法财产。
这也是 DPRK judgment creditors 最需要跨过的门槛：他们只能执行 DPRK 的 property interest，不能执行本来属于第三方受害人的财产。
但 Kelp-side 最大的挑战也在这里。
法院不会只听一句“这是 Kelp 用户的钱”。法院会看 tracing、ownership、standing 和 recovery mechanism。 如果链上路径不够干净，或者资产经过多次转换后已经很难证明是特定受害人的 property / proceeds，DPRK judgment creditors 的策略就会变强。他们会说，这些资产现在已经是 DPRK / Lazarus 控制下的 proceeds，因此可以用于执行旧判决。（当然我是觉得链路还算干净，唯一复杂的就是通过AAVE抵押套了一层借贷关系）
以上均非法律意见，只是基于公开材料的程序性分析。
Drift 这次真的离谱。
按链上时间线看，攻击在北京时间 00:15 左右就已经开始；一个多小时后社区才开始在 X 上大规模预警，Drift 官方到 02:10 才第一次发声。扯淡的是这是 $2.7 亿 量级的攻击。
📗先说结论：这次更像是社会工程 / 高权限 signer 被定向 compromise，甚至不排除存在内部协助，并不是协议合约本身出现了合约逻辑漏洞。
攻击者拿到的关键权限 Primary Runtime Admin。这个权限本来由一个 2/5 的 Squads 多签控制。攻击者直接利用了其中两个合法 signer（6UJ...924、39Jy...Aq8），发起并完成了一笔完全合法的多签交易，把 Primary Runtime Admin 权限转移到了自己的 EOA：H7Pi...7ZgL。
⚔️后面的路径就很简单了：
先夺控制权，再改市场参数，然后把协议变成提款机。
💀更诡异的事情💀
9 天前，攻击者就为 Drift admin 相关路径创建了 durable nonce；
7 天前，Drift admin 新建了一个 multisig（5个签名人，4个是全新的，一个是老地址，而且这个老地址在第二次攻击时再次被攻击者“使用”）——对一个已经上线多年的协议来说，这本身就是异常信号；
2 天前，攻击者又为第二条 Drift admin 路径创建了 durable nonce。
这件事情只是再次暴露了一个惨痛的事实：很多defi协议真正脆弱的地方，根本不在合约逻辑，而在高权限控制面；说得直白一点 - 这些管理者真的可靠么？
#DriftExploit #Solana #DeFi #CryptoSecurity #Drift
0xGene retweeted
$AXTI -30% AH, "It is not a name that you can just buy and hold without too much risk management"
I already exited $AXTI as it has many Asian HF players and can be rug-pulled easily. It’s not a name you can just buy and hold without too much risk management.
I might enter again if the price is reasonable, but will set a tight stop loss or trailing stop.
0xGene retweeted
We @VennBuild just discovered a critical backdoor on thousands of smart contracts leaving over $10,000,000 at risk for months
Along with the help of security researchers @dedaub @pcaversaccio, the seals team @seal_911 and others, we managed to rescue the majority of funds before the attacker could make their move.
This is the story of how a sophisticated attacker (cough Lazarus) put backdoors in thousands of contracts and ALMOST got away with it 🧵
0xGene retweeted
On April 17th the U.S. Trade Representative's office is expected to impose fees of up to $1.5M per port call for ships made in China and for $500k to $1M if the ocean carrier owns a single ship made in China or even has one on order from a Chinese shipyard. 🧵 1/
现货是现货的打工人，期货是期货的打工人，各自的KPI也不一样，listing的要价/要求也不一样。很简单的事情：上不起/上不了现货，但是合约门槛/成本要低非常非常多。大家以为币安现货和币安合约是一体的，其实从上币的角度大家各扫门前雪。
挺逗的，$Shell 被上了合约
这里可以有三种解释:
1. 币安对于市场反馈毫无反应，不知道自己的合约有盖帽效应
2. $Shell 团队的交易所关系非常糟糕，其对于crypto让人一言难尽的态度得罪人了。上Alpha+合约基本就等于上币安无望
3. 团队在下大棋，用合约帮Shell抖盘下掉一些获利盘，再谋上币
又到了俄罗斯轮盘赌的时间
0xGene retweeted
1/ Longer form thoughts re Trump memecoin.
Its suggestive of a term that's short-term great for price / liquidity but long-term suboptimal for industry development.
My concern is on a mid-long term timeframe. Short-term I'm trading the shitters with you all.
Here's why.
