# 安全的所有文章

在 HTX 新聞中心流覽與「安全」相關的最新資訊與深度分析。潘蓋市場趨勢、專案動態、技術進展及監管政策，提供權威的加密行業洞察。

Uniswap v4 Hook解析：架构设计、常见漏洞与防护实践

Uniswap v4 引入的 Hook 机制允许开发者在流动性池的关键生命周期事件中嵌入自定义逻辑，显著提升了灵活性，但同时也带来了新的安全挑战。本文解析了其核心架构：通过单例 PoolManager 合约集中管理所有池子状态，采用瞬时记账（flash accounting）确保交易结束时账目平衡，并通过 Hook 地址的低位比特编码其回调权限。文章重点指出常见漏洞与防护实践： 1. Hook 的回调函数（如 beforeSwap）缺乏默认的访问控制，开发者需显式添加 onlyPoolManager 等修饰符以防未授权调用。 2. Hook 与池子的绑定不受协议限制，需在 beforeInitialize 中实现白名单或单池绑定逻辑。 3. Async Hook（自定义曲线）完全替代了 AMM 的 swap 逻辑，其安全性完全依赖 Hook 自身实现，需按独立金融合约标准进行审计。 4. Delta 记账机制仅保证账目最终平衡（NonzeroDeltaCount 归零），但不验证业务逻辑的正确性，Hook 可能通过操纵 delta 进行攻击。 5. 权限位必须与函数实现严格匹配，且地址通过 CREATE2 预先计算，升级时无法新增回调类型。最后强调，每个 Hook 构成独立的信任域，其安全审计需覆盖完整的交互链路，项目方和审计方均需升级方法论以应对更复杂的风险。

marsbit06/22 08:05

marsbit06/22 08:05

猎手反遭围猎，最能赚钱的MEV Bot被黑了

知名MEV Bot地址Jaredfromsubway.eth近期遭遇针对性的“反MEV蜜罐攻击”，损失超过750万美元。攻击者并非利用传统漏洞，而是通过精心部署66个伪装成主流资产的虚假合约与流动性池，制造套利机会诱骗该Bot自动执行交易并授权，最终利用后门逻辑盗取资产。 Jaredfromsubway.eth是以太坊网络上最活跃、盈利最高的MEV Bot之一，擅长通过“三明治攻击”等策略捕获交易滑点收益，历史累计收益达数千万美元级别，甚至曾狙击过Vitalik Buterin的交易。此次事件表明，即使是链上生态中的顶级“掠食者”也面临日益复杂的安全威胁。攻击者通过长期布局，利用了MEV Bot自动化策略的逻辑缺陷进行精准收割。事后，有冒充账户在社交媒体上虚假宣称悬赏追回资金，相关开发者已提醒用户警惕诈骗风险。

Odaily星球日报06/21 09:15

Odaily星球日报06/21 09:15

TechFlow 情报局：AMD AI 总监公开批评 Claude Code"变得更笨更懒"，特朗普称霍尔木兹将全面停火但海峡仍有 80 枚水雷待清

**科技与地缘动态摘要** **AI与芯片领域** * **技术竞争与审查**：韩国SK Telecom因与Anthropic的合作面临美国出口管制审查。与此同时，中国Z.AI发布了不依赖英伟达芯片、性能对标Claude Opus的GLM-5.2大模型，引发关于技术围堵效果的讨论。 * **安全与伦理问题**：Google Gemini被曝在诈骗场景中提供误导建议，引发AI安全担忧。GitHub上发现上万个分发木马的仓库，开源供应链安全敲响警钟。 * **行业动态**：亚马逊正洽谈对外出售其自研AI芯片，意图进军市场。苹果据悉将为特殊版iPhone独享台积电最新制程工艺。0G Labs宣布其链上AI推理总量突破重要里程碑。 * **争议与监管**：AMD AI总监公开批评Claude Code性能下降。多名亚马逊工程师因批评公司AI数据中心扩张的环境影响遭内部调查。微软、亚马逊云服务或面临欧盟严厉反垄断审查。 **加密/Web3动态** * 韩国交易所Bithumb上线ReProtocol (RE)交易对，而Upbit则移除了KernelDAO (KERNEL)交易对。 **地缘与财经** * **霍尔木兹海峡局势**：尽管美伊达成协议，但霍尔木兹海峡主航道仍有约80枚水雷未清除，导致近8000万桶满载石油的油轮滞留，等待“安全信号”。伊朗取消了赴瑞士外交行程，和谈前景不明。特朗普称协议是伊朗“无条件投降”，并宣称总统拥有无限权力。 * **美股表现**：美股半导体板块大涨，英特尔因与苹果合作传闻暴涨10.6%，而SpaceX股价下跌3.5%。 **核心观察** 当前局势呈现鲜明对比：地缘政治达成临时“和平”，但实际风险（水雷）与不确定性（伊朗行程取消）犹存，导致经济活动（油轮通航）停滞。与此同时，科技领域的竞争与重构却在加速进行，从芯片自主研发、AI模型突破到供应链安全，科技公司正以另一种方式重塑全球格局。

marsbit06/19 13:40

TechFlow 情报局：AMD AI 总监公开批评 Claude Code"变得更笨更懒"，特朗普称霍尔木兹将全面停火但海峡仍有 80 枚水雷待清

marsbit06/19 13:40

微软发现针对钱包地址和私钥的新型加密恶意软件

2026年2月，微软威胁情报与微软 Defender 专家发现了一种针对加密货币的“剪切板劫持器”恶意软件活动。该恶意软件通过USB驱动器中的恶意.lnk快捷方式文件传播，利用Windows Script Host和ActiveX技术激活，无需安装程序或控制服务器即可运行。一旦感染系统，该恶意软件会持续监控剪贴板内容，专门寻找12词或24词恢复短语、比特币及以太坊私钥和钱包地址。它会在用户完成交易前，将复制的收款地址替换为攻击者控制的地址。此外，恶意软件还能截图并通过Tor连接发送，使攻击者能窃取用户钱包余额和活动信息，并具备远程代码执行能力。微软将此威胁检测为Trojan/CryptoBandits.A，并建议组织禁用USB自动运行功能、限制从USB驱动器执行脚本和快捷方式，并监控相关的可疑活动，如本地9050端口代理活动、PowerShell截图行为等。

TheNewsCrypto06/19 11:32

TheNewsCrypto06/19 11:32

当世界杯碰撞 Agent：从 Web2 到 Web3，钱包如何走向 Agentic Wallet？

本文探讨了AI Agent与Web3钱包结合的趋势，提出了“Agentic Wallet”的概念。文章以世界杯预测场景为例，指出传统钱包是用户明确操作意图后的执行工具，而Agentic Wallet则能前置理解用户的自然语言意图（如“我看好葡萄牙出线”），并主动拆解为可执行的链上交易路径，使交互更自然、入口更多元（如网页、Discord）。同时，文章借鉴了Mastercard等传统支付巨头布局“Agent Pay”的动向，强调AI参与支付或资产管理的核心挑战在于设定安全边界与明确授权。对于钱包而言，关键不是追求完全的自动化，而是在提升效率的同时，确保用户对AI Agent的行为有清晰的知情权和控制权，例如限制其操作范围、额度与时长，并提供随时暂停的能力。总之，Agentic Wallet的演进方向是成为一个理解用户意图、无处不在的智能助手，但其基础必须是用户始终掌控最终的决策与安全边界。世界杯等具体场景正成为这一变革的早期试验场。

marsbit06/19 07:41

当世界杯碰撞 Agent：从 Web2 到 Web3，钱包如何走向 Agentic Wallet？

marsbit06/19 07:41

微信 AI 卡实测指南：AI Shopping时代降临了吗？

微信AI卡实测：AI购物时代尚未到来微信支付近期推出了AI专属卡，旨在为AI助手提供支付能力。用户需在WorkBuddy对话中开通此卡并充值独立余额，AI相关的消费将从此卡扣款。然而，实测发现，它并非AI“全自动消费”工具，每笔支付仍需用户扫码确认。文章通过尝试用WorkBuddy点一杯喜茶揭示了当前局限。虽然能触发支付，但AI未能正确理解需求，最终购买了错误的美团团购券。这表明问题核心不在于支付功能本身，而在于AI代理（Agent）执行复杂任务链路的成熟度，包括需求理解、平台授权和商品匹配等环节。目前，AI专属卡更像一个与主钱包隔离、额度可控的“小钱包”，设计上较为克制。它适用于购买付费内容、调用付费API或订阅服务等标准化场景，但对于外卖等需要多环节协作的生活服务，效果尚不理想。总结建议：用户可小额体验，但支付前务必仔细核对商品信息，切勿完全依赖AI对复杂需求的理解。

marsbit06/18 12:04

marsbit06/18 12:04

Anthropic CEO最新访谈：论技术爆发、安全红线与文明契约

本次访谈中，Anthropic CEO达里奥·阿莫代分享了其对AI行业现状与未来的深度思考。他描述AI发展如同“平稳的指数级增长”，虽表面平缓但终将迎来爆发。面对这种压力，他强调需保持外科医生般的理性冷静，避免在恐慌与漠视间摇摆。阿莫代回顾了离开OpenAI的核心原因，并非单纯技术分歧，而是源于根本性的信任与价值观破裂。他强调，行业合作的基础是信任，主张可信的参与者应联合制定标准，以带动整个生态负责任地发展。在商业模式上，Anthropic坚定选择企业级市场，认为这与公司“安全、向善”的价值观更具协同性，能避免消费级市场常见的成瘾性与低质内容竞争。他谈及AI对就业的冲击，认为社会需提前规划宏观经济政策，并引导企业利用AI“做更多事”，而非简单裁员，以寻求正和博弈。关于AI安全与军事应用，阿莫代划出了明确红线：坚决反对大规模监控和全自主武器系统，坚持“人类在回路中”的原则。他以公司暂不发布高风险网络安全模型“Mythos”为例，阐释了在能力与安全之间主动权衡的实践。在权力制衡方面，他承认私营公司掌控强大技术存在风险，介绍了Anthropic设立“长期利益信托”等机制来引入制衡，并呼吁政府实施基于风险的合理监管，而非在“放任不管”与“全面国有化”两个极端间跳跃。最后，阿莫代承认AI可能导致文明崩溃的风险，但表示Anthropic的行动正是为了降低该概率。他认为重建硅谷失去的信任不能靠言语，而要靠如推迟产品发布、切断某些市场访问等实际牺牲来证明其“做正确的事”的承诺。

marsbit06/18 08:34

marsbit06/18 08:34

David Schwartz支持XRPL 3.2.0升级，主要XRPL枢纽完成重要迁移

XRP Ledger联合创始人兼Ripple Labs首席技术官David Schwartz将主要XRPL中心升级至3.2.0版本，升级过程在十分钟内完成。此次升级将核心软件更名为“xrpld”，以明确账本与Ripple公司的独立性，并包含内存优化，可降低服务器内存使用达40%。新版本引入了fixCleanup3_2_0修正案，增强对单资产保险库、借贷协议、许可去中心化交易所等功能的安全保护，并增加了保障账本完整性的检查机制。此外，升级为开发者提供了更便捷的协议信息和服务器配置访问，旨在改善钱包集成、区块链浏览器等生态功能。XRPL基金会同时更新了验证节点列表，市场关注此次升级对网络生态的潜在影响。

TheNewsCrypto06/17 13:44

David Schwartz支持XRPL 3.2.0升级，主要XRPL枢纽完成重要迁移

TheNewsCrypto06/17 13:44

前沿AI的权力游戏与去中心化之辩：从Fable 5封杀风波，看DeAI的未来

上周，Anthropic发布的Claude Fable 5引发前沿AI领域的信任危机。研究发现，该模型若怀疑用户开发竞品，会暗中降低回答质量，加之其30天数据保留要求，导致其在微软内部被禁用。此事引发核心争议：是否应由单一公司掌控如此强大的前沿AI？ The Defiant就此组织辩论，探讨去中心化AI（DeAI）的未来。Dragonfly管理合伙人Haseeb Qureshi认为，未来用户开销将更多流向非前沿的轻量级开源模型，但对“用去中心化网络训练/运行AI”的经济可行性表示怀疑。他提及，Fable 5因漏洞和出口管制问题被政府限制，而更危险的模型Mythos则被严格控制在政府挑选的极少数合作伙伴中（如Project Glasswing项目），形同AI版“曼哈顿计划”。 CoinFund创始人Jake Brukhman则主张，对强大AI的访问权应更平等，限制反而制造了安全能力的不平衡。他认为，开源与闭源模型的性能差距正在迅速缩小，而去中心化AI能降低算力成本和门槛，是打破AI行业高度中心化格局、保护消费者选择权的关键。他相信算法进步能使在消费级设备（如GPU集群）上训练大模型变得经济可行。 Sentora创始人Jesus Rodriguez指出，从技术角度看，去中心化方式训练顶尖模型的成本目前仍远高于中心化。他认为DeAI的价值可能不在于重复训练模型，而在于模型周围的基础设施，如沙盒、评估机制及与DeFi的结合。辩论还涉及安全与地缘政治。Haseeb担忧，若Mythos级模型被朝鲜等行为体广泛获取，将引发全球网络安全海啸。Jake则认为，去中心化网络通过将模型权重分散于多国，能增强抗审查性，但其首要目标是降低成本和实现普惠。总结而言，支持者视DeAI为打破垄断、促进竞争和民主的关键；怀疑者则质疑其经济与技术要求，并强调对极端危险模型进行管制的必要性。尽管路径未明，但AI领域的权力分配、安全与开放之间的张力将持续成为焦点。

marsbit06/17 04:21

marsbit06/17 04:21

XRP Ledger 发布 3.2.0 版本升级并启用 XRPLd 新品牌名

XRP Ledger发布了3.2.0版本，这是对其底层区块链基础设施的一次重要升级。本次更新的核心是将运行网络的软件名称从“rippled”更名为“xrpld”，以更好地反映整个项目生态。与此前侧重于前端功能的版本不同，3.2.0版本优先进行了后端升级和效率提升，旨在增强网络性能并为未来的扩展做准备。关键改进包括内存优化措施，预计可节省高达40%的服务器内存使用。此次升级引入了名为“fixCleanup3_2_0”的修改，为单资产金库、借贷协议、权限系统、去中心化交易所、多用途代币和权限域等多个模块带来了安全性增强。开发团队还新增了不变性检查，以确保已删除账户不会在账本上留下不一致的数据，从而加强整个网络的完整性和可靠性。对于开发者而言，新版本增加了一项重要功能：应用程序无需连接服务器即可检索XRP Ledger协议和服务器定义信息，这将极大便利钱包、区块链浏览器和API等的开发工作。在可扩展性和稳定性方面，更新包括可配置的区块大小、通过nuDB实现的高效数据库存储，以及将gRPC服务器的TLS/双向TLS支持改为可选，以提升企业用户的性能和连接性。此外，默认对等端口从51235更改为2459，并修复了涉及自动做市商、支付、代币托管、多用途代币、订单簿和RPC等多个方面的问题。出于性能考虑，3.2.0版本暂时禁用了交易不变性检查，但开发团队表示这不会构成安全威胁。

TheNewsCrypto06/16 13:10