LeterTW retweeted
揭露Falcon Finance (@falconfinance) 7%空投骗局：DWF如何欺骗社区和币安（二）
一、黑盒中的真相
Falcon Finance拒绝公布积分总数和空投明细，试图用黑盒操作掩盖真相。但链上数据不会撒谎，我们通过严谨的数学推算，揭露了这个精心设计的骗局。
二、空投合约地址全景分析
资金流向追踪
主空投地址：0x8B89292D96E7E7e9B37c509962bb43ED4F5D1cCB
初始：7亿代币
转出：5亿 + 3000万
剩余：1.7亿代币
实际领取地址：0x1178c6a8E2600F0E9baFbC5e5677fE10805f05e3
收到：5亿代币
已领取：4000万
剩余：4.6亿
补发地址：0x653B078b1BC7939e12043fDA4b50aB45772c73E1
用途：早期TVL大户奖励（疑似OneKey活动）
收到：3000万代币
质押合约：0x1a0C3FfCbd101c6f2f6650DED9964c4A568C4D72
当前质押：578.5万代币
机制：选择30%领取后，可质押0-100%
关键发现
项目方设置了一个"隐私保护"机制：用户可用任意地址领取多个登记地址的代币。这个设计是为了保护隐私，还是为了方便老鼠仓？我们暂不判断，但这给数据追踪带来了挑战。
三、链上数据推算总积分 - Onchain不会撒谎
步骤1：计算质押率
总领取：4000万代币
质押量：578.5万代币
质押率 = 578.5万 ÷ 4000万 = 14.46%
步骤2：巧妙绕过"隐私机制"的阻碍
由于项目方设置了所谓的"隐私保护"机制——用户可用任意地址领取多个登记地址的代币，我们无法精确匹配前100名地址的实际领取量。
但链上数据有其自身的规律！
我采用了一个巧妙的方法：
从领取合约0x1178c6a8E2600F0E9baFbC5e5677fE10805f05e3中
提取了金额最大的前100笔提币记录
将其作为前100名用户的领取记录进行估算
为什么这个方法有效？ 因为积分越高，领取越多，大额提币大概率对应高积分用户。
[图1：前100笔大额提币记录-部分1] [图2：前100笔大额提币记录-部分2]
前100笔大额提币总计：16,937,516.66 FF
步骤3：还原前100的实际奖励
考虑14.46%的质押率，前100的完整领取量应为：
实际奖励 = 16,937,516.66 ÷ (1 - 0.1446)
= 16,937,516.66 ÷ 0.8554
= 19,800,697.52 FF
步骤4：计算前100占总领取的比例
前100占比 = 19,800,697.52 ÷ 40,000,000
= 49.50%
步骤5：反推全网总积分
[图3：9月28日前100总积分截图]
TGE前一天（9月28日）的数据显示，前100总积分为：9388.59亿
全网总积分 = 前100总积分 ÷ 前100占比
= 9388.59亿 ÷ 49.50%
= 18,966.18亿
≈ 1.89T
事实证明，这种模糊计算的结果与社区多方估算高度一致，验证了方法的准确性！
四、铁证如山的数学悖论
关键结论
全网总积分：约1.89T（接近2T）
这个数字与社区多方验证的估算完全一致！
致命问题
如果总积分是2T，按照7%空投：
应发放：7亿代币
实际准备：仅2亿代币（5亿中大部分未发放）
实际空投比例：仅2%！
五、质问 @falconfinance @DWFVentures
请回答以下问题：
币安报告明确写明Mile空投7%，为何只发2%？
全网积分约2T已被多方验证，剩余5%代币在哪？
你们把给币安的披露当什么了？儿戏吗？
4.6亿未领取代币将如何处理？
六、呼吁币安立即介入
@binance @cz_binance @heyibinance @sisibinance
这不是简单的项目方失信，这是对币安上市审核的公然藐视！
币安研究报告的权威性正在被践踏
如果连白纸黑字的承诺都能违背，币安的监督意义在哪里？
最终结论：
通过严谨的链上数据分析，我们证明了：
全网总积分：1.89T ✓
承诺空投：7% ✓
实际发放：仅2% ✓
欺诈金额：5%总供应量，价值3亿美元
#FalconScam #DWFLies #BinanceInvestigate #MathDoesntLie
LeterTW retweeted
关于 SUI 这一手冻结的操作，我好奇研究了黑名单具体是怎么实现的，以及昨天更新的白名单补丁又要干嘛？
1. 冻结如何实现？
首先是 SUI 这条链一直就有个功能，叫做 Deny List (拒绝服务的黑名单)，凡是进了黑名单的地址，节点都不执行相关的交易。
正是因为功能早就存在在客户端里了，所以这次才能紧急冻结掉黑客的地址，否则 SUI 虽然只有 113 个节点，但哪怕 Cetus 一个一个去打电话，依然来不及。
SUI 也不是从昨天起才【突然】变成了中心链，它【一直】就是，至少在加入了黑名单功能之后就算了。
2. 谁有权力更改黑名单？
理论上，TransactionDenyConfig 是每个验证者【本地】加载的 YAML/TOML 配置。
任何运行节点的人只要改文件、热加载或重启节点，就能换掉列表。
看似是节点们价值观的意志自由表达。
但是，你知道我要说但是。
实际上，为了保证网络的一致性和安全策略的有效性，这种关键配置的更新通常会通过【协调进行】。
所谓协调进行，这里面就是涉嫌中心化的部分了。
鉴于这是“SUI 官方紧急更新的代码”，Sui Foundation (或其授权的开发者) 基本就是这份配置名单的初始制定者和更新者。
Sui 官方率先发布黑名单，节点们【理论上】自由选择跟 or 不跟，但是根据我对节点的认识，这基本是默认自动发生的。
所以，尽管这个功能暂时保护了很多人的资金，但是它实则是中心化的。
3.昨天发布的新补丁是什么？
昨天 SUI 紧急上线了一个白名单（transaction_allow_list_skip_all_checks）功能。
任何在白名单里的交易都可以跳过所有安全检查（包括签名数、权限、封禁对象等）。
4. 白名单要干什么？
如果日后需要追回或归还资金，官方可以预先构造一笔特定“救援交易”，把其塞进 transaction_allow_list_skip_all_checks，这样即便它已经被黑名单锁住，也能绕过所有校验一次性执行。
5. 那白名单有直接拿走黑客钱的权力么？
没有。它只能让这笔钱突破黑名单。
补丁本身无法代签黑客私钥，也不会调用特权 Move 函数。它只是阻断或放行。要把钱真正转走，则必须：
（1）拥有黑客私钥，或
（2）另外发布一个还原模块（系统底层级别特权）并把该升级交易加入白名单。
6. 所以现在 SUI 是什么情况？
SUI 中心化出手
冻结了黑客的偷走的一部分钱
可是暂时也取不出（因为涉及到底层级别修改）
所以现在开始为取回这笔钱铺路
但代价是 SUI 会变得更加中心化
希望家人们早日把钱顺利拿回。
PS：一些其他相关内容可以参考 Haotian 老师这一篇。
很多人疑惑，Sui官方称 @CetusProtocol 被黑客攻击后，验证者网络协调"冻结"了黑客地址，挽回了1.6亿美元。究竟是如何做到的？去中心化难道是“谎言”吗？以下，从技术视角试着分析下：
跨链桥转移的部分：黑客攻击成功后，立即通过跨链桥将部分USDC等资产转移到以太坊等其他链。这部分资金已经无法追回，因为一旦离开Sui生态，验证者就无能为力了。
仍在Sui链上的部分：还有相当数量的被盗资金仍存放在黑客控制的Sui地址中。这部分资金成了"冻结"的目标。
而根据官方公告，"大量验证者识别了被盗资金地址，正在忽略这些地址上的交易"。
——具体如何实现呢？
1、验证者层面的交易过滤——简单说就是验证者集体"装瞎"：
- 验证者在交易池（mempool）阶段直接忽略黑客地址的交易；
- 这些交易技术上完全有效，但就是不给你打包上链；
- 黑客的资金就这样被"软禁"在地址里；
2、Move对象模型的关键机制——Move语言的对象模型让这种"冻结"变得可行：
- 转移必须上链：黑客虽然控制着Sui地址里的大量资产，但要转移这些USDC、SUI等对象，必须发起交易并被验证者打包确认；
- 验证者掌握生杀大权：验证者拒绝打包，对象就永远动不了；
- 结果：黑客名义上"拥有"这些资产，实际上一点办法都没有。
就像你有一张银行卡，但所有ATM都拒绝为你服务。钱在卡里，但你取不出来。有了SUI验证节点的持续监控和干涉（ATM），黑客地址里的SUI等代币将无法流通，这些被盗资金现在就像被"销毁"了一样，客观上起到了“通缩”作用？
当然，除了验证者临时协调外，Sui可能在系统层面预设了拒绝列表功能。如果确实如此，那么流程可能是：相关权限方（如Sui Foundation或通过治理）将黑客地址加入系统deny_list，验证者根据这个系统规则执行，拒绝处理黑名单地址的交易。
而无论是临时协调还是按系统规则执行，都需要大部分验证者能够统一行动。显然，Sui的验证者网络权力分布仍然过于集中，少数节点就能控制全网的关键决策。
而Sui的验证者过于集中问题也不是PoS链的孤例——从以太坊到BSC，大部分PoS网络都面临类似的验证者集中度风险，只是Sui这次把问题暴露得比较明显。
——号称去中心化的网络，怎么能有如此强的中心化"冻结"能力？
更要命的是，Sui官方表示要将冻结资金返回给pool，但如果真是验证者"拒绝打包交易"，这些资金理论上应该永远动不了。Sui是如何做到返还的呢？这进一步挑战了Sui这条链的去中心化特性！
难道，除了少数集中的验证者拒绝交易之外，官方甚至有系统层面的超级权限直接修改资产归属？（需要Sui进一步给出“冻结”细节）
在具体细节披露之前，有必要围绕去中心化的权衡做一下探讨：
紧急应急响应干涉，牺牲一点去中心化一定是坏事吗？如果遇到黑客攻击，整个链毫无作为就一定是用户想要的吗？
我想说的是，大家自然不希望钱落入黑客之手，但此举一来令市场更担心的是，冻结标准完全“主观化”：什么算"被盗资金"？谁来定义？边界在哪里？今天冻结黑客，明天冻结谁？这种先例一开，公链最核心的抗审查价值就彻底破产了，必然会造成用户信任问题的受损。
去中心化不是非黑即白，Sui选择了在用户保护和去中心化之间的特定平衡点。关键症结在于缺乏透明的治理机制和明确的边界标准。
现阶段区块链项目大多在做这种权衡，但用户有权知道真相，而不是被'完全去中心化'的标签误导。
LeterTW retweeted
虽然我之前已经了解过 Ledger Recover 的原理，但既然 Ledger 希望我继了解下…
ledger.com/academy/what-is-l…
这不温习还好…我实在不理解一个本来很硬核的钱包品牌，为什么会把安全营销做得如此神奇，比如：
Ledger Recover is completely secure
…
However, should someone steal your funds using Ledger Recover, Coincover offers users $50,000 in compensation. That just goes to show confidence in the product’s security.
这文案谁写的？完全安全？你都自认为完全安全了，怎么还有“但是”？然后这 $50,000 的赔偿对于硬件钱包群体，是不是过于不自信了？
好，忽略文案，看看 Ledger 初始化后，在 App 里显著的 Recover 广告引导（如图1/2/3/4），如果我脑子发热且我有资格，我真的用了这个服务，此时我第一个明白的是：我硬件钱包里的助记词数据（我不管所谓的军工级加密）从我硬件钱包里分三片段分别发送给了三家公司，存储在广告里所说的 HSM 里，但我没法验证…
此时我大脑已经非常紧张了，我用的这款硬件钱包居然有个口子是可以把助记词数据（哪怕高强度加密）提出硬件钱包…通过网络发送出去…
而解密流程有个关键的验证机制是由身份验证公司来负责的，通过验证了就有机会拿到 Recover 里备份的片段（有三个片段里的两个即可），然后恢复…
当然我相信这些过程里还有许多细节是我没真的感受到的，我难以确定这套流程是不是很可靠，但我觉得 Ledger 打破了本该属于硬件钱包应有的安全边界。Ledger 如果要继续这个 Recover 业务，还不如从现有硬件钱包安全架构里隔离出去，完全独立掉，否则干脆出个带 Recover 服务的硬件钱包型号，想用的人买这个型号就行了，不想用的人，就别来干扰了。
秉承 UNIX KISS(Keep It Simple, Stupid) 思想，保持简洁，别搞复杂了，复杂之中必定留坑。
最后请注意：这里我仅发表我对 Ledger Recover 的安全意见，就这样。
Hi @evilcos, Ledger Recover is completely optional and never enabled by default. If you don’t want to use it, you don’t need to do anything — your Ledger device functions exactly as it always has. Your keys, your choice. Ledger's security model is based on secure element hardware and cryptography, ensuring that only the user has access to their private keys. Ledger Recover, provided by Coincover, does not change this principle.
We encourage everyone to research thoroughly and make informed decisions about their security. Learn more: ledger.com/academy/what-is-l…
LeterTW retweeted
由 Bybit 交易所发行的Solana LST：bbSOL，最近修改了提现费，之前是SOL存款收取0.1%手续费，现在改为从bbSOL提取质押账户收取0.1%手续费，等于对之前存款的用户手续费两头吃。
这是Bybit之前的bbSOL公告：
learn.bybit.com/zh-my/web3/w…
这里是现在bbSOL的手续费，改为了收取提款的0.1%
LeterTW retweeted
We are aware of the ongoing issues with our friends at @PrismaFi
The 21 day lock on the mkUSD<>USDe pool on Ethena has been lifted with immediate effect so users can withdraw as required
Users will not lose any shards or accrued rewards for withdrawing from this pool
LeterTW retweeted
🚨Reminder🚨
We have released the rules for the 1st round $ARB #Airdrops. This round mainly rewards community members who have helped #BUIDL the #Crust ecosystem in the past🧑💻👩💻
Check your eligibility and claiming rules⬇️
link.medium.com/4WZ6TLOgAyb
