cmds

信任当然要托付给值得的人

[cmds @cmdsclf]

@xyz_remedy I think the overall experience on this platform is excellent, and I hope to see more Bug Bounty programs join in the future. I also look forward to the platform hosting audit competitions.
https://t.co/SJxVWiT4fy

[WhiteHatMage @WhiteHatMage]

Quick thoughts on the events I missed over the past two months:

- The XRP bug is a great finding, but the reward was low. But even Ethereum had a $250k max bounty a few months ago, so I wouldn’t criticize Ripple too hard.

- The max cap wasn’t specified in the XRP bounty program, so most hunters didn’t even bother checking it.

- The $50k Vercel bounty is too low. They advertised a $1 million bounty, which is misleading, since there's a $50k max cap. Are they expecting 20 Criticals?

- Other projects continue lowering their bounties or closing programs while hacks increase. I understand that it hurts to pay so many reports, but there’s no coming back from a hack.

- The “Duplicates” problem hasn’t been solved. You can still report a Critical issue, prevent major damage to a project and its users, and they will still try to find a way to pay you nothing while pointing to some non-impactful report as sharing the same root cause. Platforms should address this scam immediately.

- The LLM decompilation movement is pretty cool. It's the end of the era of closed-source code.

- People building security tools that depend on LLM tokens should try to make a profit today, or have a clear plan to sell their company before models get better. There's no long-term plan.

- LLM spam continues to be the main trend for getting bounty rewards. It feels like buying lottery tickets. The more tokens people spend, the more chances they have of landing an actual exploit. Having a unique approach seems to help too. But nobody is performing much better than the model they use, since there's no clear outstanding winner in the leaderboards.

- We’re getting to the end of 2026, and bounty rewards paid haven’t increased 10x with AI. According to Grok, for the top 100 on Immunefi the total earnings were:
* 2026 $16M, 1364 reports
* 2025 $11M, 820 reports
* 2024 $21M, 775 reports
* 2023 $17M , 559 reports
* 2022 $57M, 443 reports

- What happened with Ledger is worrisome. Keep improving your OpSec, whitehats.

Personal thoughts:

We keep seeing more and more bugs in all kind of software. That's not because of superhuman AI capabilities. It's because how bad we've been building software over decades in terms of security.

Nobody cared about exploits because they were difficult for the average hackers. Now everyone has a low-level-IQ tool that can crack neglected code, and we see the results.

We're in a transition phase, where LLMs trained with human bugs are outperforming the average guys. We'll probably get to an era of LLMs-code-first, with LLM bugs that with unprecedented vulnerabilities.

Yes, LLMs are just that bad at coding, and the current models might not be able to see some obvious errors, since they also have "cognition bias".

I see a bright future for bounty hunters, full of vulnerabilities waiting to be found and prevented. We just need to solve the bug-pocalypse first if we don’t want blackhats to win.

[cmds @cmdsclf]

@arsen_bt Bugs

[害虫🦟 @HiYepWan]

🚨 昨晚 @SuiCommunity 的AMA with 光头的对话内容，内容会有废话删减

1：@firstmovers_ 还在做吗？

🧑‍🦲：First Movers 这个独立概念和项目已经结束了。但我们仍在研���，怎样用一种不同、而且更有活力的方式继续服务这批人。

2：过去几个月，DeFi 漏洞利用和黑客���击明显增多。AI 可能进一步加剧了这个问题，因为它让攻击者可以大规模、更容易地寻找漏洞。我们也不断看到一些案例，说明单靠安全审计显然并不够。从安全角度看，Mysten Labs 和 Sui Foundation 在支持 Sui 上的 DeFi 项目时，有没有因此改变做法？

🧑‍🦲：首先，我们宣布了一个 1000 万美元的安全计划，用来资助生态里的项目提升安全性，其中包括漏洞赏金。也包括安全审计，甚至会支持一些项目做形式化验证等更严格的安全检查。

这是第一件事。除此之外，既然现在攻击者也在用 AI，我们自己的做法，就是用 AI 来对抗 AI。

Basecamp 上会公布更多内容。现在只能稍微��露一下：我们一直在后台推进一个项目，我们认为它能从根本上让 Sui 成为最安全的 DeFi 环境之一。

我现在还不能透露太多。这个项目会叫 Cerebro（AI翻译 不一定准确）。它的核心是给 Sui 上所有 DeFi 协议提供一个统一、标准化的安全层。而且这个安全层会是透明的，所有人都能看到。

3：听起来你们还有一个专门的网络安全团队，或者类似红队的团队，用 AI 提前发现和阻止这些攻击，对吗？
再往大一点说，如果攻击者可以 24 小时不停地用 AI 扫描漏洞，Sui 还会做什么来保持领先，确保大家对 Sui 和它的 DeFi 生态继续有信任？

🧑‍🦲：对。除了我刚才说的，我们已经有一个工具在社区内部使用，也给少数开发者用过。Basecamp 时我们会公开更多。到时候大家就会明白，为什么 Sui 会成为黑客最不愿意来攻击的地方。

最终，我们认为可以直接利用 Sui 网络本身，给 DeFi 协议的风险设置边界和保护机制。也就是说，Sui 网络本身会变得具有一定的“自我感知”能力，可以实时检测问题。

比如实时发现网络里的漏洞。现在我只能说到这里。我觉得这已经透露得够多了。

4: 有没有计划让 ETH，也就是以太坊，在 Sui DeFi 里成为更广泛使用的抵押资产？类似现在 Bitcoin 和黄金等RWA的用法。

🧑‍🦲：Hashi 是我们押注 Bitcoin 的重要项目。即使市场低迷，到 2026 年 Bitcoin 的市值依然超过 1 万亿美元。Bitcoin 已经真正证明了自己是一种价值储存资产。

Ethereum 的市值规模也没 Bitcoin 那么大。现在大概是 2200 亿美元左右，我不记得今天的准确数字。更关键的是，ETH 根本不需要我们专门解决“怎么进入 DeFi”的问题，因为 Ethereum 上本来就已经有大量借贷平台。当然不能说永远不会做，但目前我们的重点还是 Bitcoin 和现实世界资产，也就是 RWA。

5: 和一些其他生态相比，Sui 链上可以直接现货交易的资产种类似乎还是比较少，你怎么看？要改变这种情况，需要发生什么？另外，你觉得代币化股票会不会在这里扮演重要角色？我们什么时候能看到代币化股票或其他类似股权的资产真正可以在 Sui 上形成有意义的交易规模？

🧑‍🦲：Sui 目前的资产种类确实还不够丰富，我们也正在积极解决这个问题。

我不想一直提 Basecamp，但到时候应该会有更多东西可以公布。

和 Bitcoin、Solana 相比，Sui 本身还非常年轻。现在我们已经看到稳定币在 Sui 上的采用速度正在增长。
这会启动一个资产飞轮。

比如就在今天早上，我们和 Securitize 宣布了 Neuberger 的一个高收益代币化基��。

它是一个主动管理的代币化基金，目标是提供有吸引力、经过风险调整后的收益。主要投资高收益债券，也会配置 CLO、杠杆贷款等其他能够产生收益的资产。

你可以想象这样一个场景：基金通过 BitGo、Anchorage 或其他托管机构，把 BTC 部署出来，以这些 BTC 为抵押进行借款。如果借款成本够低，他们就可以借出稳定币，比如 USDC、Sui Dollar，然后直接在链上买入高收益 RWA。

这就是我们想启动的飞轮：把相对闲置的 BTC 真正部署到平台里。

先用 BTC 抵押借出稳定币，再拿这些资金去购买链上的高收益现实世界资产。

6: 我好像还看到，Sui 刚刚接入了 Tether 的 Hadron，对吗？我看到了他们的公告。这个是不是也属于刚才说的这一整套布局？

🧑‍🦲：Hadron 也会把很多 RWA 直接带到 Sui 上，这同样会推动这个飞轮。

我们的目标是把 Sui 上可交易的资产范围进一步扩大，不只是高收益的主动管理投资组合。

未来也会扩展到股票等其他资产。我们之前也提过，有几个协议正在尝试把亚洲股票直接带到 Sui 上。

总之就是让平台上的资产更加多样，尤其是面向普通投资者。

7: DeepBook 当初被宣传为 Web3 的流动性层，现在差不多已经过去一年半了。为什么这个目标还没有实现？

🧑‍🦲：理解 DeepBook 的第一点是，它其实是一个非常新的、以前几乎没有先例的东西。在 DeepBook 之前，真正意义上的链上中央限价订单簿并没有成熟存在。

所以我们是在从零做全新的东西，而且一直在实时迭代。DeepBook 的功能已经增加了保证金现货交易，其他功能也在测试网推进。为了进一步提升交易量，我们还会推出 DeepBook App。

现在候补名单已经开放。

以后用户会有一个直接和 DeepBook 交互的界面。

这其实一直是生态参与者给我们的反馈。

包括 DeepBook Token 的持有者。

我们的目标，就是给大家一个功能更丰富、更容易直接使用的交易入口。

DeepBook Predict 会是我们接下来推出的重要迭代。也就是说，你会有保证金现货、永续合约，最后还会有链上的预测市场。

所以借助这些底层能力，DeepBook Predict 会拥有很多以前做不到的新玩法。

这些预测类产品，如果没有链上订单簿这样的基础设施，是做不出来的。

这时候 Sui 真正独特的优势就会开始体现出来：你可以在上面构建各种其他链上很难实现的衍生品和交易产品。

走到今天花了很长时间，因为首先得把底层基础组件做好。底层做好以后，才能逐步在上面构建真正的产品和完整产品线。

我们直接做 DeepBook App，也会让它更像 Hyperliquid 这种用户可以马上进去交易和使用的平台。

8: 不少人反馈 Slush Wallet 的体验不太好，比如延迟、缺少自动授权、自定义 RPC 等功能，还有 UI 体验问题。你们有计划解决吗？

🧑‍🦲：最近暴露出来的延迟问题我们也知道，团队目前正在重点修复。我们真正想做的是最好的用户体验。

但 Slush 发展到现在，功能确实有点堆得太多、显得臃肿了。

我们也希望逐步增加 Slush 里的交易能力。以后会把保证金交易直接放进 Slush，也希望加入预测类产品。永续合约当然也希望直接放进 Slush。

但当前第一优先级还是先把 Slush 整体体验彻底整理一遍，这会是未来两个月的重点。

9: 以后有没有计划重新增加更多线下活动？

🧑‍🦲：在社区活动方面，Sui Foundation 已经明确从大量本地活动，转向更有针对性的活动。就像前面说的，我们会优先进入开发者密度高的地区，不再像过去那样铺得很广，而是更聚焦。

我们知道社区能够明显感觉到这种变化，本地活动变少以后，确实会让一些地区和社区觉得自己受到的关注少了。
这个反馈是合理的。但我们的目的并不是减少对社区的投入。

而是希望真正去开发者已经聚集的地方，用他们熟悉的方式和语言提供帮助。尤其现在有 AI，这一点更加重要。

我们想给大家的不是单纯办活动，而是真正的技术支持。

这个项目会继续成熟。我们会先在几个重点地区把它做成高质量的项目。等找到合适的模式以后，再逐步扩大。

比如 Sui Foundation、Mysten Labs，甚至 Walrus Foundation，都会在新加坡 Token2049 有很大规模的参与。

未来几周会公布很多和开发者、演讲嘉宾、现场活动有关的信息，其中包括一个规模很大的 AI Builder Lab。

那里会展示一些非常极限的技术实验。

包括尝试创造新的技术纪录。

你们应该记得，我们 7 月 4 日在一次实时 AI 实验里做到过 600 万 TPS 的纪录。

接下来我们还会把这个极限推得远高于之前。

我们还想继续打破一些技术纪录。Basecamp 上也会展示很多和 AI 基础设施有关的内容。

我们还在研究怎么帮助活跃的社区成员去新加坡，比如提供差旅补助、机票��支持。

10: 内容创作者怎么在 Sui 上赚钱？会不会做类似 Solana Superteam 那种线上内容资助计划？

🧑‍🦲：创作者大概可以从��个方面给 Sui 带来价值。

第一，扩大曝光。

也就是让更多新人，尤其是你自己的社区，看到 Sui 和 Sui 上的应用。

第二，教育用户。

比如带一个完全不懂借贷的人，从零开始完成第一次存款或借贷操作。

我们也希望通过 Slush 把这类从 0 到 1 的体验做得更简单。

第三，真正带来活跃用户，比如会交易、借贷、提供流动性的人。

我们没有一个统一的中央创作者资助池，这是有意这样设计的。

我们更倾向于让创作者直接和协议合作，通过长期赏金等方式获得收益。比如 Walrus Protocol 现在就一直有创作者赏金。

尤其是教育类内容，任何人随时都可以参与。

Walrus Community 和 Walrus Foundation 应该已经发过相关的赏金帖子，里面有正在运行的赏金计划。

另一种方式就是协议的推荐和联盟分成。

很多应用都想要真正活跃的用户，也愿意为带来这些用户的创作者持续分成。他们愿意给能带来这些用户的创作者持续分成。

比如 @Scallop_io @bluefinapp 也有直接推荐计划， @AftermathFi 还有链上联盟机制，而且已经直接集成在应用里。

DeepBook 和 @tradeonhudi 以后大概率也会推出类似计划。

在 Sui 上最容易成功的创作者，不只是会炒热度的人，而是真正能教育用户的人。现在生态最缺的其实是教育。

比如教别人怎么使用一个应用、怎么做 LP、怎么完成第一笔永续合约交易。

Sui Foundation 和创作者合作时，会更优先考虑那些能把 Web2 新用户带进 Web3 的人，而不是只在现有加密用户之间反复传播内容。

我们的目标确实是把更多圈外的新用户带进来。

另外，如果你使用某个应用后发现明显缺失的功能，也可以直接把反馈给团队。只要反馈有价值，很多团队其实愿意奖励这种贡献。

11: 现在全球大概有五个 Sui Hub,过去 Sui 在举办线下活动方面做得很好。而你刚才提到的社区开发者和教育者，我觉得也很重要。Sui 会不会考虑做一个线上孵化项目？这样即使��发者分布在全球不同时区，也能加入。类似一个有明确目标和组织方式的线上空间，也就是数字孵化器。你觉得呢？

🧑‍🦲：以往我们的经验是，人还是希望真实感受到其他人的存在。希望自己是社区、群体的一部分。而这种感觉通常在线下最容易建立。

不过现在大家已经很习惯远程工作了。线上方式虽然不是最理想，但确实不是所有人都能旅行，也不是所有人都能去某个中心城市。

所以我是支持做线上项目的。真正的关键是：能不能设计出一种机制，让大家在线上依然愿意持续参与，并且真的觉得自己属于一个活跃社区。

这方面还需要继续研究，但我认为是可以做到的。

12. 你头像为什么换了？换成这个有什么特别原因吗？

🧑‍🦲：我看到有人做了这个头像，觉得特别喜欢，所以一定得换上。我们现在正在做大量和 AI Agent 有关的技术。

说实话，我从来没有像现在这样，对我们正在做的东西这么兴奋。我们现在非常专注，因为我们认为，在互联网资金流动、以及 Agent 自动交易和转账这些方向上，Sui 有很大的胜算。

我们认为自己有非常明显的技术优势。但比技术优势更重要的是，最终要��它真正转化成用户能感受到的东西。

除了重新点燃散户的兴趣，我们更兴奋的是：我们认为自己在 Agent 技术上已经取得了一个非常大的突破，Basecamp 时会公布更多。

所以我换头像，一方面是因为我对现在这些工作真的很兴奋，另一方面也是为了支持社区。

13: 之前提到 Sam 要去 Anthropic。Sui 所谓的“自我感知”，会不会和某个特定的大语言模型、Agent，或者某家公司有合作或绑定？
另外，Sam 正在成立 Move Foundation，这个基金会和目前 Sui 的基础设施是什么关系？

🧑‍🦲：Sam 是 Move 的创造者，所以他非常在意 Move 能不能持续发展下去。

他一直都非常希望 Move 能继续被完善和扩展。

实际上，他亲自负责的大部分 Move 核心工作已经完成了。

我们内部仍然有团队继续创新和改进 Move，但 Sam 原来承担的大部分监督工作已经完成。

Move Foundation 的意义，是建立一个更加开放的协作机制，让 Sam 和其他人都能继续贡献想法，一起推动 Move 发展。

关于 Sui 的“自我感知”，我能说的是，它会体现在网络自身的运行和��全层面。比如网络能够自己识别黑客攻击、故障或异常。

它会具备一定的自我修复、自我识别能力，实时理解链上交易发生了什么。我们希望 Sui 成为第一个做到这一点的网络。因为未来如果进入 Agent 商业时代，交易可能在几分之一秒内发生，Agent 之间甚至为了几分钱、几厘钱自动交易，这种系统不能依赖“出了事再按红色按钮”或者等安全团队人工处理。

这些事情必须实时发生，网络本身也必须能够实时协调和响应。所以从这个角度来说，Sui 会成为第一个具备这种“自我感知”能力的网络。

不过我说“自我感知”时需要谨慎一点，别把它理解成真正有意识。我并不认为 AI 是有生命的。

我觉得 AI 更像是把人类思想用数学形式汇总、表达出来。

但如果从这个意义上说，是的，Sui 会有某种“自我感知”：它能自己发现故障、识别攻击、检测系统异常，并且实时做出反应和修复。

Basecamp 上会讲更多。总之，这类东西真的让我非常兴奋。

14: 那到底是什么技术在驱动这些能力��

🧑‍🦲：还不能说哦

15. 当你和团队最开始规划 Sui 时，为什么决定把它做成区块链，而不是传统公司产品？
当时真正让团队决定采用区块链的关键因素是什么？

🧑‍🦲：回顾自己的职业经历ing....

离开 Meta 之后，我们仍然想继续 Libra 最初的愿景。

也就是：能不能做一个网络，让资金，甚至人的意图，都可以用接近光速的速度在互联网传递，而且成本极低？

于是我们开始构建 Sui，并一点点把需要的底层能力都做出来。

归根到底，我们认为区块链和去中心化基础设施之所以重要，是因为加密行业真正卖的其实是一种“信任即服务”。

任何系统都需要信任某些东西，而区块链真正做的，是把“信任成本”降下来。

Sui 就是这个理念的一种实现，本质上它是一个尽量不依赖中心主体信任的系统。

你真正依赖的是算法、数学和密码学，而不是���个组织或机构口头承诺它会怎么做。

这和相信某家公司、某个机构的承诺完全不同。

所以我们会继续坚定支持去中心化基础设施，未来做的东西也会围绕这个方向。

16. 我的问题其实来自社区里很多人的共同感受。

尤其是我们这些一直在尝试把开发者和用户带进 Sui 的人。比如我自己在里斯本办过很多活动。

我们做过 Move Workshop，让大家了解 Sui 的技术，以及它能怎么帮助他们做 Web3。

很多人参加后确实会感兴趣，但接下来却缺少一个明确路径，让他们真正开始在 Sui 上做项目，并长期留在生态里。

所以我的问题是，现在以前的 Ambassador Program 已经没了,社区主导的一些项目也少了。

Sui 有没有新的计划，能够吸引开发者和用户、把他们留下来，同时让社区参与其中？比如像 Solana 的 Superteam 那样。

🧑‍🦲：首先，我们正在设计一个新的项目。

它会涉及如何在不同地区重新建立类似 Ambassador 的体系。

现在还不能透露太多，因为我们还在做。

我一直跟大家说，如果你有更好的方案，可以给我们发一页纸的提案。

因为我们现在确实愿意听各种想法。

还有一点必须先纠正：我们以前经常犯一个错误，就是觉得社区里的每个人都应该去当开发者。其实不是。

不是每个人都适��创业，也不是每个人都擅长销售。

有的人会写代码，但不会卖产品。有的人很会卖产品，但不会写代码。

我们真正应该做的是，找到每个人最擅长的东西，然后让这些能力在生态里产生价值。

如果把所有人都往“做开发者”这条路上赶，反而是错误的。

这也是为什么过去很多培养计划最后成功率并不高。

最近我们做得更好的一件事，是更早识别出那些真正执行力强、能力强的团队，然后集中支持他们。

接下来 30 到 40 天，你们会看到一批新项目上线。很多团队其实很早就获得了 Sui Foundation 的支持，因为我们能看出来他们是否真的有能力解决难题，或者过去已经有解决复杂问题的经验。

这些项目目前看起来成功率非常不错。对 Foundation 来说，这种方式也更有效。

因为需要投入的钱更少，但给整个生态带来的回报反而更高。

所以我们现在要思考的是，怎么把这种识别和筛选能力规模化。

比如，如果我们能识别高成长团队，那怎么让社区也参与进来，帮我们发现这些团队，并围绕他们建立支持机制？

Sui Foundation 一直都愿意支持��团队，但我们也必须确保钱花得足够谨慎、足够合理。不能只是因为其他生态这么做，我们就照着做。

Sui 应该有自己的逻辑，找到真正适合自己的方式，如果只是复制别的生态，你永远只能落后于别人，你得先搞清楚真正重要的问题是什么，然后用自己的方式解决。

17. DeepBook Season 1 的效果很好。Walrus 也在为开发者做类似的活动。Hashi 主网上线时会不会也推出类似计划？

🧑‍🦲：Hashi 这边我不确定，但就我知道的情况，Hashi 应该不会采用这种方式。

Hashi 的情况不太一样。我现在也不确定能透露多少，但它上线时已经会有相当规模的资金提前承诺进入。

也就是说，Hashi 主网上线时，平台上会已经有不少机构资金。所以 Hashi 并不是一个主要针对散户交易的项目。

Hashi 真正解决的问题是：怎么把大规模机构资本带到 Sui。这才是 Hashi 的目标。至于其他���目——那些更偏消费者、偏散户的平台，会更适合做这种激励活动。

比如 @AftermathFi @tradeonhudi 会把韩国和其他亚洲股票直接带到链上。这些项目会做类似活动，因为它们确实需要吸引散户注意力。

但 Hashi 的重点，是把机构手里大规模的 BTC 带进来，让它们可以围绕 BTC 做借贷，再把借来的资金投入高质量 RWA。

18. Hashi 主网有没有比较明确的上线时间？是第四季度吗？现在有没有进一步缩小到某个月？

🧑‍🦲：确定是 Q4，而且会比较早。

19. 除了给 Grant、帮忙发公告之外，对于那些真的想长期建设、不是来薅一笔钱就走的团队，Sui 和 Foundation 到底能提供哪些具体的后续支持？比如怎么帮他们获得用户、建立合作关系、真正把产品做起来，并且最终给整个 Sui 网络创造价值？

🧑‍🦲：现在这个时代，几乎所有人都可以在 AI 帮助下写代码。

但并不是所有人都会卖产品。

我的联合创始人 @kostascrypto 经常开玩笑说: "有些人连一袋土豆都卖不出去"。

这话虽然是玩笑，但很重要。

除了资金之外，Foundation 过去其实一直还在做很多别的支持。

比如给项目启动资金、提供激励。激励本身也是用户获取的一部分，因为它可以降低项目获取用户的成本。但最终能不能留住用户、形成长期活跃，还是要靠项目自身的产品。

Foundation 也会帮项目对接 VC，把投资机构���绍给创业团队。

事实上，Sui Foundation 过去帮助过很多项目融资，比如 NAVI、Cetus、Bluefin、AlphaFi 等，通过介绍让它们接触到不同的 VC。

不少 VC 投资 Sui 生态项目，本身就是 Foundation 帮忙牵线的。同时我们也会帮助项目对接其他合作伙伴。

因为当生态里的项目之间能够形成协同，价值会更大。

比如 Aftermath 可以使用 AlphaFi 的能力，或者 Bluefin 可以和其他协议形成组合。

这种协同会逐步形成长期价值。

当然还有 Hackathon。

很多协议也希望其他开发者能基于它们的协议继续构建产品。

所以一些 DeFi 协议会赞助我们的 Hackathon，或者我们会一起设计题目，让更多开发者围绕这些协议做新的东西。

比如你今天完全可以给某个协议做一个新的 UI。

或者基于 SuiLend 做不同形式的产品和功能。

Hackathon 的价值之一，就是让原项目团队发现很多自己以前没想到的扩展方向。

所以 Foundation 可以帮助项目和整个开发者社区形成更多互动。

但如果你作为一个开发者来到 Sui，只说“我写了一些代码”，这远远不够。

这其实是我们现在反复强调的核心。

接下来你们会看到的一批团队，不只是技术经验丰富，更重要的是他们知道怎么做市场、怎么获取客户、怎么让现有用户群真正产生兴趣。

20. Solana 会用不同的 Twitter/X 账号分别推广生态里的不同赛道，比如游戏、DEX、社区代币等。Sui 有没有计划采用类似的结构？

🧑‍🦲：Sui Foundation 本身一直都会推广生态里的各种协议。这件事并没有减少。

无论是不是正式合作伙伴，只要有人在做有意思的事情，Foundation 通常都会愿意提供传播支持。

最近我们还新开了一个专门面向开发者的频道 @suidevelopers

我们正在把不同类型的内容拆到更多频道里，但同时又不希望把信息拆得太碎。

因为如果一个账号每五分钟就在完全不同的话题之间切换，确实会非常吵。

上一分钟还在发永续合约，下一分钟突然发开发者活动，用户会觉得很混乱。所以我们希望把频道适当拆分，让大家更容易只关��自己真正感兴趣的内容。

21. 我觉得现在 Sui Foundation 手里的权力太集中，而且我觉得这种方式并没有特别有效。

很多时候 Foundation 给人的感觉是和普通社区成员有距离，甚至有些��节。

我相信不少人都有类似感受，可能很多人不愿意直接说，但我想坦白讲，因为我真的很喜欢 Sui 的技术。

我在这里也认识了很多朋友，我甚至尝试过去其他链上做项目，但最后还是回到 Sui，因为这里的技术确实很有吸引力，社区也是真实存在的。

但我认为有一个核心问题，就是权力过于集中。真正理解 Web3 社区应该怎么运营的人，并不一定拥有真正做决定的权力。

我们每次开这种 Space，好像都在重复讲同样的问题，这也能说明这种脱节。

我已经在 Sui 社区快两年了，现在大家说的问题和两年前其实差不多。

很多问题几乎没变。而我们每次得到的回答都是“正在做”“正在修”。

说实话，我已经不太相信这种回答了，因为同样的话我听过很多次。

但我今天也不是只想抱怨，我想提出一个具体建议。

为什么不能设立一个真正由社区参与管���的 Community Fund？我是以一个一直在一线做事的社区成员身份说这个。比如成立一个社区基金，让真正长期扎在社区一线的人负责。

Foundation 可以给他们一笔资金，同时设定明确的目标和指标。

然后由这些人去发现、挑选和支持真正的草根开发者，而不是所有事情都必须由 Sui Foundation 自己决定。

因为我自己跟 Foundation 的人聊过，有一点我一直想不通。

他们有时会告诉我：你得先从 VC 那里拿到投资，Foundation 才会考虑支持你。

可你们本身就是 Sui Foundation，如果连 Foundation 都不愿意第一个承担风险支持一个原生 Sui 项目——

那一个离 Sui 生态更远、甚至不太了解 Sui 的 VC，为什么会愿意先给我钱？这对很多开发者来说就是一个现实的瓶颈。

如果必须先拿到别人的支票，Foundation 才愿意给你支票，那早期开发者会很难。

我认为 Foundation 应该更愿意承担最早期的那一部分风险。而且多数人根本不是上来就要 10 万美元、100 万美元。

很多人需要的只是很小的 Micro Grant，用来验证想法、做出早期数据和用户，然后才能去拿正式 VC 或 Pre-seed 轮。

现在瓶颈就在这里。

很多开发者根本不需要那么多钱，他们只是需要一点资金先证明自己的想法。

内容创作者也是一样。

所以我认为应该把一部分这种责任从 Foundation 手里拆出去。Foundation 本来就已经在处理很多非常大的事情。

可以把它交给一个真正了解社区的圆桌委员会，这些人长期待在各种群里，甚至能直接认出不同用户的 ID。

因为 Sui 社区其实没有大到彼此完全不认识，很多圈子都很小。

如果把一部分资源分配权委托给这些人，我觉得支持会更包容。

而不是突然冒出一个从来没人听说过的项目，然后大家看到它被 Sui Foundation 支持，都会问：这人是谁？

社区里很多人从来没见过这些团队。

有些项目拿到支持、做一阵子，最后项目一关，人就消失了。

🧑‍🦲：首先，“资金决策权集中”和“社区运营权集中”其实是两回事。

关于社区运营，如果你看看我们在亚洲、尼日利亚等地区做的事情，很多 Sui 社区其实并不是 Foundation 自己运营。

它们本身就是社区成员在运营。

而现实是，这种模式的结果也有好有坏。

我不是说因为这样，所以 Foundation 就一定该控制或者一定不��控制。

但不能简单认为，只要把 Foundation 的监管拿掉，让社区自己做，事情就一定会自动成功。至少我的实际经验不是这样。

第二个问题是，如果你看所有区块链生态里真正成功的项目比例，不只是 Sui，我觉得必须把���角放大到整个行业。

实际成功率都非常低。

也就是说，从投入的钱，到最终真正跑出来的成功项目，中间转化率非常低。

我记得这个比例甚至低到某个很夸张的水平，只是现在记不清准确数字。

总之，Grant 投出去以后真正变成长期成功项目的概率并不高。

所以单纯从“投了多少钱、最后产出多少成功项目”来看，行业整体数据并不好看。

真正应该做的，是提高我们发现好项目的能力。

核心其实是项目筛选，也就是 sourcing。

你怎么建立足够的信息和判断力，知道项目 X 成功概率很高，而项目 Y 可能不行？

真正困难的是这部分工作，而我们现在就在重点做这个。

我觉得现在我们已经筛选出一批项目，很快会陆续上线。

你可能会说“这个项目我从来没听过”，但这不代表没人了解它。

更重要的是，这些团队成功的概率会更高。

为什���？

第一，他们有真正完整的团队。

第二，他们本身就是那个领域的专家。

他们不会跑去做一个和自己过去经验完全无关的东西。

而且他们可以清楚说明自己的 Go-to-market 方案，能够让人相信这套��场进入策略是真的有机会成功。

他们也有能力说服其他人这个想法值得做，这本身就能降低融资和合作的阻力。

所以我非常支持让社区拥有更多能力。

但问题是，怎么确保社区里做决策的人真的有足够知识，能够判断哪些项目值得投？

我觉得这恰恰是最大的难题。

我和很多基金会都聊过，包括 Solana Foundation、Avalanche Foundation、Ethereum Foundation 等。现在大家都已经不像以前那样把 Grant 当糖一样随便发。

你如果真正问这些基金会：过去发出去的 Grant 和最后产生的 ROI 到底怎么样？

甚至 Aptos Foundation 也可以拿来比较。

他们花的钱比 Sui Foundation 多得多。

但很大程度上结果并没有相应地更好。

反过来，Sui 这里有一些从 Day 1 就存在的协议，早期拿过资助，现在已经不再需要 Foundation 的持续补贴，也能自己活下去。

我们真正想建立的是这样一条��目管线，项目早期可以得到 Foundation 和社区很强的支持，但它必须能证明，六个月到一年之后，就算 Foundation 不再扶着它，它也能因为自己的产品成功而继续存在。

要建立���种机制需要时间，我不认为简单设一个基金，然后一夜之间把钱分给一批人，就能解决你说的问题。

可能确实会有一些人拿到 1.5 万美元，但如果他们没有真正的产品和市场能力，六个月后这 1.5 万还是会花完，项目也未必有任何实质进展。

与此同时，我也可以明确说，Sui Foundation 一直在给项目提供不同规模的 Grant，有 2 万、5 万、10 万美元，甚至上百万美元。

所以 Foundation 并不是反对投资创业公司，也绝不是不愿意投资自己生态里的协议。

我们真正需要建立的是更好的判断机制。这也是为什么我们正在重新思考新的 Ambassador Program 应该怎么设计。

未来怎么让新一代 Ambassador 不只是做活动，而是真正理解什么样的项目值得支持、什么样的不值得？

这里最重要的是教育。

Web3 现在恰恰很缺这方面的能力。

我见过太多投资决策反复失败，所以我们��想只是复制别人犯过的错误。

22. 我觉得截至目前，Sui 生态最大的一个问题，是很多产品还没有找到真正的 Product-Market Fit，也就是产品和市场之间的真实匹配。

不少开发者和已经上线的应用都存在这个问题。

所以我很好奇：如果明天把所有激励全部停掉，你觉得哪些协议或者应用还能够靠真实、自然的用户需求活下来？

🧑‍🦲：我可以列出一些协议，它们经常主动来找我们。

这些协议甚至会主动跟我们说：把激励停掉吧。

因为它们觉得自己已经有足够规模、足够客户，而且已经进入自己的目标市场。它们反而认为持续激励对竞争不公平。

甚至会让整个市场的行为变得扭曲。

最后反而影响项目自己做出正确的商业决策。

所以确实有不止一个协议主动要求 Foundation 停止激励。

先说明，这只是我个人观点，不代表 Foundation 当前正式政策。

我认为激励必须有明确的时间限制，激励只能持续一个固定周期。在这个周期里，项目必须想办法找到 Product-Market Fit。

如果到期还是做不到，那失败就是失败，激励应该在明确的时间点结束，这样还可以把释放出来的激励资源给新的项目。

我其实非常希望不断有新项目进来。

哪怕��一个独立开发者，只要能证明自己的项目确实优秀，也应该从第一天就有机会获得激励。

但这个开发者拿到的激励同样只能持续一个固定周期。这样整个生态就会不断有新协议进来，尝试新的想法。

我不喜欢那种一个老项目常年拿���励的模式。

有些项目一拿就是几年。

所以我的观点是：对于那些已经在 Sui 上存在很久的协议，应该直接把长期激励停掉。

以后激励主要甚至可以只给全新的项目。

而且一开始就告诉所有人，这个激励只会持续六个月、十二个月，或者其他明确期限。

时间到了以后，如果这个项目还找不到办法自己活下去，那说实话，它就应该退出。

如果一个协议长期找不到 Product-Market Fit，那从商业和经济逻辑上说，本来就不应该无限继续运营下去。

所以如果你问我的方向，我倾向于把老项目的长期激励全部停掉。

把激励机会主要留给新项目，并且所有激励都限定明确期限。

结束。

最后感谢 @doncurrent 的录屏👊

[cmds @cmdsclf]

@GrokInsider Good,I try it successful! Thanks

[cmds @cmdsclf]

@victorokpukpan_ Happy birthday,GOOD LUCK!

[cmds @cmdsclf]

@elder_plinius Hey Pliny，I work in AI security.saw your jailbreak post. Would love to hear more about how it hit GPT-5.6 Sol, mind sharing details?

[cmds @cmdsclf]

@immunefi .

[cmds @cmdsclf]

@0xtruthlover Could you please tell me which bug bounty programs these two vulnerabilities were submitted to?

[Sipan V'artagnan ⚖️⚡️ @Hexen1337]

@Mudit__Gupta @hexens Btw, we wrote a kick-ass article about the vulnerability. A very interesting read:

https://t.co/NpCzUDd0A1

[cmds @cmdsclf]

I just found a bug and got paid on @immunefi #immunefitribe https://t.co/IWsygYiQBQ

[cmds @cmdsclf]

I just found a bug and got paid on @immunefi #immunefitribe https://t.co/cLyj3h7DhU

[0xUnderwat3r | Immunefi @0xUnderwat3r]

(everyone checking if they had pledged to nnez)

[cmds @cmdsclf]

@YyYy873920 @immunefi Hi

[cmds @cmdsclf]

I just found a confirmed bug on @immunefi #immunefitribe https://t.co/3c8Dp18Lmz

[Glider @glider_xyz]

@cmdsclf received a payout for a high-severity bug on https://t.co/umv5g67DZV

A high-severity vulnerability related to fee accounting was identified.

The issue could have impacted liquidity calculations in rare edge-case scenarios.

There was no immediate fund impact. The finding helped the team strengthen protocol robustness across all edge cases.

[cmds @cmdsclf]

The security team responds very quickly during the initial vulnerability triage stage, and the project teams are highly communicative, providing timely feedback and handling audit reports with great care.

[cmds @cmdsclf]

@xyz_remedy I think the overall experience on this platform is excellent, and I hope to see more Bug Bounty programs join in the future. I also look forward to the platform hosting audit competitions.
https://t.co/SJxVWiT4fy

[cmds @cmdsclf]

sui&Haedal @HackenProof https://t.co/Ffjx1SUa9M #hackenproofed #bugbounty

[cmds @cmdsclf]

Yeay, I was awarded for a valid submission on @HackenProof https://t.co/Ffjx1SUa9M #hackenproofed #bugbounty

[cmds @cmdsclf]

I just found a bug and got paid on @immunefi #immunefitribe https://t.co/a9476IJfa0