stephen.C

[Pablo(🦑,🪐) @silenlee]

三年前， @harmonyprotocol bridge 被盗，大量资产 depeg， @aave 上也是留下了大量的坏账，三年来 Harmony 基金会几次发起希望 AAVE DAO 一起补偿一部分给用户（毕竟 AAVE DAO 也在这个 market 赚了 revenue），但都被 AAVE DAO 或拒绝或搁置。
https://t.co/S89VaZ0RQL

这次 AAVE 官推最新的声明只说了 L1 fully backed，只字未提 L2。
https://t.co/TVAdYx8iT0

L2 markets的声明明确表达我们会想办法补偿用户，但是 rsETH 的社会化损失不能只由 L2 承担，要所有链上的 rsETH 资产一起减计 (haircut)
https://t.co/JGez6XVD54

我们不难推测 AAVE DAO / Labs 这次的选择，以及现在各方博弈的关键：
1. L1 一直是 AAVE DAO Treasury 的主要来源，是不可动摇的根基，而且 L1 是去中心化的，EF 不会也没有能力来兜底
2. 流水的 L2 / sidechain 只是 AAVE 短期 marketing 的燃料，往往生命周期都很短， AAVE V3 至今已经来来去去多个 L2 / sidechain，所以弃车保帅肯定是抛弃 L2
3. 无论是 https://t.co/Wvs24C6QHi bridge 被盗，还是这次的 rsETH，AAVE 有责任但也都不是责任主体方。所以 AAVE DAO 有自己的利益考量，不愿意拿自己的利益去帮助偿付 sidechain 用户。（尽管 DAO Treasury 并不直接到 $AAVE holder 手里，但也是 $AAVE token value 的最大 back）
4. 如果 @KelpDAO 现在什么都不做，那现状确实就是 L1 上的 rsETH 依然被 back，但 L2 上的 rsETH 已经没办法正常 fully bridged back to L1，而要穿透 restaking 和 liquid staking 从以太坊共识层取回 staked ETH，又只能走 L1 的主网合约，所以这次被盗的可以说就是 L2 rsETH 的 holder，所以才有 AAVE 上面的声明。
5. AAVE 显然希望 the loss remain on L2 rsETH, 这样 AAVE DAO 可以像之前 https://t.co/JuaAOIpahd bridge 被盗事件中一样，不承担任何损失和责任。让 L2们 和 @KelpDAO 去搞，最好 L2 去 bailout kelp 赔不了的那部分（很多 L2 确实也有这个实力和不得不这么做的理由），即使不行，最差的结果也就是像对待 https://t.co/Wvs24C6QHi 一样 wind down 几个一堆坏账的 L2 / sidechain 的markets。
6. L2 们显然也从 AAVE 的表态，历史，以及 kelp 没有任何更新的现状读出来了上面一条可能的结果，所以开始呼吁要 equitable socialization across all rsETH holders regardless of chain。其实就是说要主网 rsETH holder 一起承担。
7. AAVE 现在的坏账相比总资产依然可控，却在被抽干的流动性中风雨飘摇，所有的挤兑 (bankrun) 都源于谁也不知道这次损失由谁承担，而谁都不想承担。但到底有谁承担，最重要的就是取决于 Kelp 如何处置其穿透到以太坊共识层的那些 staked ETH。

现在再来看 @KelpDAO , Kelp 至今没有任何实质性的表态
https://t.co/zdceGiBxTL
但无论 Kelp 怎么想，目前就只有三个 option：
a. 保持现状，前面已经说了，就让 L2 rsETH holder 们亏，这是 AAVE DAO / Labs 目前最想看到以及默认的情况，这种情况下至少 AAVE 主网可以全身而退，几乎没有清算和坏账，所有的清算和坏账留给 exposed to rsETH 的 AAVE L2 markets。AAVE 现在不提案补充流动性，可能就是在咬牙熬和推动这个选项被落实。
b. 让所有 $rsETH 一起承担社会化损失，进行减计。这是一个 AAVE DAO / Labs 依然不希望看到，但是 exposed to rsETH 的 L2 markets 们能接受的折中情况。注意这种情况下 AAVE 主网和各个 L2 依然会发生大规模清算以及留下坏账，这时候就是 AAVE 的 umbrella module 将被毫无争议地激活去平掉主网对应的坏账，如果还有缺口，AAVE DAO 也将不得不动用 DAO Treasury（当然我猜测 Treasury 大概率只会填补主网坏账缺口）。而各个 AAVE L2 markets 就靠各家 L2 基金会自己去想办法补偿用户了，即使如此，L2 markets的压力也远小于上一种情况。
c. 做一个快照，发行新的 restaking token，只作废黑客窃取的 rsETH。这种情况下，kelp 保全了自己项目所有真实的 $rsETH holder的利益（之前发生过被盗的 @meta_pool 项目就是采用的这个方法），同时就基本等于把所有坏账都留给了 AAVE 主网上的 debt holder（主要是 ETH holder，因为前不久刚开了 rseth/eth 的 e-mode... 可能这就是事实上促成黑客开始行动的关键，因为朝鲜黑客这种手段用了就会曝光然后失效很长一段时间）。这时候 AAVE DAO 就不得不吞下所有损失。
所以这是 AAVE DAO / Labs 最不愿意看到并且会竭力阻止（应该现在已经在行动中）的情况。

我们现在再看看 @LayerZero_Core 的表态，https://t.co/r6uODsYGF1。他的报告已经把事故原因说得比较清楚，虽然用春秋笔法把锅甩给了 kelp，但是他自己运营的 DVN，他下游的 rpc 被劫持，他 approve 了 faked message，他默认允许的 1/1 DVN configuration，无论如何他都有巨大的责任。从这份报告的字斟句酌，可以窥探背后的各个项目方在 backroom 已经开始了复杂的法务层面的博弈，AAVE Labs应该也采取了法务行动推动 Kelp 采用 option a，极力阻止他们采用 option c。

@KelpDAO 是 @binance 强关联的项目，甚至这个时候都可以不避讳地说这个项目大概率就有他们的直接参与，我不说币安应该承担什么责任或者该做什么，我想表达我相信币安的法务也已经介入这个复杂的多机构的法务层面的博弈上了。虽然有可能看起来 C 选项是 @KelpDAO 最佳选择，但是考虑到现在各个项目之间的复杂博弈，以及 @KelpDAO 以后到底要怎么在 DeFi 行业生态里 restore 自己的市场份额，他很难轻易下决定。

利益相关：我的资产在 AAVE Ink market
涉及 AAVE 专业名词和机制可以参考：https://t.co/Y4oCAN8IYk （也把我之前的评价打脸发上来）

[Humphrey｜Crypto Research @Humphre98361099]

KelpDAO 2.92亿美元攻击事件 — 2026 最大 DeFi 黑客案全解

北京时间 2026 年 4 月 19 日凌晨，KelpDAO 的 rsETH 价格开始剧烈波动，Aave 的 WETH 利用率快速攀升至 100%。

几分钟后，ZachXBT 在 Telegram 公开预警：一场规模超 $280M 的 DeFi 黑客攻击正在发生。

这场攻击最终定格在 2.92亿美元，成为 2026 年迄今最大的 DeFi 被盗事件，超越了 18 天前刚刚发生的 Drift Protocol 事件（2.85亿美元）。

Humphrey 系统梳理了整个事件的攻击路径、传染链条与结构性教训，写成这篇复盘。

一、KelpDAO 是什么？先搞清楚背景

要理解这次攻击，Humphrey 认为必须先搞清楚 KelpDAO 的商业逻辑。

KelpDAO 是以太坊生态中的流动性质押协议（LRT），其核心产品是 rsETH。

简单说：用户把 ETH 存进来 → KelpDAO 通过 EigenLayer 进行再质押（Restaking）→ 用户获得额外收益 → 同时获得一张"收据"，即 rsETH 代币。rsETH 可以在 DeFi 中流通、抵押、借贷，流动性远胜于被锁定的质押 ETH。

事发前，KelpDAO 管理的 ETH LRT TVL 超过 $10.7 亿，是 EigenLayer 生态中规模第二大的参与者。

rsETH 总流通量约 63 万枚，部署在以太坊主网以及包括 Arbitrum、Base、Linea、Blast、Scroll、Mantle 在内的超过 20 条链上。

这种跨链部署，依赖的是 LayerZero 的 OFT（Omnichain Fungible Token）桥——正是这个桥，成为了攻击者的突破口。

二、攻击时间线：46 分钟内发生的一切

Humphrey 把整个事件还原如下：

🕐 攻击前数小时：Tornado Cash 洗钱预热

攻击者在正式出手前数小时，已通过 Tornado Cash 的 1-ETH 混币池，将资金分散注入多个攻击者钱包。这是链上黑客的标准前置操作——掩盖资金来源，让链上溯源更难。

Humphrey 注意到，这个操作本身说明：这是一次有预谋、有计划、精心准备的攻击，而非随机发现漏洞后的即兴行为。

🕔 17:35 UTC：关键一击
攻击者关联钱包向 LayerZero 的 EndpointV2 合约发起调用，触发的函数是 lzReceive。

LayerZero 的跨链消息机制是这样工作的：

当一条链上的用户或合约发出跨链指令，LayerZero 网络负责将这条消息"验证"后传递给目标链上的接收合约。接收合约调用 lzReceive 来处理消息，并执行相应动作。

攻击者所做的，是伪造了一条看似合法的跨链消息——欺骗 LayerZero 的消息验证层，让它相信这条指令来自另一条网络上的合法发送方。

这条伪造消息随即触发了 KelpDAO 的桥合约，指令它将储备金释放给攻击者。

结果：116,500 枚 rsETH，价值约 $292M，被转移至攻击者控制的地址。

🕔 17:35–18:21 UTC：第二阶段——Aave 借贷套现

盗走 rsETH 之后，攻击者没有直接跑路，而是开始了更聪明的第二步操作——把已经失去实际支撑的 rsETH 当作抵押品，存入 Aave V3、Compound V3 和 Euler，借出真实的 WETH。

这一操作的逻辑非常犀利：

1）rsETH 在被盗前是有价值的，Aave 等协议的预言机仍在按正常价格报价；

2）攻击者抢在协议反应之前，完成了"虚假资产 → 真实资产"的转换；

3）借出的 WETH 是真实可用的资产，而作为抵押品的 rsETH 已经是空壳。

PeckShield 监测显示，攻击者在 Aave V3、Compound V3 和 Euler 三个协议累计借出超过 $236M 的 WETH，随后迅速通过 Tornado Cash 清洗转移。

🕕 18:21 UTC：Kelp 紧急暂停，但已晚了 46 分钟

KelpDAO 的紧急暂停多签在 18:21 UTC 冻结了协议核心合约，距离最初的盗款发生，已过去 46 分钟。在此期间，两次追加的"第二波攻击尝试"（18:26 UTC 和 18:28 UTC，各试图再盗走约 $100M 的 40,000 rsETH）均因合约暂停而被 revert。

46 分钟，就是 Aave 坏账从零积累到约 $177M 的时间窗口。

需要特别说明的是：$292M 和 $177M 是两个不同层面的损失，并不重复计算。
- $292M 是攻击者从 KelpDAO 桥直接盗走的 rsETH 市值，属于 KelpDAO 协议层面的资产损失；

- $177M 是攻击者随后将这些无实际支撑的 rsETH 存入 Aave 进行抵押借贷后，给 Aave 协议留下的坏账规模。

前者是"盗了多少"，后者是"二次利用之后在 Aave 留下了多少烂账"——整个事件的总损害是两者叠加的结果。

🕘 20:10 UTC：KelpDAO 官方发声

KelpDAO 在 X 上发布声明："Today we identified suspicious cross-chain activity involving rsETH. We have paused rsETH contracts across mainnet and several L2s. We are working with LayerZero, Unichain, our auditors and top security experts on RCA."

措辞克制，信息极简，"root cause analysis（根因分析）"还在进行中。

三、Aave 的坏账危机：为什么这不只是 KelpDAO 的问题

Humphrey 认为，这次事件真正让整个 DeFi 社区紧张的，不是 KelpDAO 本身的损失，而是它传染到 Aave 的方式。
攻击者用无实际支撑的 rsETH 借走了 WETH，这些借贷头寸现在处于一个尴尬的状态：

抵押品（rsETH）已经失去支撑 → 没有人会来还款 → 无法通过正常清算机制回收 → Aave 的 WETH 池背负坏账

Solidity 开发者 & 审计员 0xQuit 在 X 上发出警告：Aave 的 WETH 池已实际受损，部分提款可能需要等到 Aave 的 Umbrella 安全模块介入才能处理。

Aave 的连锁反应：

AAVE 多签紧急冻结 Aave V3 和 V4 上的全部 rsETH 市场
WETH 利用率飙至 100%，触发大规模鲸鱼撤资。

Aave 创始人 Stani Kulechov 公开声明："Aave 合约本身没有被攻破，问题源自 rsETH。"

AAVE 代币在数小时内下跌 10%–13%

预估坏账规模：约 $177,000,000

四、20+ 条链上的 rsETH 持有者：谁是最脆弱的一环？

这次攻击还有一个容易被忽略的维度：L2 上的 rsETH 持有者现在面临什么？

KelpDAO 桥的设计是：

以太坊主网的 rsETH 储备，作为各 L2 上"wrapped rsETH"的实际支撑。被盗的 116,500 rsETH，恰恰是这个储备池的一部分。

这意味着：Arbitrum、Base、Scroll 等链上持有 wrapped rsETH 的用户，其代币现在对应的底层资产是否完整，存在高度不确定性。

更糟糕的是，一旦 L2 持有者开始恐慌性赎回，这种赎回压力会传导到主网，可能迫使 KelpDAO 不得不解除 EigenLayer 上的质押仓位来应对提款——而这个解锁过程本身需要时间，形成流动性缺口。

五、Humphrey 的四个核心判断

梳理完整个事件，Humphrey 认为有四个判断值得记住：

① 跨链桥是 DeFi 架构中最高风险的单点
LayerZero OFT 桥的消息验证层被成功欺骗，说明跨链消息的"合法性确认"机制存在根本性漏洞。

一个跨链桥的设计缺陷，可以直接清空整个多链生态的储备金。在 Layer0 层面的安全性没有被系统性验证之前，所有依赖跨链桥管理储备的协议都面临类似风险。

② DeFi 可组合性让攻击收益最大化
rsETH 同时被 Aave、Compound、Euler 等多个协议接受为抵押品，这原本是对用户友好的设计——一个代币，多处生息。但在攻击者眼中，这是一个完美的"变现通道"：用无价值的虚假资产，在多个协议同时套取真实资产。

Humphrey 认为，DeFi 乐高积木的风险，在于每一块积木都假设其他积木是稳固的——一旦有一块失效，整栋建筑的应力都会重新分配。

③ LRT 作为抵押品的风险参数需要全面重审
流动性质押代币（LRT）之所以被各大借贷协议接受为抵押品，有两个核心假设：
1）代币始终有实际底层资产支撑；

2）以及这种支撑关系可以被验证。

KelpDAO 事件打破了第一个假设——储备金可以被一次跨链攻击瞬间清空，而协议的抵押品价值认定完全没有追上这个速度。

这之后，所有接受 LRT 作为抵押品的协议，都将不得不重新审视他们的风险参数设计。

④ 46 分钟：自动化风控缺位的代价
从攻击发生到 KelpDAO 暂停合约，中间有 46 分钟的空窗期。在这 46 分钟里，坏账已经在 Aave 上成型，无法追回。依赖人工多签做紧急响应，在链上攻击的时间尺度下是远远不够的。

Humphrey 认为，DeFi 协议需要的不是更快的多签，而是链上自动化的风险隔离熔断机制——当某个资产的跨链储备异常波动时，自动暂停相关借贷市场，而非等待人工发现并反应。

六、这次事件的历史位置
2026 年是 DeFi 安全事件的异常密集年。Humphrey 近期亲自复盘过其中的几个重点案例，梳理如下：

① 4 月 1 日｜Drift Protocol（$285M）Solana 系的头部永续合约协议，在 12 分钟内被盗约 $285M。事后链上溯源将攻击归因于朝鲜关联黑客组织。攻击路径是针对管理员权限的定向突破，与 KelpDAO 的桥漏洞方向完全不同。

② 4 月初｜Rhea Finance。Humphrey 此前专门做过 Rhea Finance 攻击事件的分析。

这是一起典型的价格预言机操纵攻击——攻击者通过闪电贷操控特定代币价格，在预言机报价失真的瞬间完成高额借贷并提款，随后让价格回归，抵押品价值瞬间缩水留下坏账。Rhea Finance 的案例代表了一类在中小型借贷协议中高频复现的攻击模式，预言机的数据源设计和防闪电贷保护是关键防线。

③ 4 月 18 日｜KelpDAO（$292M）本次事件，跨链消息伪造路径，目前 2026 年最大 DeFi 被盗案。

④ 散布期间：CoW Swap、Zerion、Silo Finance 等十余起规模更小的攻击，方式不一，均在同一时间窗口内集中爆发。

Humphrey 认为，把这些案例并排来看，可以得出一个不舒服但重要的结论：
2026 年 DeFi 面对的攻击者，在技术层面的多样性和精准性都在快速提升——从管理员漏洞（Drift）到预言机操纵（Rhea）再到跨链消息伪造（KelpDAO），三条完全不同的攻击路径在同一个月内轮番登场。

这不是一两个黑客组织的机会主义行为，背后反映的是整个生态安全基础设施跟不上协议扩张速度的结构性问题。

资产安全永远是第一位的。

KelpDAO 事件还在进展中。根因分析（RCA）尚未公开，2.92亿 中能否追回任何资金尚不明朗——鉴于 Tornado Cash 已经被用于清洗资金，追回概率不乐观。

Humphrey 的建议很简单：

如果你持有 rsETH，无论是在主网还是 L2，目前是高度不确定的状态，建议密切关注 KelpDAO 官方公告，不要在信息不完整时做出非理性的恐慌性操作，但也不要假设风险会自动消散。

如果你在 Aave 有 WETH 敞口，关注 Umbrella 安全模块的后续进展，以及 Aave 治理对坏账处置方案的讨论。

DeFi 的底层逻辑没有变——代码是规则，规则可以被利用。我们能做的，是在每一次大事件之后，比之前更清楚地理解我们承担的风险是什么。

[OKX中文 @okxchinese]

OKX Agent Trade Kit「AI松」第二期 获奖名单来了！🏆

180 份投稿，双赛道并行评审；这一次开发者们把 Agent Trade Kit 的 83 个工具玩出了新花样—— 遗传进化算法、签名门控沙盒、多 Agent 作战指挥室、爆仓断尾求生引擎，一个比一个硬核。

获奖者公布如下⬇️
#OKXAI松 #AgentTradeKit

[Taichi for Health @StaminaFitnes]

The 5 bedtime leg moves that fix your waist and hips

[Gorden Sun @Gorden_Sun]

https://t.co/dWpFKcuLtF

[Brave2049 @Brave2049]

《如何在 MacOS 中利用 OrbStack 虚拟机一键部署 Moltbot》

新写了一篇MacOS上利用OrbStack安全运行Clawdbot/Moltbot的新手向文章，小白只需按步骤操作，就能一键部署Clawdbot。

OrbStack虚拟机方案一方面有助于和主机适当隔离，避免安全风险，同时也很方便后期的记忆管理。
https://t.co/CsnFlYNFeh

[𝙋𝙖𝙨𝙨𝙡𝙪𝙤 𝘼𝙄 @passluo]

笑死，原来一行命令就能在 macOS 下面开启 Gemini in Chrome

1️⃣ VPN 走美国节点

2️⃣ command + q 彻底关闭 Chrome

3️⃣ Terminal 里运行 open -n -a "Google Chrome" --args --variations-override-country=us

是的，高端的 hack 往往就是这么朴实无华 😅

[kAI @_kaichen]

从 Clawdbot/Moltbot 之父 steipete 在 GitHub 上 2025 年中开始的代码提交记录可以看到，他的所有开发都在为同一个目标服务：让 AI 真正能操控计算机（Mac）

打造 CLI 武器库

他批量开发各种命令行工具，每个工具做好一件事：
- bird 读写 Twitter/X
- gifgrep 搜索 GIF
- gogcli 访问 Google Workspace 全家桶
- summarize 把任何 URL、YouTube、播客变成摘要
这些都是给 Agent 准备的"手脚"。

他自己就是 Coding Agent 重度用户，所以顺手解决了自己的痛点：
- VibeTunnel：把浏览器变成终端，出门在外也能远程操控 Agent
- CodexBar：菜单栏实时显示 token 消耗——即便不差钱，也要清楚钱花在哪
- Poltergeist：通用热重载工具，任何语言的项目都能自动重建

连接物理世界
- 海外外卖平台有 API？那就写个 ordercli 查订单
- 家里有摄像头？camsnap 搞定 RTSP/ONVIF 协议，截图、录像、动作检测一条龙
- Sonos 音箱？sonoscli 实现发现、分组、队列、播放 Spotify
- 想用语音唤醒 Mac？Brabble 本地转录，像小爱同学一样下达指令

完全控制 macOS
- Peekaboo：不只截图，而是完整的 GUI 自动化，see、click、type、scroll、hotkey、menu，模拟人类的一切操作
- imsg：命令行收发 iMessage/SMS
- remindctl：操控 Apple Reminders

突破浏览器沙箱
他实现了 cookie 提取能力，让 Agent 能以用户身份直接调用任何网站的 API，绕过登录墙。

务实的技术选型
这些工具横跨多种语言：
- Go：网络相关 CLI（gogcli、sonoscli、camsnap、bird）编译快、跨平台、无依赖
- Swift：macOS 深度集成（Peekaboo、imsg、Brabble）系统 API 原生支持
- TypeScript：Agent 端逻辑（Clawdbot 主体、MCP server）生态丰富、AI 友好

没有技术洁癖，哪个顺手用哪个。

终极目标，这一切都在做同一件事：打破软件厂商几十年来建立的互操作壁垒。

过去，每个 App 都是信息孤岛。你的邮件在 Gmail，日历在 Calendar，消息在 iMessage，音乐在 Sonos，摄像头在另一个 App。它们之间没有桥梁。

steipete 用几十个 CLI 工具，把这些孤岛全部打通，然后通过 统一暴露给 AI 来操作。

AI 成为编排者，说一句话，它调用 gogcli 查日历、用 Peekaboo 截图分析、通过 imsg 发消息、让 sonoscli 播放音乐。

所有这些，一气呵成。这才是 Clawdbot/Moltbot 最大价值，一整套让 AI 能操控一切的基础设施。

[苏打白.Dev @sodawhite_dev]

Clawdbot (Moltbot) 折腾记录& 避坑指南 🧭

这两天我把 Clawdbot 装了两遍。 硬件从 Macbook 换到 Macmini，大模型从 GLM4.7 测到 MiniMax 2.1。主要是GLM4.7老是报红，需要等待。

心态也经历了一次过山车，从刚开始为了“祛魅”而跟风，到现在沉下心来把它当作新事物慢慢去探索。

💡 写在前面：

- 不想折腾？跳过也没事，你不会因此错过一个亿，也不用焦虑，把它当个新资讯听听就好。

- 手痒想试？请务必先看完下面的“安全风险”再动手。

以下是我看到的的高质量资源汇总（欢迎评论区补充共创）：

🧐 第一步：它到底是个啥？

1. @dotey 宝玉老师：深度解析，看完非常受触动。 https://t.co/SK3V5MOtzS

2. @binghe 冰河老师：文字版详解，概念扫盲必读。 https://t.co/HKqJBHRDRj

🛠️ 第二步：保姆级安装教程

1. 官方指引：@MiniMax_AI 官方教程，我第一次在 Macbook 安装就是看这个。 https://t.co/RdrWbshgEQ

2. 视频手把手：@lxfater 铁锤老师的完整入门视频，省去闲鱼几百块冤枉钱。 https://t.co/RSFGu8drc0

3. 避坑指南：@mike_chong_zh 迈克老师几十小时踩坑经验总结，含金量极高。 https://t.co/LXYzzNVFJI

4. VPS 玩法：@AppSaildotDEV教你不用 Macmini，在 VPS 上体验一条龙（含安全配置）。

5.VPS玩法：@vista8乔木老师推荐，@discountifu老师的教程。
https://t.co/XhLpcP8Tx0

6. 飞书接入：@akokoi1开源了接入飞书的方法，办公场景狂喜。 https://t.co/Rr6gNpDRlH

⚠️ 第三步：安全！安全！安全！(必看)裸奔必死，请勿在无防护情况下暴露端口！

1. 风险警告：@Khazix0918 卡兹克老师的教程附劝大家悠着点。 https://t.co/P86Kl7IOwr

2. 深度解析：@servasyy_ai 黄老师深度解析安全隐患。https://t.co/mj5z8PofOU

3. 安全提示：@op7418歸藏老师也反复提醒关于安全问题
https://t.co/qxM9e8bxVB

4. 漏洞实录：@fmdz387发现大量 VPS 暴露端口无认证，这是在送人头！ https://t.co/FTZ6VXMlHY

第四步：社区与替代方案

1. 中文社区：@yucheng YC老师建立了（官方认可的）最大中文社区，有问题进去问。 https://t.co/fqItjKLKZz

2. 平替体验：@YukerX老师演示了用 Claude Code 实现类似体验。 https://t.co/fzrGN2b3ER

最后，工具只是手段。 如果你发现了其他好内容，请贴在评论区，我们一起共创！

[冰河 @binghe]

https://t.co/Ix8eL9gusw

[selina_m (fo💯💯💯) @selinam75739703]

消炎药你选对了吗？

[宝玉 @dotey]

Every 的一篇博文，记录了他们内部 6 位工程师日常是怎么使用 AI 的，可以学习借鉴一下。这 6 个人都很厉害，撑起了 4 款 AI 产品、一个咨询业务，还有一个 10 万多读者的订阅每日更新。

第 1 位 —— 走在实验前沿：Yash Poojary, Sparkle 总经理

Yash 是 Sparkle 产品的负责人，他同时开两台电脑，一台跑 Claude Code，一台跑 Codex，然后给它们下达同一个任务，看它俩谁干得又快又好。

Yash 说，在五个月前，他得先把设计图（Figma）截图，再粘贴到 Claude 里，让它“看图写代码”。现在用上了 Figma MCP 集成，Claude 可以直接读取 Figma 的设计源文件——包括颜色、间距、组件这些。

Yash 不仅在用AI，他还在优化和AI的配合。比如，他把一天切成两半：
- 上午：专注执行。 这时候只用自己最熟的AI工具（Claude 和 Codex），绝不玩新东西，保证产出。
- 下午：自由探索。 这时候才开始测试各种新出的AI应用和功能。

他很清楚 AI 既是生产力工具，也是个“时间黑洞”。他用严格的时间管理，给自己建立了“防护栏”，防止自己沉迷于“调教AI”而忘了真正的工作。

第 2 位 —— 编排闭环：Kieran Klaassen, Cora 总经理

Kieran 负责 Cora 产品，他的风格是““谋定而后动””。

他的工作流核心就两个字：计划。

他会根据功能的大小，制定三种不同级别的编程计划。他会用一个叫 “Context 7 MCP” 的工具，先把最新的、最准确的官方文档和代码喂给AI，确保AI不是在“凭空想象”或用过时的知识来制定计划。

等Claude Code 交出一个完美的计划后，他再把计划发到 GitHub，然后在云端让 Coding Agent（主要是Claude Code）去执行这个计划。AI写完代码后，他会再启动一个““审查””命令，让AI自己先检查一遍，然后他再上手。

对 Kieran 来说，AI 不是一个“黑匣子”，而是一个必须在他制定的蓝图内严格执行的“施工队”

第 3 位 —— 化繁为简，拆解里程碑：Danny Aziz, Spiral 总经理

Danny 负责 Spiral 产品，他可能是这群人里最硬核的一位。

他的主战场不在花哨的图形界面，而是在一个叫 “Droid” 的命令行工具里。这个工具能让他同时调用 OpenAI 和 Anthropic 的模型。

他的工作流是：
1. 用 GPT-5 Codex 做大的任务：搭建复杂功能的框架。
2. 用 Claude 做小的任务：优化和打磨代码细节。

Danny 最有价值的一个做法是，他会在““规划阶段””花大量时间跟AI对话，让AI帮他推演一个决策可能带来的第二层、第三层后果”。

举个例子：“我要加这个新功能，但你帮我分析一下，它会不会因为从数据库拿数据的方式，导致整个App变慢？”

他用AI来辅助自己做更高维度的“架构思考”，而不仅仅是写几行代码。

> “我不再用 Cursor 了，”他说，“我已经好几个月没打开过它了。”取而代之的是，他的主界面是 Warp，可以在上面分割屏幕、快速切换任务。在它背后，他用 Zed ——一个轻量、快速的代码编辑器——来审阅计划文件和特定的代码片段。

第 4 位 —— 让流程成为唯一的“事实来源”：Naveen Naidu, Monologue 总经理

Naveen 负责 Monologue 产品，他是个“程控”。他的信条是：“如果一个任务没录入 Linear (项目管理工具)，那它就不存在。”

他把所有需求和Bug都先在 Linear 里归档，然后再启动AI。他也有两套流程：
- 小Bug：直接从 Linear 复制粘贴问题描述，扔进 Codex Cloud 让AI去跑。
- 大功能：在本地写一个详细的 https://t.co/1aLAUFxX5j (计划文档)，把它作为和AI沟通的“唯一事实蓝图”，在命令行里一步步推进。

最有意思的是，他深度使用自己开发的产品 Monologue (一个语音转文字工具) 来口述需求、写文档、给AI下指令。这简直是““用自己造的锤子，来修自己的房子””。

他还有一套严格的审查标准：AI 自动审查 -> 自己人工对比代码 -> 查看Sentry（错误监控工具）的日志，确保Bug真的被修复了。

第 5 位 —— 钻研打磨，精益求精：Andrey Galko, 工程主管

Andrey 是工程主管，他代表了另一种工程师：不爱折腾。

他不喜欢追逐“闪亮的新玩具”。他之前一直用 Cursor (一个AI代码编辑器)，觉得体验最好。但后来因为 Cursor 改了定价，他一周就把免费额度用完了，这才“被迫”换工具。

他换到了 Codex。他认为以前的 OpenAI 模型写的代码很“懒”，经常跳步骤，不如 Claude 好用。但现在的 GPT-5 Codex 已经进化得非常强，连以前 Claude 的强项——用户界面(UI)——都能搞定了。

第 6 位 —— 极致的专注：Nityesh Agarwal, Cora 工程师

Nityesh 是 Cora 的工程师，他的风格和第一位 Yash 截然相反。他追求极致的专注。他的装备极简（一台MacBook Air），他的工具也极简：只用 Claude Code。

但他用 Claude Code 的方式很特别：
1. 他会花好几个小时，先和 Claude 一起研究、制定一个巨详细的计划。
2. 一旦开始编码，他就待在一个终端窗口里，“像老鹰一样””盯着 Claude 输出的每一行代码，手指就悬在 Escape 键上，一旦发现不对，立刻中断它。

最近，他甚至故意频繁地打断AI，强迫AI向他解释“你为什么要这么写？”。

他承认，这样做效率变低了，但带来了两个巨大的好处：
1. AI 胡说八道（hallucinate）的次数变少了。
2. 他感觉自己的开发技能也在这个盘问 AI 的过程中变强了。

他意识到，自己已经对 Claude 产生了依赖，这让他很脆弱。前阵子 Claude 宕机了两天，他试了别的工具，都感觉不顺手。所以，他现在逼着自己和AI一起思考，而不是纯粹依赖AI。

---

看来每个人用 AI 的方式都不一样，但也有一些共同点：

1. 重点不在“写代码”，而在“做规划”

没有人真正的是在“Vibe Coding”，没有说写个提示词就完事了的，都是在 AI 干活前反复的讨论，直到清楚了再动手

2. 上下文很重要

Yash 用 Context 7 MCP 的工具，确保 AI 在写代码时，能自动去查阅最新、最官方的“技术文档”。这就避免了 AI 用过时的知识（比如一个老版本的函数）来写新代码。还会用 Figma MCP，读取 Figma 的原始设计数据，让 AI 可以直接拿到准确的颜色、间距等信息

3. 工程师的角色在进化

工程师已经不再是单纯写代码，还要做计划、写提示词、审查 AI 生成的代码

4. 专注

这个问题其实我也有感触，AI 让人更难专注了，在等 AI 结果的时候去做点其他事，很快就把任务忘记了；或者 AI 工具太多，每个新 AI 工具都去试试太费时间了。像 Yash 那样，一半时间专注交付，一半时间探索。

原文：Inside the AI Workflows of Every’s Six Engineers
https://t.co/xqTMIAxTVj

[西时珍🌎 @usd666666]

为什么煮饺子要加盐？

[币安Binance华语 @binancezh]

🎉 @TreehouseFi 理财Booster第三期活动今日上线！共价值60万美元TREE代币等你瓜分，快来参与～

第三期Booster活动时间：2025年10月22日 8:00 至 2025年12月6日 7:59 （东八区时间）

通过币安钱包在Simple Yield Treehouse wstETH质押池中质押wstETH，即可瓜分60万美金等值的TREE奖励！

立即查看⬇️https://t.co/Flf6NNL5N7

[Aksara @rajameru]

creative idea

[Blockphd区块博士.Ai｜买美股上币安 @blockphd7]

关注一下目前这5个预测市场

后续整理一下交互策略

[Sliipy⚡ @0xKaKa03]

大佬开源的Polymarket的AI Agent，输入一个polymarket市场的网址即可帮你检索资料/新闻/进行数学分析，最终给出建议，找出定价错误。Polymarket本身有挺多长尾市场是定价不充分的，所以这还是比较值得研究的一个方向，做的好可以省去很多人力调研成本：
https://t.co/ZOp0WJjf5W

[Orange AI @oran_ge]

Claude Code 已经取代了各种 AI 软件。
显示器快不够用了。
顺便给大家演示一下，我写的 Claude Code 极速启动器都有多爽。

[CM @chenmo]

$USDe 在 Binance Earn 即将上线12%收益，且无金额上限，且能作为交易保证金。这个收益已经超过链上市场的平均水平（在不套娃不杠杆的情况下）。

注：另外在明天23号有USDe/USDT的免手续费，可进一步降低磨损。这个属于一个收益促销活动，时间只有一个月。

[區塊先生 🐡 ⚠️ (rock #58) @mrblock]

你錯過 $HYPE ？ 你錯過 $ASTER

別錯過 @Lighter_xyz (交易量快跟上 H)
-> https://t.co/MKWHaSr07U

別錯過 @pacifica_fi (剛開)
-> https://t.co/I2OYduCM1H

別錯過 @edgeX_exchange (收益爆衝)
-> https://t.co/6DmAE5og8B