WaterRecreation

Ain't know nothing
◇ ||| Tmr is today. Today is now. Now is... ||| ◇

[Hickerzed @Hicker_Moledao]

Codex 史诗级大 BUG

高强度使用 Codex 的宝子们注意一下，你的磁盘可能正在遭受核打击

Codex 当前在流式任务和长时间运行时，会以极高频率往 ~/.codex/logs_2.sqlite 狂写 TRACE 日，这样的强度可以直接把消费级 SSD 直接写废

我自己也中招了，中招了的小伙伴自己输入这段提示词诊断一下吧先

提示词：帮我检测 ~/.codex/logs_2.sqlite 是否因 TRACE 日志持续高频写盘？

如果真的中招了，再输入这个提示词赶紧止损吧

提示词：中招了就直接先备份，再用 SQLite trigger 拦截 logs 表, 并 checkpoint/truncate WAL,最后采样确认 MAX(id) 和 WAL 不再增长

[Crypto喜悦 @xiyue0803]

$NEAR 的隐私交易层 Confidential Intents TVL 突破 2600 万美元，近半数主站交易量已经走隐私通道。隐私功能从噱头变成真实使用场景，对 $NEAR 是链上活跃度层面的实质利好，不是单纯概念炒作。

[WaterRecreation @waterrecreation]

@yourQuantGuy 看页面是不是在lighter啊🕯️

[WaterRecreation @waterrecreation]

@zkgoudan @0xBeyondLee 想起来古早的积分了

[WaterRecreation @waterrecreation]

到处*

[WaterRecreation @waterrecreation]

支持一下啊 我导出推mole

[Tw93 @HiTw93]

@QT9277 你好 我是 Mole 的作者，Mole cli 的确是 MIT 开源的，大家可以基于他做任何东西，但是你这个对外宣传是付费版本 mole mac 的免费替代，而且 ui 交互抄袭太多了，挺寒心，可能以后我可能会把 cli 版本闭源，我提了一个 issue，辛苦看看 https://t.co/J2twujFkX7

[WaterRecreation @waterrecreation]

@HiTw93 @QT9277 mole真的很好用啊 天天用

[WaterRecreation @waterrecreation]

@GoPlusZH @syscoin 现在每天的incidents太多 我有一种看不过来的感觉

[WaterRecreation @waterrecreation]

@ProjectVEXai whats cooking 0.0

[Abdul @0x_Abdul]

whoever used david as exit liquidity should be absolutely ashamed of themselves

[WaterRecreation @waterrecreation]

冷幽默

[Alex @alex_hunter20]

JUST IN: @coingecko just updated the $ZEC max supply on their website.

[WaterRecreation @waterrecreation]

报告说 Opus 4.8 对自己找到的是不是真漏洞极度怀疑
4.8被骂的都不自信了 唉

[Adam Shao @AdamShao]

Zcash 被发现一个存在四年可被无限增发的 Bug，代币直接暴跌 30%。这件事更可怕的是，这个 bug 是研究员使用 Opus 4.8 自动化审计、自主发现的。

作者有一套叫 zcash-full-stack-auditor 的 agent 框架。5 月 28 日（也就是 Opus 4.8 发布当天）他启动了对 halo2（Zcash 的零知识证明库）实现的自动化审计，范围涵盖 Orchard 电路。框架先跑一个"初始化阶段"，把相关代码位置、规范条款、安全属性、失败模式全部枚举出来。

5 月 29 日下午约 2 点，初始化完成后他启动了"审计阶段"——框架给清单里每一项分配相应类型的审计 agent，这次跑的就是 Opus 4.8，调成了 max effort。

当天约下午 6 点，一个审计 agent 报出了 Orchard 电路里的一个严重漏洞，声称可以双花（double-spend）Orchard 笔记。作者当晚晚些时候才注意到这条发现，随后逐步验证、上报、做 PoC：

1. 他先让 Claude 针对一个类似"多样化地址完整性"（diversified address integrity）的简化电路写了第一个 PoC，确认漏洞大概率为真，当晚 11:53 通过 Signal 上报给 Daira Emma Hopwood 和 Kris Nuttycombe。

2. 再让 Claude 针对真实 Orchard 电路写第二个 PoC，演示了"对同一笔记揭示多个不同 nullifier"从而双花，周六凌晨 2:06 交付，并建议紧急停用 Orchard。

3. 最后开发了一个 RPC 测试，把一笔 Orchard 笔记的价值不断翻倍，直到 regtest 钱包余额超过 1000 万 ZEC，证明增发攻击确实可被利用（regtest 用的是和主网完全相同的规则和零知识证明验证，交易没有广播到测试网或主网）。

值得注意的是关于"可发现性"的部分：作者之前用同一套框架但跑的是 Opus 4.7 xhigh，并没有找到这个 bug；后来确认 4.7 只有在被非常具体地指引时才找得到。即便是 4.8，用比较泛化的提示时也只在 4 次测试里命中 1 次。一个可能的差异是这次他把 halo2 book 喂进了初始化阶段（以往只喂协议规范和 ZIP）。漏洞自 Orchard 上线起就存在了 4 年多，且上线前做过深入的人工审计都没发现——说明它对人类相当难找。

Opus 4.8 扮演了什么角色

它基本上是整条链路的核心，从发现到验证都深度参与：

自主发现：在 max effort 下运行的审计 agent 自己定位到了这个严重漏洞，这是整个事件的起点。

独立推导数学：漏洞在于电路对标量乘法的基点 base 没有施加约束，攻击者可以任意选取这个 base。给定目标的 pk_d、g_d、ivk，需要反推出 base 应该设成什么值才能让 [ivk]g_d 等于 pk_d。报告里明确写道这步代数完全是 Opus 4.8 自己算出来的，作者没给任何提示，并说自己没有 AI 的话会花很长时间。

写 PoC 和 RPC 测试：两个 PoC 和最终那个增发测试都是 Claude 写的。开发 RPC 测试约花了 6 小时，期间 Opus 4.8 几乎不太需要人工指导，作者只给了两点提示（如何处理 action bundle 被重排序、以及 prover 生成证明时的多次 pass）。

辅助分析与缓解：作者还让 Claude 对漏洞曝光窗口内的链上交易做了统计分析，查是否有被实际利用的迹象（结论不确定，因为屏蔽交易本身方差就高）；长期缓解建议里也用 AI 跑了一遍"能否把某个 assign_advice 的值改成别的而不违反任何约束"的检查。

一个有意思的行为细节：报告说 Opus 4.8 对自己找到的是不是真漏洞极度怀疑——它倾向于认为上游代码经过审计所以应该是对的，或者觉得自己看的是被人故意植入后门的版本，需要作者"推一把"才肯认真对待这个发现。

[WaterRecreation @waterrecreation]

我真的好担心 所有的dapp一个都跑不掉 🥲

[撸毛小狗 @LumaoDoggie]

Zcash 漏洞的事情足够带崩整个大盘了。
因为一个市值排名14的代币能有无限增发的漏洞，过了四五年没有被揭露，最后被AI发现。

正常人第一反应就是，其他代币会有类似问题吗？ 如果有更先进的AI出来了发现更多漏洞呢？

在传统金融行业工作过的人都会意识到，各种金融基金几乎是不可能碰这种这么高风险并且同时又几乎无监管的行业的，至少不可能因为多那几个点，十几个点年华的收益去。

[Anthropic @AnthropicAI]

Our internal data shows Claude is accelerating AI development—a possible path to recursive self-improvement, or AI autonomously building a more capable successor.

It’s happening faster than we thought, and the implications deserve greater attention. https://t.co/OVVPJO7VQx

[WaterRecreation @waterrecreation]

@starzq day1global啥时候弄个btc梦男梦女群吧就是说

[TechFlow 深潮｜APP 已上线 @TechFlowPost]

Zcash 被发现了一个存在四年的漏洞，攻击者可以凭空生成任意数量的 zcash:native ，并且能通过网络的所有验证，系统会把这些伪造的代币当成合法交易接受，事后也无法分辨哪些是真实的、哪些是伪造的。受此影响， zcash:native 24 小时跌超 25%。

今晨，Zcash 创始人 Zooko Wilcox 公开了事情经过。

Zcash 有一个叫 Orchard 的隐私池，所有通过它转账的交易都是加密的，外人看不到谁转了多少给谁。这个隐私池在 2022 年 5 月上线，一直被认为是安全的。

5 月 29 日，安全研究员 Taylor Hornby 用 Anthropic 刚发布一天的 AI 模型 Opus 4.8 做代码审计时，发现了一个严重漏洞：Orchard 的加密验证系统有一个缺口，攻击者可以伪造交易，让系统以为这笔交易是合法的。利用这个缺口，攻击者可以在 Orchard 里无限制地生成假的 zcash:native，并且由于隐私保护机制，这些假币完全无法被检测到。

如果有人悄悄给自己的钱包里加任意数量的 zcash:native，整个网络都不会发现。

Hornby 当天就通知了 Zcash 开发团队。团队在五天内完成了紧急修复：6 月 2 日先临时关闭了 Orchard 的所有交易功能，6 月 3 日通过一次网络升级修复了漏洞并重新启用 Orchard。

那在过去四年里，是否已经有人利用过这个漏洞？

答案是：不知道，而且从技术上无法证明。

正是因为 Orchard 的隐私设计，所有交易都是加密的，没有办法回溯检查是否有人曾经伪造过 zcash:native。Zcash 基金会表示，协议内置的资金计量系统没有检测到异常，Shielded Labs 也认为被利用的可能性较低。

为了彻底解决这个疑问，Shielded Labs 正在推进一项网络升级提案：建一个全新的隐私池，对 Orchard 里所有的代币做一次「清点」，让任何人都能验证 zcash:native 的总供应量有没有被篡改过。详细方案下周公布。

这不是 Zcash 第一次出这种事。2018 年，更早的 Sprout 隐私池也被发现存在类似的无限增发漏洞，同样是多年未被发现，同样无法确认是否被利用过。

[vitalik.eth @VitalikButerin]

Building index-tracking assets on top of options instead of debt

https://t.co/gFNEvCbHct

What if the use options as the base of defi, instead of CDPs and liquidations? So instead of extreme price movements creating a sharp and global "you get liquidated" effect, instead your exposure to the index diverges quadratically from your preferred exposure in a smoother way?

A key benefit is getting rid of the need for instant oracles, and instead making everything work on top of "slow oracles" (ie. the type that prediction markets use)

This design has a significant downside - the need to do regular rebalancing - and an open question of whether and how this rebalancing can be made slippage-resistant enough. But it's worth considering and trying IMO. I would feel much safer holding algostables inside something like this, than in something that depends on an oracle that has to give real-time answers (and therefore could be tricked into giving wrong real-time answers with no time for human recourse).

[WaterRecreation @waterrecreation]

@tmel0211 这个才是真的格局发言吧
不是说多给社区发点空投的那种格局

[WaterRecreation @waterrecreation]

这两天观察到的现象：
1/ codex好慢 claude蛮快
2/ gpt不少被查手机号 claude封号没怎么听说

4.8一出反而gpt崛起了

[WaterRecreation @waterrecreation]

@EvanCrypto17 @kingjefn dm啦