

Mona
222 posts




Today, we're announcing MetaMask USD ($mUSD) - MetaMask's native stablecoin. 🦊 MetaMask is the first self custodial wallet to launch a stablecoin, and we have big plans for it. 🧵👇


两张图搞懂什么是期权(白话版) 段永平抄底英伟达引发全网期权学习热潮。 上个月老段3月19号他晒出了自己的操作,用92元的成本,买入了大量英伟达股票, 但这引起了很多兄弟不解,当时英伟达股价明明是116元,他是怎么做到的? 今天我便来给兄弟做一回期权的硬核科普! 🔺首先段永平在买入英伟达正股的同时,也卖出了它的看涨期权, 他买正股花了1160万美元,但同时卖英伟达的看涨期权,又给他带来了240万美元的收入, 所以这么算下来,他总共的投资成本就只有920万美金了,持股成本这才大幅度下降, 那问题来了,买入正股又卖出看涨期权,到底是个什么骚操作。 🔺先何为看涨期权? 比如老段卖出的期权,实际上就是卖给别人一个未来一年可以从他手里以120股价买走英伟达的权利, 1000份期权(10万股),单价2400美金,所以老段能收到240万美金的权利金, 但老段也必须履行他的义务,如果后续英伟达涨到120以上,也和他没关系了。 那这种买股+卖期权的方式,和直接买正股有什么区别呢? 🔺我们假设四种情景, 1、第一种情形,一年后行权日到了,结果英伟达股价没有任何波动,还是116,虽然直接买股票没赚钱,但是老段却赚走了240万美金的权利金, 回报率=240万/920万=26%; 2、第二种情形,行权日到了,英伟达股权上涨到250元,因为120以上部分的收益和他无关,收入是小部分股票收益和权利金的收益: 【(120-116)*10万+240万】/920万=30% 直接持股都翻倍了,这样降低了上限! 3、第三种情形,行权日到了,英伟达股价下跌到92元, 持有股票亏损了(116-92)×10万股=240万,但因为收取了240万期权金,所以最终收入相抵,为0元,刚好达到盈亏平衡线, 直接持股已经亏20%以上了,它还没亏钱! 4、第四种情形,行权日到了,英伟达股价下跌到82元,股权亏损了(116-82)×10万股=340万, 抵消掉收取的240万期权金,所以最终收入为(340-240)/920=-11% 相比直接持有正股的血亏30%,要好多了! 有没有发现,老段这个策略放弃了上限,如果英伟达大涨,就不如直接持有正股了, 而这个平衡点,刚好就是正股上涨30%的时候, 也就是如果你预期股价未来一年涨幅30%以内时,其实收益都是不如持有正股+卖出看涨期权的。 但好处在于,这个策略它一开始就给段永平提供了一个20%的安全垫,可以看到即便正股跌了20%,但这个策略还是能保本, 正股亏损30%,但这个策略亏损也只有11%, 显然,只要股价相对平稳,不突发暴涨,【买入正股+卖出看涨期权】投资体感都是比直接持有正股更好的, -------------- 最后总结一下: 段永平之所以这么操作,主要是大资金更追求确定性,不需要暴利,所以愿意牺牲上限,图个安稳。 当然,他也可能认为英伟达短期翻倍的可能性不大了(否则持有正股显然会更合适),但公司基本面又比较看好,于是做了这么一波结构性交易。 大概就说到这,如果我们有自己看好的股票,但担心回调风险,没有把握的话,也可以用类似持有正股+卖出看涨期权的策略, ps:买入正股+卖出看涨期权,在英文金融术语中称为:Covered Call 后面我还为兄弟整理一些列关于期权交易的科普和策略,关注@DTDT666 打开小铃铛!




Radiant Capital 被盗全网最细复盘 ——朝鲜黑客如何用 1 个 PDF 攻破 Mac 并盗了几个亿 此次攻击的复杂性和周密度,超乎了绝大多数人的想象。 朝鲜黑客显然已经进入了 Next-level。 将军的恩情,他们或许真的可以还完。 ▷ ▷ 前言 今年 10 月 16 日,Radiant Capital,*一个基于LayerZero 的去中心化跨链借贷协议,*遭遇黑客攻击。 授权项目合约的资金尽数被盗,损失约 5000 万美元,一时间人心惶惶。 在之前,知名开发者 banteg 就 Radiant Capital 被盗一事评论表示:「这种程度的攻击确实很可怕。据我所知,受到感染的签名地址已经遵循了最佳操作规范。他们还使用了不同组合的操作系统和软、硬件钱包,并模拟了每笔交易。」 终于,项目官方聘请 Mandiant 在内的多家安全公司,在最近完成调查,发布了10月份被盗事件的完整报告(https://medium[.]com/@RadiantCapital/radiant-capital-incident-update-e56d8c23829e)。 报告中高度确信,此次攻击与朝鲜有关。 ▷ ▷ 攻击全流程复盘 第一步:伪装 2024 年 9 月 11 日,Radiant Capital 的一名开发者收到了一条 Telegram 消息,发送者是伪装成的一位「Contractor」(这里应当理解为一位为该公司工作过的外包人员,以下称为外包同事)。 消息内容显得很自然:「我现在开始从事智能合约审计的新工作,想请你帮忙看看我的项目报告。」 这位「前外包同事」还贴心地附上了一份压缩文件,声称里面有详细的分析报告,希望开发者提出意见。 这类请求在币圈远程工作中非常常见,互相分享 PDF 文档几乎是日常操作。更巧妙的是,黑客使用了一个非常接近真实域名的假冒网站,看起来就像这位「前外包同事」真实的个人主页。所有这些细节让这位团队成员一时间没有察觉到这是一个骗局。 第二步:下毒 当开发者下载并解压压缩文件时,表面上看到图标名字,似乎是一个正常的 PDF 文件。 打开这个文件,会展示一份看似完全正常的 PDF 文档,内容「专业且详尽」。 但实际上,这个文件是一个 *.app 的可执行恶意软件,名字叫 INLETDRIFT。一旦运行,INLETDRIFT 立刻悄悄在 macOS 系统中安装了一个后门,并和朝鲜黑客服务器(“atokyonews[.]com”)不断通信。 假如这个时候及时发现,采取杀毒措施、更换安全权限,可能还来得及。 结果蛋疼的是,该团队成员在与其他开发人员征求反馈时,还把文件发给了其他人,最终传播了恶意软件,促成了后续入侵。 第三步:精准攻击 植入木马之后,黑客针对他们团队量身定制了攻击方式——「狸猫换太子」。 黑客在网页前端成功截获了他们在操作 Gnosis Safe (@safe)多签钱包时的交易数据。这些数据在开发者的交互的网页上显示为「正常的多签交易」,看起来完全没有异常。 然而,传输到在 Ledger 硬件钱包请求签名时,攻击者利用木马替换了交易请求的内容。而且,Ledger 硬件钱包中签名 Safe 多签交易时,是盲签,团队成员无法察觉交易背后隐藏着恶意意图。于是,他们的硬件钱包最终签署了 transferOwnership(),将借贷池的控制权交给了攻击者。 随后,便是黑客利用合约权限,大规模地转移了用户们授权合约的资金。 如此精心的中间人替换攻击,加上精准踩到盲点。即便 Radiant Capital 成员采取了包括硬件钱包、交易模拟工具(如 Tenderly)以及行业标准的操作流程来检查交易,仍然未能发现异常。 当然,这也不难理解。既然中了木马,这台电脑设备已经完全在黑客的控制之下了。 真的令人唏嘘。 第四步:撤退 在成功实施盗窃后,黑客几乎立刻展开“清理工作”。仅仅 3 分钟 之内,他们移除了系统中的后门和浏览器扩展,尽可能清除了所有会暴露他们身份的痕迹。 ▷ ▷ 启示 此次攻击对整个 DeFi 行业提出了严峻警告。即使 Radiant Capital 在事件发生前已采用硬件钱包、前端交易验证和模拟工具等多种措施,仍未能避免损失。这暴露了以下问题: (1)不要温和地点开那个文件 从今天开始,让我们对合作过程中「下载文件」的行为说不。 在日常协作中,尽量避免下载和打开陌生来源的文件,尤其是压缩包和可执行文件。建议团队统一采用在线文档工具(如 Google Docs、Notion 等),直接在浏览器中查看和编辑内容,从根本上减少恶意软件通过文件传播的风险。 例如,OneKey 的招聘表单(https://gr4yl99ujhl.typeform[.]com/to/XhZ4wVcn?utm_source=official),就严格规定了,我们只接受Google Docs的链接(以docs[.]google[.]com开头)。我们不会打开任何其他链接,包括应聘者的简历文件或过往作品网站。 Radiant 团队对木马钓鱼的防范意识显然还不够。有敏感权限的成员必须提高设备安全性,防范木马安装杀毒软件。加强团队协作时的文件管理规范,可以有效避免成为社交工程攻击的目标。 (2)前端安全形势严峻 当前大多数交易验证依赖于前端接口,但黑客可以轻松伪造正常的交易信息,让用户在毫不知情的情况下签署恶意交易。前端依赖包的供应链攻击也是屡见不鲜,参考「Solana 官方 web3.js 库被攻击的生死 5 小时」(x.com/OneKeyCN/statu…)。 (3)盲签机制的风险 很多硬件钱包只显示简单的交易摘要,无法有效展示交易数据的完整性,使得用户难以识别恶意内容。现在 OneKey 已经在 Permit 的盲签上取得重大进展,更多的重要签名包括这里的 Safe 多签也在进展中。 (4)Defi 资产风控机制还能加强 呼吁各位掌控大资金的项目方,为资金相关的协议设置 时间锁(Timelock) 和完善的治理流程,可以有效减少类似攻击的风险。 通过设定 T+1 等延迟机制,大额资金转移需经过一定时间,这为安全机构和白帽黑客提供了检测异常、触发警报和采取措施的窗口期。同时,用户也可以在延迟期间撤销授权,确保资产安全。相比于「一觉醒来直接被偷家」,时间锁能大幅提升安全性,给项目方和用户争取宝贵的反应时间。 当然,Radiant 这边的合约升级权限没有 Revoke,黑客是通过升级合约改变代码实现盗窃的,这个就是项目方的问题了。 ———— 以上,望周知。请转发点赞,为链上安全贡献力量。👍 OneKey 安全实验室,写于上海。


20年那个defi夏天。 9月,我知道怎么用链上钱包,不懂什么叫lp,每天学习。 10月,入场后亏到全仓腰斩。 11月,链上100倍,全仓10倍。 现在 meme 币已经成为必然趋势。 我想知道,有多少人还跟当年的我一样,还没入门,但想学习。 如果你有这个需求,点赞告诉我。 人多的话,我会写详细教学。






今天的行业发生了以下几个肉眼可见的变化: (1)套利、撸毛的人大大增加 以前大家只能在二级接盘各自持币炒作,而现在应该有1/5的用户已经转变为通过半一级市场的套利跟撸毛进行拿币。这群人有个特点,对二级市场买币是比较排斥的,可以撸,可以打(铭文),可以捐(meme),可以质押,但就是不买。这个比例对应增加的话,等于二级市场少了很多买币的人,而多了很多低成本要卸货的人 (2)热点分散 Restake、铭文、nft、solana生态、模块化、二层网络。这次牛市没有一个热点是全民参与的,跟以前非常不一样,资金跟用户完全没有合力起来,各玩各的,散漫无序。产生这个的原因,首先是行业发展问题,行业变得又大又广,一个人想要玩遍、玩透全行业基本不可能的了;第二是全行业缺少真正能再次引起想象力的变革产品,更多的只是一个改进型牛市(在以前出现过的创新上进行微创新) (3)太多项目的市值被提早透支 现在大家对什么项目是好,什么项目是吹牛都非常有自己的判断力,很难买到又好又便宜的东西。例如以太的2条二层网络op跟arb,这2个简直出道即巅峰,现在的价格跟1-2年前刚上线时基本差不多,甚至arb还低于上线时的价格了。好东西不便宜,好东西跟能赚钱变成了两码事 (4)资金没有流入币圈 过往投资行业的机构都是懂行人,他们除了了解btc也了解以太坊,除了了解以太坊也会去积极投资各种创新币。但这次不同,ETF之后,投资btc的资金不是直接在链上打转,而是留在了千里之外的其他市场,这些钱只在btc上面打转,对创新币,对btc外的投资基本没兴趣。这样说的:上两轮进来的机构都是懂行业的,都是拿钱进来投资行业的,而这一轮新进的很多机构,只对btc感兴趣(作为对冲配置)。所以以太坊今年能不能顺利通过ETF其实是挺重要的,决定了它能不能拥有大量新进资金对它进行投资,如果没有ETF,靠场内现有的这些机构,要暴力推动以太坊的市值跟单价,还真的没那么容易 (5)竞争极度加剧 竞争加剧的表现在2方面,一个是新晋对手的数量特别多,二是新晋对手的实力非常强。23年链上衍生品跟restake刚有苗头,一大堆对手就蜂拥而上。今年出现了很多逆以往经验的情况:赛道在变大,但是早期有优势的选手份额却在萎缩,这种情况可以说的每个赛道都同时出现了,不单单只是衍生品。这种变化带来的结果就是:买了老大拿住老大,却不一定价格会顺利大幅上涨了,因为市场份额跟想象力并没有跟着上涨,甚至有可能在一些新晋对手的步步紧逼下,地位变得摇摇欲坠 行业的这个变化,比我自己预计的快了一个周期,我原本以为要这个周期过完,才会真正到来,没想到我们此时却已经身处这个时刻了。 仰望星空,也要脚踏实地;心怀梦想,却也要尊重现实。 在这样一个新的发展周期(红利期向稳定发展期过渡),需要考验各自的智慧。处理得好、调整得好,则可以把红利期的财富顺溜着持续增长下去(但会变得缓慢一些);处理不好,还是一直在用老逻辑处理未来的投资、投机,则可能逐步回吐利润,做一场经历多年的财富白日梦。 我给自己这次牛市做的调整是:半年后,要尽量放低点预期 同时加大减仓比例



