poplang
427 posts
poplang
@poplang3
天地与我共生，而万物与我归一｜python程序员🧑💻｜Crypto支持者但是看空比特币｜学习英语中…
Katılım Aralık 2018
23 Takip Edilen11 Takipçiler
为什么国内对虚拟货币这么谨慎？
很多人看着国外虚拟货币发展很活跃，玩得起飞，不理解国内为什么限制多。其实核心很简单：加密货币过于“自由”，超出了常规监管范围。
举个很直观的例子：
假如你在一线城市卖房拿到500万，想换成美元放到国外使用。
正规渠道下，每人每年购汇和汇款额度都只有5万美元，大额资金想合法出境几乎不可能。
借用他人额度、现金携带等方式也都有严格限制，合法路径基本被堵死。
但加密货币完全绕开这套体系：
换成稳定币存入钱包，靠一组助记词或一个U盘，就能把几百万资金“随身”带出国。
不用银行、不用申报、不走SWIFT，隐蔽性极强，比携带黄金更方便、更难管控。
这种绕开外汇管制的能力，对任何国家都是重大风险。
其次是税收问题：
链上交易匿名、无实名、无银行流水，现实收入与链上资产完全脱节，税务系统难以核查。
如果加密货币合法化并大规模流通，现有税收体系会面临巨大冲击。
归根结底，问题不在技术或价格波动，
而是加密货币天生去中心化、跨境、匿名，与国家监管逻辑完全相悖。
虚拟货币不是不能了解和研究，而是不能让它形成一套平行于法定货币的金融系统。
否则外汇管理、税收征管、资金安全都会全面失控，站在管理角度，严控是必然选择。
中文
我还是要说，
张雪峰能在全中国大火，根本原因是，中国绝大多数大学不支持转学、99%的大一学生也没有转专业的可能性，
所以大学填志愿这件事，约等于决定了人生的专业、城市、行业、命运等等，
中国绝大多数18岁的孩子，虽然题做得不行，但做题以外的事情更不行，对自己的能力和专业更是狗屁不懂，
孩子需要缓冲，需要试错，需要了解，才能知道自己喜欢的是什么。
当然，如果不知道也没关系，绝大多数普通人不配也不应该去追求梦想，记住党哥跟你说过的，中国只有三个好专业（排名必须分先后）：
1. 计算机大类（高考600分以上）
2. 电子大类（高考600分以下）
3. 临床医学
中文
差点中招
陈成@chenchengpro
今天发生了一件让所有 AI 开发者后背发凉的事。 litellm，那个统一调用各家大模型 API 的 Python 库，GitHub 4 万星，月下载 9500 万次——被投毒了。 一行 pip install，你的 SSH 密钥、AWS/GCP/Azure 凭证、K8s Secrets、数据库密码、加密货币钱包、所有 .env 里的 API Key，全部被 AES-256 加密打包，POST 到攻击者的仿冒域名 models.litellm.cloud。如果检测到 K8s 环境，还会在每个节点部署特权 Pod 横向扩散。 最恐怖的是触发方式。攻击者在包里塞了一个 34KB 的 litellm_init.pth 文件。Python 的 .pth 是路径配置文件，由 site 模块在解释器启动时自动处理——如果某行以 import 开头，直接执行。攻击者利用这个机制写了一行： import os, subprocess, sys; subprocess.Popen([sys.executable, "-c", "import base64; exec(base64.b64decode('...'))"], stdout=subprocess.DEVNULL, stderr=subprocess.DEVNULL) 不需要你 import litellm，不需要你调用任何函数。你跑 pip、跑 python -c、IDE 启动语言服务器，甚至 pytest 跑测试——只要 Python 解释器启动，恶意代码就执行。装上就中招，完全静默。 载荷是三层 base64 嵌套：第一层 .pth 启动子进程；第二层是编排器，内嵌攻击者的 4096 位 RSA 公钥；第三层是凭证收割器，系统性搜刮 /home、/opt、/srv、/var/www、/app、/data、/tmp 下所有敏感文件。收集完毕后用 openssl 生成随机 32 字节 AES 会话密钥加密数据，再用 RSA-OAEP 加密会话密钥，打包为 tpcp.tar.gz 外传。 收割器之外还有持久化后门：在 ~/.config/sysmon/sysmon.py 注册为 systemd 用户服务，每 50 分钟轮询 checkmarx.zone 获取新指令，下载到 /tmp/pglog 执行。启动有 5 分钟延迟来躲避沙箱分析。即使你卸载了 litellm，后门仍然存活。 而且 pip install --require-hashes 也拦不住——恶意文件正常列入 wheel 的 RECORD，哈希完全匹配，因为包本身就是用被盗的合法 PyPI 令牌发布的。 你可能从没手动装过 litellm，但 DSPy、MLflow、Open Interpreter 等 2000 多个包都把它当依赖。Mandiant 确认已有 1000+ SaaS 环境感染，预计扩展到 10,000。 而这次攻击差点完美得逞——唯一的破绽是攻击者自己代码有 bug。.pth 通过 subprocess.Popen 启动子进程，子进程初始化时 site 模块又扫描到同一个 .pth，再次触发，指数级递归形成 fork bomb，撑爆了一个 Cursor 用户的内存才被发现。Karpathy 说：如果攻击者代码写得再好一点，这件事可能几周都不会被发现。 更荒诞的是攻击链的起点：安全扫描工具 Trivy 在 3/19 先被攻陷，攻击组织 TeamPCP 用它窃取了 litellm 的 PyPI 发布令牌，3/24 直接往 PyPI 推送带毒版本。用来保护你的工具，变成了攻击你的入口。社区在 GitHub 提 issue 报告后，攻击者 102 秒内用 73 个被盗账号发了 88 条垃圾评论淹没讨论，然后用被盗的维护者账号关闭了 issue。 自查脚本（覆盖版本检查、.pth 搜索、后门检测、可疑连接、K8s 扫描）： gist.github.com/sorrycc/30a765… 安全版本：litellm==1.82.6。装了 1.82.7 或 1.82.8 的，假设所有凭证已泄露，立即轮换。
日本語
最近中国の方かな？のフォロワーさんがちょこちょこ増えてきて、返信とかもして下さるんだけど、たまにガバガバ翻訳機能で「ん？えーと？」ってなって、中国語分かればなぁなんて思う時がふとある。本当に申し訳ないと思いながらいいねだけ押す自分が情けない
日本語
@GlobalMoney 这是他认识上的局限性的原因，并不代表就是真理。
黄金、比特币，甚至其它的是具有类货币作用的，是价值锚定物，越不是生产型资产，越具有储藏性和流通性，也同时更具有货币性，生产型资金流通性都偏低，不适合作为“货币”使用。
中文
巴菲特认为，黄金和比特币都不是生产型资产，都没有价值。巴菲特曾表示，即使以25美元/枚的价格，将2100万枚比特币，都卖给他，他也不会买。巴菲特在2022年伯克希尔·哈撒韦股东大会上，发表了这段非常出名的言论。他解释说，如果现场有人拥有美国所有的农田，并提出以250亿美元的价格卖给他1%的股份，他会当场掏出支票，因为农田能生产粮食。
中文
已经开始实战亏钱了，其实这玩意要AI没啥用，核心是你的想法和策略，ai的作用是替你严格执行，换句话说，普通的定时脚本就够用了，也用不到AI🥲🥲🥲
Aliez Ren@aliez_ren
看到不少用 AI 做“量化”的，整一个小团队分析来分析去的，太有意思了，真热闹，像过家家一样。
中文
转发团队回复如下：
针对该笔交易，我们排查结论如下：
用户本次兑换路径为 DOGESHIT → USDT，询价数量约为 3500+ USDT 等值。
用户在页面看到的报价为 1838.43 USDT（滑点 0.015），最终链上实际成交为 1915.03 USDT。
从链上执行情况来看，该交易未发生夹子（MEV）攻击，相反，用户实际获得的金额比报价多约 70 USDT。
关于“为何 3500U 最终仅兑换约 1900U”的原因说明：
1.用户手动限制了流动性来源
在报价请求中，用户排除了约 45 个协议，仅保留 Uniswap V4，导致可用路径严重受限，价格显著偏离市场最优。
2.系统已明确提示高价格影响（Price Impact）
页面展示报价为 1838.43 USDT，并已提示“兑换前后美金价值差异过大（Price Impact）”。
3.用户在提示风险后仍选择执行交易
最终链上成交为 1915.03 USDT，已优于页面报价结果。
对比说明：
•若用户未手动筛选协议（默认全协议）OKX 会自动选择最优路径，价格更优
•若仅选择 Uniswap V4, 路径受限，价格显著下降
结论：
该问题并非系统异常或被攻击，而是由于用户主动限制流动性来源，导致报价偏低。系统已充分提示风险，且最终成交结果优于报价。
人生几何@china666zj
21号我用OKX钱包uinswap的v4池子卖了一笔时机显示到账3554.92＄我只收到了1915＄，这中间的差了太多了希望能帮助我 0x098d19501ea3cad551b664cf0b295ba383523465 @star_okx @wallet @Cryptosis9_OKX @OKX_Yuki @mia_okx @okx
中文