Как сэндвич-бота Jared развели на ~$14M

Если ты в этом пространстве достаточно давно, тебя наверняка хоть раз зажимал в тиски jaredfromsubway.

Без сомнений, ты о нём слышал.

Сегодня его обыграли на его же поле - примерно на $14M.

Jared - это сэндвич-бот (бот, который "зажимает" чужую сделку своими сделками с двух сторон, зарабатывая на сдвиге цены), и лучший в своём деле.

Большинство таких ботов настроены следить за конкретными пулами или токенами, но Jared сидит почти везде. Какой бы ни был токен и сколько бы ни было промежуточных переходов (хопов - переходов через несколько пулов в одной сделке) - если есть возможность заработать, Jared будет там.

На базовом уровне сэндвич-боты работают так: они фронтранят чужой своп (фронтран - ставят свою сделку прямо перед чужой, в том же направлении), а потом бэкранят его (бэкран - сделка сразу после чужой), сбрасывая токены, купленные на фронтране.

Атакующий вывернул эту механику против самого бота.

Он задеплоил больше сотни фейковых пар в стиле Uniswap V2 и фейковых ERC20-токенов

Пары прикидывались обычными Uniswap-парами - но на деле вся ликвидность сидела в фейковых токенах-обёртках, которые контролировал сам атакующий.

Маршруты были собраны так, чтобы после каждого "свопа" бот Jared получал маленькую прибыль в настоящих токенах - это подманивало его автоматическую с

истему поиска прибыли. Атакующий слал собственные фейковые свопы, и бот Jared послушно бэкранил эти подставные изменения состояния пула.

Чтобы исполнить каждый такой "фейковый арбитраж" (арбитраж - заработок на разнице цен), боту Jared приходилось одобрять (approve - выдавать контракту разрешение тратить твои токены) реальные активы - WETH, USDC или USDT.

Эти одобрения копились по десяткам фейковых токенов, и бот их не отзывал - скорее всего, принимал за обычные контракты Uniswap-пар.

В итоге у атакующего осталось 50 живых разрешений (allowances - выданное право списывать токены) на контракт Jared: 16 на WETH, 20 на USDC и 14 на USDT.

Примерно через 18 минут атакующий пустил эти разрешения в ход и слил:
- 4,759 WETH
- 3.58M USDC
- 2.53M USDT

Чисто сыграно.

https://x.com/0xquit/status/2068503394839634268

Будет ли топом финансовых рынков IPO трех гигантов SpaceX, Anthropic и OpenAI

Есть мнение, что крах dot-com пузыря был из за большого количества IPO, которое оттягивало значительный объем средств, отсюда гипотеза, что IPO трех гигантов AI в 2026м году приведет к краху американского фондового рынка.

Попробуем сравнить и привести аргументы и контраргументы:

5 крупнейших IPO эпохи dot-com сопровождались ростом Nasdaq с 500 до 4750 пунктов с марта 1995 по март 2000 года.

Сколько денег они привлекли:

Netscape - авг 1995 - $140 млн
Yahoo - апр 1996 - $33.8 млн
Amazon - май 1997 - $54 млн
eBay - сент 1998 - $63 млн
TheGlobe.com - нояб 1998 - $27.9 млн

По данным Всемирного банка капитализация всего фондового рынка США за тот период:

• 1995: ~$6.86 трлн
• 1996: ~$8.48 трлн
• 1997: ~$11.31 трлн
• 1998: ~$13.45 трлн
• 1999: ~$16.64 трлн

Все 5 вместе IPO собрали в среднем ~0.0032% от капитализации фондового рынка 1995-1998 гг

К причинам краха dot-com пузыря скорее относят разблокировки акций у основателей интернет-компаний, спустя 6-12 месяцев после пика всех IPO.

Поэтому один из контраргументов, что SpaceX, Anthropic и OpenAI - сразу вызовут финансовое цунами и обрушат рынки - может быть отчасти неверным.

Т е в запасе у нас будет еще 6-12 месяцев после IPO, т к в течении этого времени Альтман, Дарио и друзья Маска не смогут физически дампить на рынок свои шэры.

С другой стороны:

Совокупный объем средств, которые планируют забрать с рынка SpaceX, Anthropic и OpenAI - как минимум $220B (каждое из IPO целится в $75B).

Google, например, решили действовать на опережение и пока рынок совсем не пересох - они выпустили и продали собственных акций еще на $85B.

Капитализация рынка США 2026: ~$68 трлн (Wilshire 5000).

И в таком случае $220B будет составлять 0.331% от капитализации от фондового рынка США.

А вот тут уже интереснее:

3 IPO заберут в 104 раза больше, чем культовые IPO 1995-1998 года.

И, конечно, отчасти справедливо утверждение, что эти $220B + $85B от Google - должны быть откуда-то изъяты (проданы какие-либо активы).

Поэтому, поглядим, сможет ли такой финансовый переполох привести к коррекции рынок сразу после IPO или спустя 6-12 месяцев.

В Vesuvius Challenge впервые прочитали весь обуглившийся свиток

Из-за того что папирус разлагается за несколько сотен лет, за тысячелетия было утеряно большинство текстов из той эпохи. Геркуланумским папирусам в каком-то смысле повезло — из-за извержения Везувия две тысячи лет назад свитки обуглились и были погребены, что позволило им сохраниться.

Уже в наше время вышло сделать трёхмерные сканы свитков при помощи рентгена и использовать нейросети для их "виртуального разворачивания". Таким образом в 2023 году победителям Vesuvius Challenge удалось прочитать небольшой отрывок из одного папируса, после чего нескольких участников наняли заниматься этим на постоянной основе, что привело к реконструкции содержимого всего свитка.

К сожалению, большая часть PHerc. 1667, расшифрованного свитка, была физически уничтожена во время нескольких попыток открыть его в 19 и 20 веке, так что из 19-24 сантиметров свитка, физически уцелело лишь 8. По нему понятно, что это стоический текст датированный 2 веком до нашей эры, у которого удалось идентифицировать автора — Аристокреона, ученика известного стоического философа Хрисиппа.

Остались ещё сотни свитков которые ждут своего часа, команда и не думает останавливаться. Новый текст из свитков в ближайшие годы станет регулярным событием.

Блогпост

@ai_newz

🏴‍☠️ Сегодня исполняется 25 лет одному из самых влиятельных протоколов в истории интернета

2 июля 2001 года Брэм Коэн выпустил первую публичную версию BitTorrent – технологии, которая показала, что миллионы людей могут обмениваться огромными файлами без центрального сервера

Идея была гениально простой: каждый скачивающий одновременно становится раздающим. Чем больше участников сети – тем выше скорость. Архитектура, которая не становится слабее при росте нагрузки, а наоборот

Но BitTorrent был важен не только как технология

Он стал одним из самых ярких воплощений идей шифропанков: сеть без центра управления, без единой точки отказа и без необходимости кому-либо доверять

За четверть века пытались закрывать трекеры, изымать серверы и блокировать доступ. Но сам протокол пережил всё это. Потому что отключить то, у чего нет центра, невозможно

Спустя семь лет похожие принципы легли в основу Биткоина

Если можно децентрализованно передавать информацию, значит, можно передавать и ценность

В 2026 году BitTorrent по-прежнему жив. Через него распространяют Linux, открытое ПО, научные данные и терабайты другой информации

Технология пережила компании, сервисы и целые эпохи интернета

Информация должна быть свободной

@DoHodl | Делай Ходл

На случай, если вы отвлеклись на жизнь:

Немецкий гигант Deutsche Börse вложил $200 млн в Kraken. Сделка стала одной из крупнейших инвестиций традиционного рынка в криптоиндустрию

Samsung перебила рекорд, вложив ~$408 млн в крупнейшую криптобиржу Южной Кореи Upbit. К слову, южнокорейская вона входит в топ-3 валют торгов с криптой, часто обгоняя евро и уступая только доллару

Крупнейшие компании США ищут сотрудников для работы с криптой

Сбер, Т-Банк, ВТБ и Альфа встроят криптокошельки в свои приложения к концу года

До 32% трафика криптобирж приходит из России

Россия 3й год сохраняет 2 место в мире по хэшрейту Биткоина

Лукашенко узаконил криптобанки в Беларуси, разрешив им вообще всё: криптозаймы, криптозалоги, любые переводы и выпуск собственных монеты

ЦБ Казахстана выделяет $350 млн из золотовалютных резервов (и еще столько же из Нацфонда) в криптоактивы – инфраструктуру, акции техкомпаний и фонды

А ещё там построят крипто-город будущего Alatau-city – один из самых амбициозных градостроительных проектов на постсоветском пространстве станет международным хабом на новом Шелковом пути. Пул соглашений только за июньское роуд-шоу в Китае собрал $6.4 млрд. Реализация первой очереди в 2030

Президент Кыргызстана ликвидировал Минцифры, потому что громоздкий бюрократический аппарат министерства стал не ускорять, а тормозить цифровую трансформацию. Задачи ведомства переданы в Управление делами президента. Минэкономики предложило разрешить банкам сделать криптообмен услугой наравне с обычным обменом валют. Шаг обусловлен взрывным ростом криптоиндустрии в республике: налоговые поступления с крипты выросли в десятки раз

В Узбекистане создадут зону для майнинга и разрешат майнить на участках сельхоз назначения обогревая теплицы асиками. Все доходы от майнинга освободят от налогов до 1 января 2035

ЦБ Пакистана отменил запрет на крипту от 2018 года

Сальвадор, покупая ежедневно по 1 BTC, достиг 7720 BTC

Японская Metaplanet докупила 7898 BTC за пол года, доведя баланс до 43к BTC

Citigroup – четвертый по размеру банк США докупил MSTR на $41,2 млн, доведя баланс до $138 млн

Второй старейший банк Швейцарии увеличил позицию в MSTR до $140 млн

Intesa Sanpaolo – крупнейший в Италии удвоил вложения в BTC-ETF до $235 млн

Национальная пенсионная служба Южной Кореи – третий по величине пенсионный фонд в мире, держит MSTR на $93 млн

Канадский фонд AIMCo, фактически оператор региональных пенсионных резервов Альберты, купил MSTR на $219 млн

Northern Trust с капиталом в $1.4 трлн специализирующийся на элитном управлении (обслуживает ~20% богатейших семей США на $18 трлн) держит MSTR на $210 млн

Французский гигант Amundi, крупнейший в Европе с активами на $2.8 трлн утроился в MSTR до $641 млн

Citi, третий банк в США, запускает свою инфраструктуру для интеграции с BTC

Charles Schwab, управляющий $12 трлн, запустил торговлю BTC и ETH через свою платформу Schwab Crypto

Morgan Stanley тоже запускает торговлю BTC и ETH

Крупнейшие банки США с активами по $4 трлн начали выдавать ипотеки под залог Биткоина

JPMorgan начал выдавать кредиты институционалам под BTC и ETH

Иран запустил систему страхования судов, проходящих через Ормузский пролив, с оплатой в битках

Square Джека Дорси: более 800 000 продавцов уже принимают платежи в биткоинах

JAN3 запустила инструмент с открытым исходным кодом, позволяющий ИИ-агентам работать с BTC в on-chain, Liquid и LN сетях

Visa партнёрится с WeFi (бывшего CEO Tether Рива Коллинза) для интеграции ончейн-банкинга и расчётов в крипте без её хранения на централизованных сервисах

Запасы BTC на биржах на минимумах с 2017, у ETH с 2015

Крупные держатели в 2026 показали самый мощный всплеск интереса в истории. Только за апрель они скупили 270,000 BTC, что стало рекордом с 2013

Новый председатель ФРС Кевин Уорш: «Если вам меньше 40 лет, Биткоин – ваше новое золото»

Спасибо за внимание

Ходл биткоин 💎 🙌

@DoHodl | BeHodler

Нет, это не список крипто-щиткоинов, это настоящий государственный рагпул

Учитывая, что данные представлены на 14 июля, сейчас картина выглядит ещё хуже

Инфографика на случай, если вы вдруг всё ещё думаете, что биткоин является скамом, а государство вам что то там гарантирует. Всё с точностью наоборот

Ходл биткоинов – это надёжный работающий способ вернуть утраченную свободу и обрести гармонию, а государства – это скам

Позаботьтесь о себе и своих родных, потому что никто другой за вас этого не сделает

@DoHodl | BeHodler

Эту историю стоит знать всем, кто слишком доверяет Википедии

В июне 2022 года китайский фантаст по имени Ифань искал материал для нового романа и наткнулся в китайской Википедии на статью о средневековом серебряном руднике в городе Кашин.

По тексту, в 1344 году русские крестьяне нашли в Тверской земле серебряную жилу. На разработке трудились ~40 тысяч рабов и вольноотпущенников. Рудник этот стал главным источником богатства тверских князей и поводом для долгой войны с Москвой.

Ифань впечатлился сюжетом и пошел ресерчить. В той же Википедии он нашел еще десятки статей по теме: о геологическом составе почвы, устройстве шахт, технологии плавки, о князьях и рабах.

Статьи ссылались друг на друга, не скупились на детали.

Но внимательный ресерчер заметил неладное. Некоторые ссылки вели непонятно куда, и в конце концов за пределами кроличьей норы Википедии про кашинский рудник не было ровным счетом ничего.

Фейковая средневековая Русь

Выяснилось, что всю историю выдумала пользовательница под ником Zhemao (折毛), которая с 2012 создавала в китайской Википедии альтернативную историю средневековой Руси.

В отличие от традиционной альтернативщины, которая угадывается по обличительному пафосу, Чжэмао искусно вплетала свои выдумки в настоящую историю.

Она брала русскоязычные источники (например, 29-томный труд Соловьева "История России с древнейших времен"), прогоняла их через переводчик и аккуратно дописывала детали.

Редакторы Вики, как ленивый научрук, сверяли только формат ссылок, а не содержание по указанным страницам.

За 10 лет Чжэмао написала больше 200 связанных между собой статей – целую Вики-вселенную, в центре которой был кашинский рудник. Самая длинная по объему статья была почти как "Великий Гэтсби" с подробным рассказом о трех татарских восстаниях XVII века и авторской картой.

В другой статье были "редкие фотографии древних монет", якобы переданные ей русскими археологами.

Одна из работ Чжэмао даже получила статус избранной статьи в китайском разделе Википедии – ее перевели на английский, арабский и русский.

Чжэмао и ее марионетки

Чжэмао представлялась дочерью китайского дипломата, работавшего в России, выпускницей МГУ со степенью доктора по всемирной истории, замужем за русским.

Верифицировали работу Чжэмао четыре ее же фейковых аккаунта. Они активно обсуждали статьи, подтверждали правки, даже спорили друг с другом. Один представлялся аспирантом-русистом из Пекинского университета и утверждал, что знаком с Чжэмао лично.

После разоблачения Чжэмао опубликовала покаянное письмо: ни МГУ никогда не было, ни русского мужа. У нее аттестат средней школы, русский язык не знает, а рудник в Кашине выдумала от скуки и одиночества.

Википедия удалила все ее аккануты и статьи, но одну сохранила в назидание потомкам.

Чжэмао писала свои сотни статей в эпоху до генеративного ИИ, прямо накануне. Сейчас, когда Википедия едва справляется с бесконечным потоком нейрослопа, статьи Чжэмао о Тверской земле кажутся настоящим литературным творчеством, подделкой ручной работы.

Википедия гораздо глубже, интереснее и полезнее, чем ее порой пытаются изобразить, но фактчек – всему голова.

Бегство по кругу: Как потратить жизнь на симулякры

В "Прекрасной маркизе" я показал, что мир навсегда простился с метанарративами — религиями, идеологиями, социальными концепциями, национальными идеями, обещавшими человеку готовый смысл жизни. Если перевести на современный язык, то каждая "большая история" делала одно и то же: ставила коллективный диагноз всем людям — растерянным, испуганным, несчастным — и предлагала метод коллективного же лечения. "Все ваши беды от греховности / капиталистов / евреев / неграмотности / бесправия. Вот лекарство, которое вылечит всех скопом и всем сразу станет хорошо".

Полный текст: https://teletype.in/@autohumanism/t3QLVBlMLSd

Разговаривал вчера с другом, возникла мысль что одна из самых рискованных инвестиций сегодня — это индекс Russell или даже S&P500.

Почему? Потому что большая часть компаний обоих индексов не имеют смысла уже с сегодняшним уровнем моделей, но продолжат существовать по инерции еще лет 10-15.

S&P500 спасет Нвидиа и Гугл, но вот классическим компаниям из Russell и их европейских/азиатских аналогов жопа. Да, авиакомпании и железные дороги не исчезнут совсем, но для любой более-менее технологической компании упадут мультипликаторы и вырастет конкуренция.

У биткоина и эфира от ИИ в любой день, начиная с сегодняшнего, есть ненулевой риск стоить ровно $0, потому что они код, а ничего лучше LLM не бывает в плане кибербезопасности и offense.

У сааса останется функция как хранилище данных и source of truth и платформ для агентов, но у многих мультипликаторы упадут до 2-4.

У банка и какого-нибудь крупного FMCG не будет моментального обнуления, но уже сегодня очевидно, но любая их офисная функция будет на 80+% автоматизирована. А какой процент производства и логистики в цене тюбика зубной пасты? Ну, от силы 20%.

Самый безумный ответ тут: «всех уволят, кто будет покупать?» — но это ересь, ибо большинство людей и сегодня не может себе позволить топовое образование, топовых роботов/машины/квартиры, топовую медицину и приватный ультрамодный банкинг.

Но смогут, ибо все эти вещи станут в разы дешевле. Но не за один год. За один год изменится индустрия софта. Все компании, чей продукт — код либо придумают уникальный способ защиты, который не могут повторить конкуренты, либо вынуждены будут самоликвидироваться. А для остального потребуется экономическая диффузия (условно, роботы для строительства домов есть уже сегодня, но нужны годы чтобы они строили сотни тысяч домов в год).

Самая рискованная ставка в экономике сегодня — это ставка на стабильность. Любой, кто не приучится к постоянно и с увеличивающейся скоростью меняющемуся миру должен будет уступить дорогу остальным.

Инвестиция, которая окупится через 15418 лет

Пользователь из твиттера поделился интересной таблицей, в которой собрал инфу об инвестициях в когда-то "топовые" проекты и их ревенью

Как итог, проекты получившие инвеста на $7,5 млрд приносят в сутки всего лишь $1306

Чтоб отбить вложенное потребуется примерно ~15,500 тысяч лет

Похоже, что даже богатые беднеют

Депутат-пасечник из Красноярского края оказался майнером крипты. Он нелегально замаскировал майнинг-ферму под пасеку в лесу. Прокуратура раскрыла схему и теперь требует с него более 450 млн рублей за хищение электроэнергии. Суд уже арестовал его имущество, а сам он находится за границей, пишут местные СМИ. @ecotopor

Про последний взлом Bitcoin кошелька Coldcard

Ночью в чате мы разбирали эту историю по цепочкам, и картина получилась шире той, что разошлась по новостям.

Кратко: ломали не устройство и не пользователя - ломали генерацию сида. У аппаратного кошелька нет операционной системы, а значит, нет и её источника случайности: энтропию он добывает сам, своим железом. В прошивке вместо аппаратного источника оказался программный, со слабой энтропией. Следствие простое: такой сид воспроизводится офлайн, без участия владельца - перебрать варианты, получить из них адреса, сверить с блокчейном и подписать вывод.

Вечером 30 июля производитель это подтвердил, а к утру, получив жалобы на чужие опустошённые кошельки, инженеры Block (Bitkey) выложили свой разбор.

Как это выглядело в сети: 1195 адресов опустошены за 41 минуту, переводы однотипные, комиссия одинаковая. Суммарно около 1082,59 BTC.

И вот здесь важный момент, которого в публикациях нет. Веток было две. СМИ расписали первую волну - порядка 594 BTC примерно с 500 адресов - и на этом остановились. Параллельно шла вторая: отдельные транзакции, свой адрес-сборщик, 491 адрес, около 398,5 BTC. Наборы адресов не пересекаются ни одним кошельком, поэтому по отдельности каждая ветка читается как самостоятельный инцидент.

Ончейн-факты связывают их между собой: все адреса-сборщики были опустошены одной транзакцией и попали в один блок, в одну минуту, 01:43 UTC. Позже к этому добавился фрагмент ещё почти на 89,6 BTC. То есть фактический объём примерно вдвое выше опубликованного.

Ещё одно наблюдение, из мемпула. Присутствовал всплеск замен транзакций (RBF), что может читаться двояко: владельцы наперегонки вытаскивают монеты или же перехватчики дерутся за один ключ. По срезу на 08:00 UTC во всех 149 парах замен падение выплаты в точности равно приросту комиссии - люди добивают комиссию собственных переводов, следов гонки за чужой UTXO не видно.

Отсюда версия - именно версия, а не вывод. Базы владельцев уязвимых устройств для такой атаки не нужно: при маленьком пространстве ключей поиск идёт не «вот владелец, найдём его ключ», а наоборот - генерируется кандидат, из него выводятся адреса и сверяются с публичным набором UTXO. Адресов, созданных на устройстве, продавец не видит, так что инсайдер не нужен. По сути, атака, скорее всего была в формате «а попробую-ка я дать эту задачу ИИ», что радикально снижает порог квалификации.

Отдельно - то, что произошло уже по ходу дня: позиция производителя изменилась, и это меняет круг пострадавших. Вчера речь шла только про Mk3, а Mk4, Q и Mk5 считались «не затронутыми по ранней оценке». В обновлённом адвайзори этой формулировки уже нет: под угрозой все сиды с Mk3 начиная с прошивки 4.0.1, а также сиды с Mk4 и Mk5 до версии 5.6.0 и с Q до 1.5.0Q - там около 72 бит энтропии вместо положенных 128. TAPSIGNER, OPENDIME и SATSCARD не затронуты, у них другая кодовая база. Расследование не закончено, круг могут уточнить ещё раз. Кевин Луаэк из Wizardsardine формулирует жёстче: под ударом и мультиподписи, собранные из этих устройств.

Кому, вероятно, повезло. Сайфедин Аммус напомнил про броски костей: при генерации через Add Dice Rolls прошивка подмешивала каждый бросок к машинной энтропии, поэтому от 50 бросков одни только кости дают не меньше 128 бит, а от 99 - около 256. Меньше 50 или не помните сколько - считайте, что сид под угрозой. Пассфраза (BIP-39, а не PIN) тоже барьер, но только длинная и уникальная - короткую или переиспользованную подберут.

Что же делать владельцам кошельков? Скомпрометирован сид, а не железо: перепрошивка не чинит уже созданный ключ. Новый сид генерировать на исправленной прошивке или другом устройстве. И главное, чем заканчивают сами Coinkite: спешка при миграции опаснее самой уязвимости. Сверить адрес на экране, отправить пробную сумму, дождаться её и только потом переводить остальное.

Отдельная благодарность @Kikcha за первый сигнал об инциденте, а так же Павлу и Михаилу за участие в разборе инцидента. Помогал в расследовании наш прекрасный сын полка Чадо