bluerheart retweeted
真的想念OKX的聚合器了，什么时候能回来🥲@OKXWeb3_CN @Haiteng_okx @Cryptosis9_OKX 看似没有区别，但市面上的Dex聚合器其实基本上都会收取Positive Slippage（正滑点）作为自己的利润来源，而OKX是其中的例外
什么是正滑点？
滑点很好理解，用户在使用DEX进行Swap的时候，在交易发出执行后，价格出现了波动，比如说1ETH原本可以换2000U，而现在可能变成了换1990U 或2010U，1990U就是负滑点，2010U就是正滑点
收取正滑点后，你提交要换2000U，如果价格波动到了2010U，那你还是获得2000U，多的10U就会被聚合器收取，作为他们的利润
用户会在使用这类收取正滑点的聚合器swap时，如果价格发生波动，是没办法收到正向波动带来的额外收益，导致无形中“被夹”当然
负滑点仍然是你承担🤷
收取正滑点有什么问题？
对于深度好，价格波动小的链上交易对，一点点滑点可能问题不大
但是如果你正在交易深度较差、价格波动巨大币，比如说meme，那在你提交交易的时候，如果价格发生了剧烈变化（比如说正要买 结果浇了），那你可能会因此产生巨大的损失，原本你会会买到浇给后的代币数量，结果你直接埋在了浇给之前的最后一秒的价格，而这些聚合器收走了你原本可能买到的更多的代币
最离谱的是，如果这些DEX的“询价速度比较慢”，可能链上已经暴跌了有一会了，结果你买完发现自己还在山顶，还不知道发生了什么
而且你并不知道这个询价速度到底是客观的慢还是某种阴谋🤷
就比如@seaify1 大佬遇到的情况：xitter.gq/seaify1/status/1905566…
聚合器的正滑点收取情况？
见图：包括常见的@odosprotocol、@KyberNetwork、@unizen_io，甚至@DefiLlama的llama swap，都收取正滑点
这里存在的例外只有：
@1inch 提案并通过后不收，但也说明他们聚合的API仍然可能会收
@matchaxyz 承诺不收
最实诚的还是OKX，在交易的API中提供了收取正滑点的开关，对于接入OKX钱包API的三方服务提供了选项，而他们自己是不收的
发现一个巨恶心的问题，程序自动化接针，使用了@KyberNetwork 的服务，自动买卖后，发现亏了20%，而当时的交易记录看，并没有人砸盘，然后调查发现，有20%的币，被kyber吃了，也就是它所谓的正滑点。
就是假设你能买到100个币，而现在网络波动，你能买到120个币，那这20个币, @KyberNetwork 他们吃了，还会用来砸盘.
最恐怖的事情，在于kyber当时查询的时候，kyber自己系统有问题，数据用的上个区块的数据，也就是他们落后了一个区块， 也就是砸盘之前那个block，所以查询出来的数量低20%，然后你拿这个落后的数据，去提交的时候，才会出现所谓的正滑点，恶心至极，原地亏损20%，相当于被他们夹了，因为他们的数据延时问题。
我很难不怀疑，这个所谓的延时，没有刻意或者放纵的成分.
下面是他们的收款地址，所谓的狗屁，正滑点, debank.com/profile/0x4f82e73…
对了，另外你卖币的话，正滑点的bnb/eth，他们也是要收钱的哦，😄。
额外的话，swap，还要收取0.15%的手续费。
另外用@BitgetWallet 的也要注意，发现他们的路由，也会去用kyberswap,
以 app.blocksec.com/explorer/tx… 这个为样例, 买的0.318 bnb 的Ghibli
bitget 会收取+0.00095411847 bnb，按比例算就是0.3%.
然后kyberswap 会收取正滑点, 这里是306.9个Ghibli, 按比例就是0.7%.
这还没算，池子本身，要有0.3%的手续费.
不过这个样例里，有点奇怪的是，好像没看到kyberswap 那0.15%的手续费，不知道是不是因为有合作.
这个tx还好，碰上我那个接针延时的问题，就惨大了，要是暴跌50%，妈的，等于直接原地亏50%。
希望@OKXWeb3_CN 赶紧回来吧，api服务真的需要，很乐意为之付费，按月，而不是吃滑点这种，对比okx真的是太良心了。
所有使用聚合交易服务的朋友们，千万注意这个正滑点的问题，一不小心钱能被他们吃完，比夹子还他妈狠。
不过说实话，@48ClubIan lan总说的没毛病，这种正滑点的问题，本质上是我们这种使用者，应该想办法去解决的，加强疯狂，比如提交之前模拟下，自己算下输出数量，还有合约里，检测是否发生了这种正滑点转账行为，给它revert掉。
外面的世界很糟糕，但强者从不抱怨环境，只能自己想办法解决问题。
小狐狸钱包确实是越改版越复杂，bug 越来越多，越来越卡。使用的时候要更小心了。
今天收到一个反馈，好几位觉得下面这个地址是黑客地址：
etherscan.io/address/0x2c9c9…
不断有被盗入账，打开一看，都是 Transfer*，也就是带 Input Data 的，抽样看了一些 tx 的 Input Data，内容差不多都是如下三种：
0xd5575982
0xfef0b6fc00000000000000000000000000000000000000000000000000000007d5d9e043
0x6fed1ea700000000000000000000000000000000000000000000000000016bcc41e90000
这是什么鬼？直接的解法肯定是看开头的 4 字节签名的含义，这个利于理解是什么函数操作，于是三种 Input Data 的 4byte 分别是：
0xd5575982
0xfef0b6fc
0x6fed1ea7
用常见的 4byte.directory/ 查询，发现不是常规的 4byte，没有结果。一般出现 Input Data 要么是链上喊话要么是对应了目标智能合约的相关操作。接着发现这个“黑客地址”在其他 EVM 链如 BSC/ARB/BASE 等上也看到一样的情况...此时直觉可能是用户没切好链网络导致资金打错链了，但这个地址对应的合约在哪个链？
于是我再回看其中一位用户的反馈，原来他们在玩 Monad Testnet 上的一个 DeFi 项目，叫 Magma，其实 0x2c9c959516e9aaedb2c748224a41249202ca8be7 是 Magma 在 Monad Testnet 上部署的合约地址，合约开源验证了，那就直接读源码：
testnet.monadexplorer.com/ad…
->
testnet.monadexplorer.com/ad…
盲猜是 depositMon()、depositMon(uint256 _referralId) 及 withdrawMon(uint256 amount) 有关操作，验证也很简单，两种方式：
1 安装了 Foundry 环境，直接 cast sig 下看看 4byte 是不是之前所列即可：
cast sig "depositMon()" -> 0xd5575982
cast sig "depositMon(uint256 _referralId)" -> 0xfef0b6fc
cast sig "withdrawMon(uint256 amount)" -> 0x6fed1ea7
发现都证实了盲猜。
2 会麻烦些，需要硬看 Monad Testnet 上相关 tx 的 Logs 及 Internal Txns 并结合源码做相关验证。
最后通过目标 DeFi 项目的前端做相关验证，整个分析工作才算完整。
最终结论就是这个 0x2c9c959516e9aaedb2c748224a41249202ca8be7 实际上属于 Magma 项目方，并不是真的黑客地址。至于为什么不少用户会把资金打入这个地址非 Monad Testnet 的其他 EVM 地址上，是因为链网络没切换导致，难说是钱包的问题还是 Magma 前端的问题，我在 Magma 前端没轻易复现。其中一位用户也告诉我：概率不大 ，但是会有 ，某钱包全链时候也会出现这种情况。
找回应该也是有希望的，项目方在其他 EVM 链同 nonce 下创建相关合约支持相关资金退回机制即可，具体不展开了，直接问项目方就行。
这里主要是给大家分享当遇到奇怪的安全事件描述时，如何找出真相...😬
1
2
560
今日感悟：财富是个人能量在市场的映射，能量不足以驾驭财富量级时，就会回撤。个人能量的增长也不是一帆风顺的，跟大饼 K 线一样，充满曲折。在这个不明朗的市场阶段，接受现实，整理情绪，继续出发。
1
1
231
希望能挽回一些损失
一姐好：
今天凌晨BSC上第二大的老牌借贷协议Radiant发生黑客rug事件，项目方多签私钥泄漏，协议中的约5300万资产（其中BSC上1900多万，ARB上3400多万）目前已被黑客转移到：
BSC：debank.com/profile/0xcf47c05…
ARB：debank.com/profile/0x8b75e47…
作为本次事件的受害者，我个人损失约130万U资产，身边很多朋友也损失惨重。
币安作为行业第一大所，一直对此类黑客事件本着负责和积极处理的态度，多次帮助受害者追回资金。
本次事件发生在BSC链上，我代表所有受害者恳请币安从技术上能够及时采取措施：
1、立即将该地址加入黑名单，不让节点打包其所有交易，实现钱包资产的完全冻结（技术上BSC完全可以做到）
2、如果黑客不愿归还资产，可否参照之前处理VENUS事件的方式，由币安从自身持有的BNB中将这部分约32598个BNB赔偿给受害者，而将黑客地址的BNB视为销毁（币安本来每季度就会有销毁操作，相当于两部份代币进行置换，币安并没有损失）
恳请一姐考虑以上处理方案，虽然该方案有违去中心化的原则，但并不是没有先例。而且从目前区块链行业发展来看，合规和安全远比所谓的去中心化更重要。如果币安能够处理好此事，相信对BSC链的发展也大有好处。更多人和项目也愿意来更安全的BSC链上。当然当务之急是先冻结黑客资产，具体方案可以后续慢慢讨论。
谢谢
@heyibinance @GalaBNB
2
1
520
结合这个教程，增加X 账户安全性
🥱来来来，X/Twitter 被盗了怎么办？如果账号登不上了，大概率只能找 X 不断申诉恢复，然后“漫长”等待，难熬的等待阶段没人想经历吧？这种问题多了后，我们安全团队专门出了个科普文，教大家如何做授权排查及安全设置。
X 账号安全排查加固指南，中文版：
mp.weixin.qq.com/s/WUda3mRPu…
3
1,233
《X 账号被盗后找回经历 》
账号被盗不是啥光鲜的事，但还是记录下这个过程，希望帮到有需要的人。这个经历可以帮助你一旦发现 X 账号被盗，不用走弯路，10 分钟就可以完成找回账号的申诉全流程。
全文：link.medium.com/HJ4hufI8yMb
我一直没觉得我的账号有被盗价值，所以仅做了手机号绑定，偷懒没有去绑定 GA 二次验证。
我的 X 账号在 2010 年注册，那时候还是 Twitter，也没被墙。这么多年一直也没怎么使用。从 2018 年进入 Web3 行业，才开始使用起来，也算是本人的一张 Web3 名片，如果真被盗了，就永远被剥夺了，还是很心痛。
1
1
1,540
总结原因，还是自己大意了。安全无小事，时刻警醒自己。
全文链接：link.medium.com/HJ4hufI8yMb
1,323