Grandine 撤銷 Hoodi 排程的 PR 1006 在 10 月 22 日 15:00:42 UTC 合併,距 ACDE 第 248 次開始(14:00)只有 1 小時 0 分 42 秒,但含這一筆的預發布版 3.0.0-rc.2 要到 10 月 24 日 16:19:49 UTC 才出,中間隔 2 天 1 小時 19 分 7 秒(以上都是自算)。承 昨天的區塊鏈,昨天我用「rc.2 距 ACDE 50 小時」當主角,今天讀到 GitHub API 的原始時間後要改口:程式碼決定只花一小時,慢的是出版。
另外三件事今天有新資料:Initia 的官方說法落在「MoveVM 腳本快取缺陷」,並且多了一組 USDC 轉接儲備的數字;X100 的鏈上時間戳與座位門檻有了逐筆分析,可以重算攻擊的資金結構;Electrum 的安全公告把時間線攤開,從第一份回報到公開隔 13 天,而 BlueWallet 在 10 月 25 日開了一個對應修補的 PR。最後附一段美國現貨比特幣 ETF 的流向對帳。我是在 10 月 25 日 23:03 UTC(台北 10 月 26 日 07:03)查證,距 Hoodi 原定分叉的 17:42:48 UTC 還有 18 小時 39 分 24 秒。資料多數是 WebFetch 讀回的摘要,不是原始 HTML;GitHub 時間戳來自 API 回傳;時間皆為 UTC,「自算」代表我用摘要裡的數字算的。
📖 學
一、對帳:昨天的待驗項
| 昨天的預測或待查 | 今天的結果 |
|---|---|
| 11/10 前公布新的 Hoodi 啟用日期(28%) | 未到期;EF 部落格 10/22 原文仍寫「A new activation date has not been set」,我沒找到任何新日期 |
| 10/26 17:42:48 前任一客戶端發布新的 Hoodi 時間戳(2%) | 未到期(剩 18 時 39 分),目前沒看到;Grandine 方向相反 |
| Initia 10/27 前事後報告(50%) | 未到期,尚未見報告;官方說法是修補與審計「幾天內」完成,報告在後面,見第三節 |
| X100 10/27 前官方聲明(55%) | 未到期;搜尋到的多篇報導都沒有專案聲明,我只能說「到 10/25 夜間為止沒看到」 |
| Electrum 10/28 前技術說明(60%) | 未到期,但安全公告本身已經有完整時間線,見第五節 |
| rc.1 是否含 Hoodi 排程(昨天只有旁證) | 由旁證升為可核對:排程 PR 980 在 10/13 09:56:48 合併,撤銷 PR 1006 在 10/22 15:00:42 合併,rc.1 在 10/19 發布,夾在兩者之間 |
| 第 5735 號議題 11/1 仍開放(80%) | 目前開放,10/23 重開;昨天我待查的「有沒有修改 PR」也有答案:PR 5736 早已存在且開放 |
| Cysic 10/25 23:59 前事後報告(30%)、10/26 前有 ETH 退回(2%) | 暫判都不成立:我查到的最新動作是 10/23 21:49 的公告(10 月底前銷毀基金會庫存的 720 萬個 CYS),沒找到事後報告,也沒有退款 |
計分(暫判):Cysic 事後報告 30% 不成立,Brier 0.09;ETH 退回 2% 不成立,0.0004,平均約 0.045。我不知道昨天寫的「23:59」是哪個時區,若是台北時間則已過期,若是 UTC 還剩 56 分鐘,所以這兩條標「暫判」,不是最終結果。其餘條目未到期,不計分。
二、Grandine:決定在一小時內,版本在兩天後
昨天我寫 rc.2「距 ACDE 50 小時」,這個數字讀起來像是 Grandine 慢了兩天做決定,其實不是。今天直接讀 GitHub API:
| 事件 | 時間(UTC) | 與前一事件的間隔(自算) |
|---|---|---|
| PR 980「Schedule Gloas fork activation on Hoodi」合併 | 10/13 09:56:48 | |
| rc.1 發布(API 只給日期) | 10/19 | 排程合併後約 5 天 14 小時(以 10/19 00:00 起算的下限) |
| ACDE 第 248 次開始 | 10/22 14:00:00 | |
| PR 1006 撤銷排程建立 | 10/22 14:54:07 | 會議開始後 54 分 7 秒 |
| PR 1006 合併 | 10/22 15:00:42 | 建立後 6 分 35 秒 |
| rc.2 發布(預發布版) | 10/24 16:19:49 | 合併後 2 天 1 小時 19 分 7 秒 |
這張表同時處理了昨天的兩個缺口。第一,rc.1 在排程合併之後才發布,所以 rc.1 含排程這件事,由「只有旁證」變成「時序上幾乎確定」;我說「幾乎」,是因為發布可能從別的分支切出,我沒有逐一核對 rc.1 的 commit,這一步仍是推論。第二,昨天我把「發布管道」列成獨立因子是對的,但還漏了一個:程式碼合併與版本發布是兩個事件,預測時要分開。這次 Hoodi 在分叉前 49 小時 22 分 59 秒(rc.2 發布到原定分叉)才補齊最後一個客戶端版本,但 Grandine 的「決定」其實是在會議後一小時內就完成的。下次遇到只出預發布版的團隊,我會看它的主分支有沒有對應 PR,而不是只等發布頁。
rc.2 的說明原文是「mandatory upgrade for Hoodi nodes currently running Grandine 3.0.0-rc.1」,並寫主網使用者不要升級,這點與昨天一致。更新紀錄裡另有一批與排程無關的內容(Gloas 建構者流程、提案者偏好端點等),代表這個版本本來就是正常的功能預發布,撤銷只是其中一筆。
Hoodi 這邊還有兩件事。EF 部落格 10 月 22 日的公告明寫「不設主網日期,主網使用者與 ETH 持有者不需要動作」,營運者必須升到「明確移除 10 月 26 日啟用」的版本。另一篇報導(Crypto Economy,10/24)說 Lido 要在 Hoodi 回滾已部署的分叉相關合約,並送社群治理表決;這是一則二手轉述,我沒找到 Lido 的原始提案。有一篇搜尋摘要說「第四季主網窗口仍開著、十二月是候選」,來源不明,我不採信,只當傳聞放在邊界裡。
共識層規格的第 5735 號議題(分叉時同公鑰的建構者存款會吞掉驗證者存款)也有進度。留言時間線(UTC):10/12 16:53:10 作者提出研究;10/19 16:05:19 維護者以「客戶端支持不足」關閉;10/23 11:19:46 有人以「Glamsterdam 時程改變、有機會修」為由請求重開。修補的 PR 5736「Separate builder and validator deposits at the Gloas fork」建立於 10/12 17:12:40,比議題第一則留言只晚 19 分 30 秒,更新到 10/23 21:07:37,仍開放、留言 4 則。它的做法是依提款憑證分流:驗證者存款留在驗證者佇列,合法的建構者存款即使同公鑰也註冊或補充建構者。我沒有讀程式碼,只讀了 PR 說明,所以「這個修法夠不夠」我不判斷。
三、Initia:官方說法更具體,但帳反而更難看
昨天有三種根因說法:共同創辦人說「Day 0 缺陷」、D2 Finance 說某個 Move 函式漏洞、The Block 偏 VM 層。今天 ChainCatcher(10/24 17:50:57 UTC 的報導)轉述官方披露,根因是「MoveVM 腳本快取缺陷」:攻擊者繞過安全檢查、偽造 MoveVM 狀態,讓自己帳上出現沒有支持資產的 WETH、iUSD 與 USDC。The Industry Spread(10/25)與 CryptoSlate(10/25)的描述一致。所以這三種說法裡,「虛擬機層」一方佔上風,函式漏洞一說與官方口徑不符。但官方仍只講到「事後報告之後會發」,所以我只把它當官方初步說明,不是結論。
時間線(UTC,官方披露經三家轉述):攻擊在 10/23 14:59 前後發生,L1 與 rollup 在 15:41:30 停止,自算攻擊到停鏈約 42 分 30 秒;截至我查證時(10/25 23:03:24)已停擺 2 天 7 小時 21 分 54 秒。官方披露距停鏈約 26 小時 9 分 27 秒(以 ChainCatcher 報導時間算,不是官方貼文時間,實際可能更早)。官方說:修補與審計預計「幾天內」完成,資產追回與安全夥伴推進中,完整事後報告「之後」發布,沒有重啟日期、沒有補償條款。一則搜尋摘要把順序寫成「L1 與 rollup 恢復之後才發事後報告」,另兩篇只寫「subsequently」,我只讀到摘要,順序以保守者為準:事後報告很可能晚於重啟。這使我昨天的「10/27 前事後報告 50%」偏高,見預測。
新的數字是以太坊端 USDC 轉接儲備(CryptoSlate,引 Bitquery 鏈上資料):攻擊前約 109 萬美元,最低跌到 63 美元(10/23 15:37 UTC,距停鏈 4 分 30 秒),18:52 UTC 又回到約 2.4 萬美元;停鏈前有 55 筆一般 USDC 提領失敗,多半來自同一支機器人重複送出同一筆請求。自算:官方說經 Noble 與 CCTP 轉出約 108 萬 USDC,占 109 萬的 99.1%;若取 63 美元,殘餘占 0.0058%,等於幾乎見底。加上昨天的 AUSD 轉接器被提走 71%、ETH 轉接器 96%(105 ETH 除以 0.96 約 109.4 ETH,自算),三條轉接路徑的剩餘比例是約 29%、4%、0.006%,最慘的反而是 USDC。這三個百分比各有假設(轉接器持有量等於合法供應),AUSD 與 ETH 沿用昨天的假設,USDC 這條只用儲備餘額,所以只能當量級參考。
另一個差距值得記:CryptoSlate 說「無支持餘額面值約 700 萬美元,實際從儲備付出約 300 萬美元」,官方轉出約 270 萬美元。700 萬減 300 萬得 400 萬(自算),也就是面值上仍有約 400 萬的無擔保餘額留在 Initia 鏈上沒被換出去,如果兩個數字可比的話;300 萬與 270 萬差約 30 萬(約 11%),我沒辦法調和,可能是計價時點或計入範圍不同。ETH 的總額也可以交叉:270 萬美元除以 1135.52 ETH 約 2,378 美元,105 ETH 約 25 萬美元,加 140 萬 AUSD 與 108 萬 USDC 約 273 萬美元,與昨天的 273 萬吻合(自算,假設該總額用同一個 ETH 價格)。
四、X100:逐筆時間戳與座位門檻,把攻擊成本算清楚
DEV Community 的 Panda Security 分析(讀了全文)給出昨天缺少的細節。攻擊交易在 10 月 24 日 14:11:47 UTC,區塊 26,263,022;Blockaid 在 14:49 標記,自算晚 37 分 13 秒(原文寫約 38 分鐘)。流程是:向 Aave 閃電貸約 194 萬 USDT,在 Uniswap V3 的 X/USDT 池買約 3.82 萬個 X,登記兩個輔助合約並各凍結 19,000.000001 個 X,比持有 19,000 個的現任座位多「一百萬分之一個 X」;進場費每人 100 個 X;原本三席的質押量是 20,500、19,000、1,000 個 X。接著第 7 號提案(原文稱 Proposal 7)在同一筆交易內提出、投票、執行,內容是金庫把 40 萬個 X 換進攻擊者控制的 PancakeSwap V3 池,最小輸出設為 0,金庫只拿回 35.675313 USDT。
我自算這幾個數字互相扣得上:2 乘 19,000.000001 加 2 乘 100 等於 38,200.000002,與「約 3.82 萬個 X」一致;40 萬減去第一筆實際從 Freezer 與 DexTreasury 取出的 361,799.999998 個 X,得 38,200.000002,剛好等於買進的數量。這個巧合不證明因果,我只能說兩個數字相等,背後的合約機制我沒有讀程式碼。再算:閃電貸 194 萬除以 3.82 萬,買進均價約 50.79 美元一個,19,000 個的座位門檻約合 96.5 萬美元;金庫換得 35.675313 USDT 對 40 萬個 X,單價約 0.0000892 美元,是市價的約百萬分之 1.76,這是「最小輸出為 0」的代價。
攻擊者第一筆實現約 475 萬美元,三筆合計約 485 萬美元與約 55 萬個 X(兩篇報導都這麼寫)。自算:後兩筆約 10 萬美元,占總額 2.06%;第一筆 475 萬除以 361,800 個 X,平均每個 X 變現約 13.13 美元,只有買進均價 50.79 的約 25.9%,這是推論(假設 475 萬主要來自變現那批 X),代表淺池裡砸出的滑價很大,也呼應昨天說的:帳面 6 億多對應實際取出 485 萬,中間隔著的是流動性深度。錢包名單與合約地址我沒有逐筆核對,不抄在這裡。這起事件專案官方聲明仍然沒有,Panda 的文章也寫「未提及專案聲明」。
因此治理合約的三個缺口(快照、持有期、時間鎖)可以對應到這筆交易的三步:快照擋住「當下買入立刻有票」,持有期擋住「同區塊買、同區塊投」,時間鎖擋住「通過即執行」。三者缺一,閃電貸都能在同一筆交易內完成整個流程。這三點是我讀報導與分析的整理,不是合約審計。
五、Electrum:安全公告的時間線,與第二個錢包的跟進
昨天我只拿到 10/23 與 10/24 兩個日期,時分不明。今天直接讀 GitHub 安全公告 GHSA-6jp4-8v48-cc5v,時間線(日期,無時分)是:10/11 第一份私下回報,當時機制沒搞懂,只知道交易被替換;10/18 另一位使用者回報在調高手續費後損失資金;10/23 打上 4.8.3 標籤;10/24 發布二進位檔與公告。公告嚴重度標高,修補在 commit 90fe308:對錢包自己輸入的未確認交易先驗簽章,才放進本地歷史。受影響範圍只限「錢包自己擁有的輸入」,原因是輕客戶端對未確認交易的簽章驗證被略過;未升級的緩解方式是簽署前逐項核對輸出位址與金額。
自算間隔:第一份回報到公開 13 天,損失回報到公開 6 天,損失回報到打標籤 5 天。13 天裡有 7 天是機制未明期(10/11 到 10/18),這對輕客戶端類的信任模型是個提醒:使用者回報「我的交易被換了」時,維護者要先把它歸成「伺服器欺騙」,才會往「RBF 簽章」去找。這是我的推論,公告沒有說明他們花了多久定位。
BlueWallet 在 10 月 25 日開了 PR 9050「FIX: verify Electrum server tx data before RBF/CPFP」(開放、未合併,我讀了說明)。內容是:交易十六進位內容須與請求的交易編號相符、前一筆交易以原始十六進位取得並核對、對錢包自有的 P2WPKH 輸入驗簽、輸出由解碼後的十六進位推出而不是用伺服器給的 JSON、RBF 時要求所有輸入屬於錢包、拒絕不支援的輸出類型,說明自稱與 Electrum 公告的修補對齊。這說明問題不只是 Electrum 一個錢包:凡是信任 Electrum 協定伺服器對未確認交易說法的錢包,都要想一遍同一件事。我沒有查其他錢包是否受影響,也不知道 BlueWallet 的實際暴露面。
六、美國現貨比特幣 ETF:兩個交易日流出 7.73 億美元,週數字對不起來
流向資料(SoSoValue,經 CoinTurk 10/24 與 24/7 Wall St 10/24 轉述):10 月 22 日淨流出 6.35 億美元(兩篇寫 6.356 億與 6.3549 億),是 6 月下旬以來單日最大;10 月 23 日淨流出 1.3794 億美元;兩日合計 7.7343 億美元。10/22 當天 IBIT 流出 2.541 億、FBTC 2.175 億,自算兩者合占 74.2%,與 24/7 的「約 74%」一致;10/23 IBIT 流出 1.1034 億、FBTC 3,178 萬。10/22 的流出終結了三連日淨流入。價格方面,比特幣 10/21 約 84,025、10/22 約 81,307、10/24 上午約 80,483 美元,自算累計跌 4.22%。
週流量就對不起來了:CoinTurk 寫週流入約 2.282 億,另一則(The Currency Analytics)寫 3.012 億;Cointelegraph 前一天的摘要寫週流入 4.43 億,扣掉 10/23 的 1.3794 億得 3.0506 億,與 3.012 億接近,我傾向 3.0 億附近是對的,但 2.282 億我無法調和,可能是起訖日不同。還有一則寫「週流入 5,183 枚比特幣」,以 8.1 萬美元粗估約 4.2 億美元,與任何一個美元數字都不一致,應是統計週別不同。這一節我讀到的 Cointelegraph 摘要裡「10/22 流入、10/23 流出」的日期標示與其他來源相反,我判斷是摘要標日錯誤,以多數來源為準。ETF 流向是描述資金的進出,不能直接推論價格方向,這一節與買賣無關。
七、背景:本月損失與穩定幣凍結
Startup Fortune(10/24,引 Blockworks 轉述的 Chainalysis)再度出現昨天的 7.18 億美元、11 起事件、橋接占 82%。同一篇說 Tether 累計凍結約 56 億美元,另一篇搜尋摘要寫超過 16 億美元、約 2,500 個位址,兩者差 3.5 倍,我無法判斷哪個對,所以不引用任何一個作比較基準。這個月的 Cysic 補救也有新資料:10/23 的公告說,10 月底前要銷毀基金會庫存 720 萬個 CYS,自算 1,000 萬減 720 萬得 280 萬,與已被凍結的約 280 萬個吻合,也等於把「被賣掉的 720 萬」用庫存補回去,稀釋由基金會承擔,不是由持有者。這是對報導數字的整理,不是對代幣經濟的評論。
監管方面,這 48 小時我沒找到新的、可驗證的事件;背景是 SEC 在 10/1 提出投資顧問與基金託管加密資產的規則草案(新聞稿:自聯邦公報刊登起 60 天意見期,允許特定情形下自行託管與州信託公司擔任託管人),以及 8/18 的「Regulation Crypto Assets」草案(500 萬美元與 7,500 萬美元兩級豁免)。我沒查聯邦公報刊登日,所以兩者的意見期截止日我自己不下結論;一則搜尋摘要寫後者截止 10/20。
🧠 記
- Grandine: 撤銷 PR 1006 在 ACDE 後 1 時 0 分 42 秒合併,rc.2 晚 2 日 1 時 19 分 7 秒;「程式碼合併」與「版本發布」要分開當兩個事件。
- Hoodi: 沒有新日期;EF 公告明寫不設主網日期;第 5735 號議題開放,PR 5736 已存在、未合併。
- Initia: 官方根因為 MoveVM 腳本快取缺陷;停擺至今 2 日 7 時 21 分;USDC 轉接儲備 109 萬跌到 63 美元;報告很可能晚於重啟。
- X100: 閃電貸約 194 萬 USDT、買約 3.82 萬個 X;2 乘 19,000.000001 加 200 等於 38,200.000002;金庫賣 40 萬個 X 只換 35.68 USDT。
- Electrum: 10/11 首報、10/18 損失、10/23 標籤、10/24 公開,共 13 天;BlueWallet 10/25 開 PR 9050 對齊。
- ETF: 10/22 與 10/23 兩日淨流出 7.7343 億美元;週流量三個來源對不起來。
邊界: Grandine 時間戳來自 GitHub API 的 WebFetch 摘要,rc.1 只有日期沒有時分,rc.1 是否含排程是時序推論,未核對 commit;Initia 官方披露經 ChainCatcher、Industry Spread、CryptoSlate 轉述,我沒讀到官方貼文原文,儲備數字來自 CryptoSlate 引 Bitquery;X100 的分析來自單一第三方文章與多篇報導,合約機制沒有讀程式碼,13.13 美元均價是推論;Electrum 公告日期無時分;BlueWallet 只讀 PR 說明;ETF 資料為二手摘要且週數字互相矛盾;Lido 回滾、Tether 凍結金額與「十二月候選」皆是來源不明或互相矛盾的二手說法。這些是技術研究,不構成任何投資、質押、購買、合約部署、錢包操作或節點營運建議。
✍️ 實踐
全部唯讀,約 45 分鐘。
- 重建 Grandine 的時間表(約 10 分鐘),用 GitHub API 取兩個 PR 與兩個版本的時間戳:
curl -s "https://api.github.com/repos/grandinetech/grandine/pulls/980" | grep -E '"(title|merged_at)"'
curl -s "https://api.github.com/repos/grandinetech/grandine/pulls/1006" | grep -E '"(title|created_at|merged_at)"'
curl -s "https://api.github.com/repos/grandinetech/grandine/releases?per_page=3" | grep -E '"(tag_name|published_at|prerelease)"'自己算「合併到發布」的間隔,再回答:如果你是 Hoodi 的營運者,看主分支與看發布頁各給你什麼資訊,哪一個更早?
-
重算 X100 的帳(約 15 分鐘):用 194 萬、3.82 萬個 X、19,000.000001、100 的進場費,算買進均價、座位門檻金額、38,200.000002 的兩種拆法;再用 475 萬與 361,800 個 X 算平均變現價,解釋為什麼它遠低於買進均價,並回答:如果治理合約只補「時間鎖」,攻擊還成立嗎,需要哪些額外成本?
-
Initia 轉接儲備(約 10 分鐘):用 109 萬、63 美元、108 萬 USDC 算被提走比例與殘餘比例;把 AUSD 的 71%、ETH 的 96% 放進同一張表,寫出各自的假設(轉接器持有量是否等於合法供應),再說明「面值 700 萬、實付 300 萬、官方 270 萬」三個數字最可能的差異來源。
-
Electrum 時間線與驗證(約 10 分鐘):讀公告,算首報到公開、損失到公開、損失到標籤三段天數;再讀 BlueWallet PR 9050 的六項檢查,各寫一句「它擋住攻擊的哪一步」,並回答:對自己跑 Electrum 伺服器的人,這些檢查多餘嗎?
-
ETF 週流量對帳(約 5 分鐘):查 SoSoValue 或 Farside 的原始日表,把 10/19 到 10/23 五個交易日加總,與 2.282 億、3.012 億、4.43 億三個說法比對,看哪個起訖日對得上。
可證偽預測(時間皆 UTC):
- 預測一(Hoodi): 10 月 26 日 17:42:48 前任一客戶端發布含新的 Hoodi Amsterdam 或 Gloas 時間戳 1%;11 月 10 日前公布新的 Hoodi 啟用日期 25%;10 月 31 日前公布單一主網日期 2%。
- 預測二(Initia): 10 月 27 日 23:59 前公布事後報告 20%(由 50% 下修,因官方順序為修補、審計、重啟、報告);10 月 31 日 23:59 前 L1 恢復出塊 55%(由 65% 下修,因只有「幾天內」沒有日期);10 月 31 日前公布補償方案或時程 35%。
- 預測三(X100): 10 月 27 日 23:59 前專案公布官方聲明 45%(由 55% 下修);被取出資金追回超過 10 萬美元 5%。
- 預測四(Electrum): 10 月 28 日前 BlueWallet 的 PR 9050 合併或有其他 Electrum 協定錢包公布類似修補 60%;10 月 31 日前出現至少第三起公開受害回報 15%。
- 預測五(規格): 第 5735 號議題 11 月 1 日仍開放 80%;PR 5736 或其他修補 11 月 7 日前合併 30%。
- 預測六(Cysic): 10 月 31 日前完成銷毀 720 萬個 CYS 並有公開鏈上證明 55%;10 月 31 日前發布事後報告 40%。
明天接的待辦:Hoodi 新日期與 ACDE 下一次議程、Initia 重啟與審計、X100 聲明、PR 9050 與 PR 5736 的狀態、Cysic 銷毀與事後報告、ETF 週流量原始表。
🔗 延伸學習
- Glamsterdam on Hoodi Postponed(Ethereum 基金會部落格) — 延後的原因、不設主網日期與營運者要升級的版本條件(已開啟)。
- Electrum 安全公告 GHSA-6jp4-8v48-cc5v — 時間線、受影響範圍、修補 commit 與緩解方式(已開啟,內容為摘要)。
- X100 Exploit: A Flash-Loaned Senate Drained 4.75M(DEV Community) — 交易時間戳、座位門檻、提案內容與金額的逐筆分析(已開啟)。
- Initia hack drove its USDC bridge reserve down to 63(CryptoSlate) — USDC 轉接儲備的時間點數字、失敗的提領與官方說法(已開啟,內容為摘要)。
💬 問 AI
我在追蹤 Ethereum Glamsterdam 的 Hoodi 延後與 Grandine 的撤銷、Initia 的 MoveVM 事件、X100 治理攻擊、Electrum 4.8.3 的時間線與 BlueWallet 跟進,以及美國現貨比特幣 ETF 的流向(查證時間 2026-10-25 23:03 UTC,資料來自 GitHub API、安全公告、鏈上分析報導與多家媒體摘要)。以下是我整理的主張與推導,請協助查證並嚴格區分來源:
1. Grandine:排程 PR 980 於 2026-10-13 09:56:48 UTC 合併,撤銷 PR 1006 於 2026-10-22 15:00:42 UTC 合併(ACDE 第 248 次 14:00 開始後 1 小時 0 分 42 秒),3.0.0-rc.1 於 10/19 發布,3.0.0-rc.2 於 10/24 16:19:49 UTC 發布。我推論 rc.1 含排程。
2. Initia:官方根因為 MoveVM 腳本快取缺陷;攻擊約 10/23 14:59 UTC,停鏈 15:41:30。以太坊端 USDC 轉接儲備約 109 萬美元,最低 63 美元;AUSD 轉接器被提走 71%、ETH 轉接器 96%。CryptoSlate 說無支持餘額面值約 700 萬、實付約 300 萬,官方轉出約 270 萬。
3. X100:2026-10-24 14:11:47 UTC,閃電貸約 194 萬 USDT 買約 3.82 萬個 X,兩個輔助合約各凍結 19,000.000001 個 X、進場費各 100 個;第 7 號提案同交易內提出、投票、執行,金庫以最小輸出 0 賣出 40 萬個 X 換得 35.675313 USDT。我自算 2 乘 19,000.000001 加 200 等於 38,200.000002,與 40 萬減 361,799.999998 相等,並推論第一筆 475 萬美元對應平均變現價約 13.13 美元。
4. Electrum:公告時間線為 10/11 首報、10/18 損失回報、10/23 標籤、10/24 公開;修補為驗證錢包自有輸入的未確認交易簽章。BlueWallet 於 10/25 開 PR 9050 對齊。
5. ETF:10/22 淨流出約 6.35 億美元、10/23 約 1.3794 億,兩日 7.7343 億;週流量有 2.282 億、3.012 億、4.43 億三種說法。
請幫我:
(a) 檢查第 1 點:rc.1 是否真的含 PR 980 的排程?發布從主分支還是別的分支切出?查不到就明說;
(b) 檢查第 2 點:MoveVM 腳本快取缺陷怎麼讓攻擊者偽造狀態?面值 700 萬、實付 300 萬、官方 270 萬三個數字最可能的差異是什麼?我的轉接儲備殘餘比例算法在哪些假設下不成立;
(c) 檢查第 3 點:座位門檻比現任多「一百萬分之一個 X」的設計用意為何?40 萬減 361,799.999998 等於買進量是巧合還是機制?475 萬除以 361,800 的均價推論有什麼漏洞;
(d) 檢查第 4 點:輕客戶端不驗未確認交易簽章的設計理由?BlueWallet 的六項檢查各擋哪一步?自己跑伺服器就不受影響的信任假設是什麼;
(e) 檢查第 5 點:三個週流量數字的起訖日各是什麼,哪一個對得上 SoSoValue 或 Farside 的日表;
(f) 分三類標示每個結論:「文件明說的」、「你另外查證到的(附網址)」、「你的推論」,不要編造連結或數字,不確定就說不確定。
這是技術研究,僅供學習,不需要也請不要給任何投資、質押、購買、合約部署、錢包操作或節點營運建議。