squeekchain 이라고 햄스터가 쳇바퀴굴려야지 블럭 채굴되는 채굴체인인데 귀엽네 열심히 달려서 블럭 채굴중...

지금은 테넷이고 NFT랑 토큰 곧 나올듯
https://sepolia.squeekchain.com/
https://x.com/squeekchain/status/2114477954394915325?s=20

코인원, 컴프야V26 제휴...신규 회원에 아이템 지급
https://www.digitalasset.works/news/articleView.html?idxno=43824

이게 매스어답션인가 뭔가 그건가요

$MSFT - 마이크로소프트, AI 투자 확대로 6만 명의 직원에게 희망 퇴직 제안
🔸 미국, 캐나다, 인도, 영국을 포함한 전 세계 6만 명의 직원이 대상.
🔸 6월 현재 전 세계 직원 수는 22만 3천 명.
🔸 데이터 센터 팀은 이번 제안에서 제외됩니다.
🔸 대상 직원은 퇴직금과 유사한 혜택을 받게 됩니다.

오픈AI에서 지수시간가설(Expoential Time Hypothesis)이 거짓임을 증명하고, 이를 Lean으로 검증까지 마쳤다고 공개해 수학/컴공학계에 충격을 주고있습니다.

지수시간가설은 난제(np-complete)의 해를 찾는 알고리즘의 하한선을 제시하는 데에 주로 쓰이는 개념인데, 난제급 문제라면 아무리 효율적인 알고리즘을 짜더라도 2^O(n), 즉 지수시간보다 빠르게 풀 수 없음을 못박아두는 가설입니다.

오픈AI에서는 이중 일부의 집합에 대해 지수시간가설이 틀렸음을 증명했다고 주장하고 있는데, 사실이라면 지수시간가설에 기반해 결론을 냈던 수많은 문제들의 최적해가 뒤집힐 수 있는 가능성이 생깁니다. 내가 보고있는게 맞나..

https://x.com/danintheory/status/2114833682469122314?s=20

피클 창업자가 누군지 궁금해서 살펴보니 완전 한국인이시네요.

한 분은 경희대의대 출신이시고, 한 분은 와튼스쿨에 하버드 비즈니스 스쿨 출신.

https://www.linkedin.com/in/danielpkl?utm_source=share&utm_campaign=share_via&utm_content=profile&utm_medium=ios_app

https://www.linkedin.com/in/sangjun0704/?locale=ko

세상은 넓고 똑똑하고 대단한 사람은 많다..

롯데, 채용 연계 ‘AI 경진대회’ 연다

오는 28일부터 예선 접수를 시작하며, 롯데월푸드, 롯데칠성음료 등 7개 계열사가 참여합니다.

오픈AI가 기술 지원을 담당하고, 학력 및 나이 제한 없이 누구나 AI 에이전트 기획 및 개발 능력을 갖춘 인재라면 참가 가능합니다.

출처

#국내

하이닉스 따라하네요

https://x.com/Salmonbro/status/2114866931526218109

중국 대출 업체가 인도 진출했는데 6년만에 사업 접은 이유

1. 빌려주고 갚으라고 독촉하면 왜 갚아야 하는지 물어봄
2. 중국에서는 그럴 경우 연락처에다 싹 다 소문내서 체면을 구기는 방식으로 빚을 받았는데, 인도에서는 안 통함
3. 심지어 빌려준 사람 친구한테 소문내니 혹시 자기도 빌릴 수 있냐고 물어봄

강한 자만 살아남는 인도

X에서 내용 대충 살펴보니까 Privy 자체의 문제가 아니고 Predictfun api docs의 프론트를 공격해서 탈취한듯?

1. Privy는 지갑 생성시 key를 두 갈래로 쪼개서 보관하는데, 보통 Privy의 TEE 안에서 서명하는 순간에만 합쳐졌다가 다시 지워지는 형태라, 아무도 key에 접근권한이 없는 상태.

2. 하지만 사용자가 export를 눌러서 key를 뺴는 순간 열쇠 자체가 TEE 밖으로 나오게 되므로 이때부터는 우리가 알던 일반적인 시드프레이즈와 같은 상태의 보안 레벨을 가짐.

3. predic fun api docs에서는 봇을 돌리는 유저들에게 privy 개인키를 넣으라고 안내했는데, 요 부분의 프론트를 공격해서 예제 코드나 설치 명령 같은걸 몰래 바꿔치기해서 사용자들의 키를 탈취한 듯 (공격 방식에 대해서는 제대로 찾아볼 수가 없었고, 이런 방식이였을 거라고 추측하는 듯.)

4. 컨트랙 자체가 뚫린게 아니고 결국 key 자체가 노출이 되어서 피해자들의 지갑으로 정상서명되면서 자금이 추출됨.

따라서 privy 쪽 문제는 아닌 것 같고 predictfun 쪽에서 만들어낸 사고로 보이네요.
근데 보안점검은 다다익선이고 아직 사고 루트가 확정난게 아니라서 일단 인용글에 나온대로 싹다 해두시는걸 추천.

프리비는 TEE와 온디바이스 방식을 모두 지원하지만, 이 장에서는 신뢰 실행 환경을 활성화한 구성을 기준으로 보겠다. 먼저 개인키는 외부 접근과 네트워크가 차단된 AWS Nitro Enclave 내부에서 생성된다. 프리비는 생성된 키를 통째로 보관하지 않고 샤미르 비밀 공유(Shamir's Secret Sharing) 알고리즘을 통해 두 조각으로 분할한다.

샤미르 비밀 공유는 비밀 값을 여러 조각으로 나눠 정해진 개수 이상이 모여야만 원본을 복원할 수 있고, 그 미만의 조각으로는 원본에 대한 어떤 정보도 얻을 수 없게 만드는 암호학적 분할 기법이다.
두 조각의 역할은 서로 다르다. 인클레이브 조각(Enclave Share)은 TEE 안에서만 열리도록 잠기고, 인증 조각(Auth Share)은 유효한 로그인 요청이 있을 때만 서명 경로에 투입된다. 2-of-2 구조이므로 어느 한쪽만으로는 개인키를 복원할 수 없다.

서명이 필요할 때는 두 조각이 격리된 메모리에서 일시적으로 결합된다. 거래 요청이 입력되면 프리비 API가 인증 정보를 확인한 뒤, 암호화된 인증 조각과 요청을 TEE로 전달한다. TEE는 권한 서명과 관련 정책을 검증한 후 두 조각을 결합해 서명하고 키를 즉시 파기한다. 네트워크와 격리된 TEE는 서명 값만 반환하며, 실제 거래 전파는 호출자나 API가 담당한다. 결국 이 서명 경로에서는 개인키가 TEE 내부에 일시적으로 복원되고, 사용 후 즉시 폐기된다.

물론 이 구조가 곧 완벽한 자기수탁(Self-custody)을 뜻하지는 않으며, 지갑의 실질적 통제권은 키 분할 방식이 아니라 소유자, 추가 서명자, 정족수 설정이 결정한다. 클라이언트 SDK 기반 소비자 지갑에서는 사용자가 기본 소유자이며 키를 내보낼 수 있지만, 서비스 권한 키를 소유자로 지정하면 서비스 통제형 지갑이 된다. 또한 이메일이나 소셜 계정이 지갑의 입구이므로 로그인 수단이 탈취되면 지갑도 노출될 수 있어, 고액 자산을 다루는 앱에는 패스키나 MFA 도입이 권장된다.

[출처]

저도 프레딕펀 사고 관련해서는 서드파티가 호스팅하는 api docs 페이지가 탈취당했다라고 알고 있었는데, 팀에서 정확한 정황을 아직 공개를 안해서 키가 탈취되었는지 여부까지는 알려지지 않은 상황입니다.

팀에서 말한대로라면, 말그대로 드레이너 달린 피싱사이트에 접근한거나 다름없게 만들 수 있으니 다양한 공격이 가능합니다. 뭐 이미 로그인되어있는 privy 계정에서 키 추출해서 빼갈수도 있고 다른 유형의 공격도 가능하고.. 뭐가 되었건 이런 유형의 공격이라면 privy 내에서 발생한 취약점은 아니긴 합니다.

차라리 이거로 끝이면 다행이라고 생각.

이번 로빈후드 어닝콜 보고나서 로빈후드 생태계에 대한 개인적인 생각을 정리해보았습니다.

https://x.com/c4lvin/status/2115623760577622168?a=90SU3tp_0WVFuqomNz4&s=20