#безопасность: продолжаем тему взлома Леджера... давайте вспомним даты:

• 2019: в просмотренных источниках не нашёл подтверждения утечки клиентской базы Ledger, но, помнится, что именно оттуда начались жалобы на форумах о спаме и т.д.
• 2020: ledger сообщил о доступе к базе через API-ключ: сначала речь шла примерно о миллионе email и 9 500 более подробных записях. после публикации базы Ledger уточнил, что имена, адреса и телефоны были в примерно 272 000 записей.

• 2021: стал известен случай с поддельным письмом о замене и изменённым устройством с USB-флешкой. Специалист предположил, что она могла использоваться для доставки вредоносного ПО; подтверждений перехвата сида или eSIM в этом устройстве нет.
• 2025: ledger подтвердил, что письма с QR-кодом и просьбой ввести recovery phrase - мошеннические: версия, что адреса взяли из старой утечки, публично не подтверждена.

2026: ledger подтвердил имплант как минимум в одном устройстве, связанном с расследуемым случаем: исследователи описали захват вывода экрана и нажатий кнопок с передачей через LTE/eSIM (но масштабы потерь и вся цепочка атаки ещё расследуются).

к чему это я? поймёте, посмотрев сегодняшнее видео, кот. уже на YT-канале, но пока проходит проверку: скоро будет здесь...

#безопасность: и, собственно, само видео: https://youtu.be/-4FFw3a1fMk?si=6fQbSsRAhNafiiBD

#безопасность: чтобы понять масштаб бедствия - рекомендую оценить эти цифры: по каждому периоду они будут колебаться, но суть останется той же...

рынок аппаратных кошельков - довольно "узкий": и это - скорее - проблема.

#безопасность: что ни пиши, не говори, и не сообщай иным способом, но найдётся не мало тех, кто считает, что взлом Ledger (или ему подобный) - это крах. хотя на деле любая система всегда проходит процесс потерь и ошибок, кот. оборачивается в итоге её эволюцией. вот это видео висит у меня в очереди уже порядка 2-х недель, но сегодня пришло и его время: в нём как раз рассказано, как СССР повлиял на зарождение банковских карт в Америке, а также почему карты с магнитной ленты потихоньку переросли в карты с чипами... всё это - тоже череда проб и ошибок.

аналогии (на мой взгляд) прямые с тем, что произошло и происходит в Web 3.0 & Web3 сегодня...

#безопасность: а теперь посмотрим на это относительно произошедшего:

"согласно анализу атаки, проведённому Donjon, имплант находится внутри корпуса и считывает данные, отображаемые на экране. При настройке устройство показывает фразу восстановления из 24 слов. Когда имплант обнаруживает эти экраны, его микроконтроллер распознаёт слова и передаёт их по LTE с помощью заранее активированной eSIM. имплант - отдельный компонент. Он не изменяет Secure Element или операционную систему Ledger и не меняет транзакции или подписи". то есть в общем-то - то же шпионское ПО, что и в ролике выше, только прошло уже лет 60-70.

поэтому знать о том, что внутри любого "чёрного ящика" всегда нужно и важно. недаром же подобные статьи на сайтах производителей тех же аппаратников постоянно не только появляются, но и обновляются: https://support.ledger.com/ru/article/4404382029329-zd

"в итальянском языке есть слово для обозначения такого рода вещей - furbizia, то есть изобретательность, которую итальянцы проявляют, чтобы обойти бюрократические препоны и неудобные законы... в хинди есть похожее слово, подчеркивающее ловкость и находчивость при решении проблем, - jugaad. В бразильском португальском эквивалентом является gambiarr": и всё это о том, что гибкость ума - качество, кот. нужно и важно в любые времена. особенно, когда кажется, что всемогущий ИИ заменит нас всех, а вездесущие хакеры - готовы взломать любую систему за считанные секунды...

#фа: по ссылке приведена таблица сводная закрытых проектов (78) за последний год-полтора:

• нет ничего необычного в том, что проекты закрываются.
• нет ничего необычного в том, что закрываются даже те проекты, кот. собрали не мало денег.
• нет ничего необычного, наконец, в том, что это происходит в Web 3.0 & Web3.

но есть несколько вещей, кот. вводят меня буквально в ступор. перечислю 3 из них:

1. странно, что проекты до сих пор верят CEXs и (их) маркет-мейкерам, хотя эта связка убивает фактически любые начинания.
2. ещё более странно, что проекты верят в дешёвую инфраструктуру и закладывают на неё гораздо меньше, чем нужно.
3. совсем уж странно то, что проекты пытаются делать пивоты в слишком разные векторы.

последний пункт, как мне видится, погубил целые сегменты. понятно, что без обновлений тоже не обойтись, но это другая крайность. если же обобщить все 3 тезиса, то получится всего 1, кот. к тому же охватывает и прочие "ступоры": дело в том, что криптопроекты до сих пор живут 1 днём и ничего не откладывают на чёрный день.

приведу 3 примера для демонстрации:

1. в эпоху ICO многие получали деньги в ETH и... не делали достаточного кэша, кот. потом всё равно платили з/п и т.д. скажем, даже в Synergis мы пришли к тому, что оплата всегда производится в ETH, а не USD и поэтому при падении вы в USD получаете меньше, но при росте - больше. а в среднем - достаточно.
2. подход 25/4 описывал больше сотни раз, но... майнеры - даже самые крупные - к 2026 г. вместо этого тупо перешли на "более выгодный" AI-сегмент, забыв, видимо, что доходность обычно падает после пика, а на растёт.
3. и да, оплата той же инфраструктуры в др. проектах - это тоже отсутствие резервного фонда на медвежий рынок...

и вывод здесь один: не будьте как эти криптопректы :). резервный фонд - не красивая мечта, а жёсткая необходимость, кот. следует формировать сразу же...

#фа: есть тема, или, так скажем, вопрос, которому бы хотел уделить намного больше внимания, нежели то, что заложено в 1 посте, но вынужден начать именно с него, потому что то, что написано ниже, весьма кстати дополняет мои мысли, оформленные выше, с одной стороны, а с другой - расставляет нужные акценты в тех аспектах, которые могут быть попросту незаметны. 

суть:
1. много раз приходилось в жизни слышать, читать и видеть, как люди утверждают, что, “если бы у меня был миллион (долларов США), то тогда бы я…”. (думаю, вам тоже?).
2. и подразумевают они, что жизнь их была бы лучше, семейные ценности - стабильней, а путешествия - куда более частыми... (и всё в этом духе).

проблема:
1. заключается в том, что даже на примере Web 3.0 & Web3 видим обратное: люди, имеющие деньги, вместо того, чтобы изучать NFT 2.0 как подкласс программируемых ассетов, вкладывали деньги в JPG-картинки разной “редкости” и  в итоге многие из них остались ни с чем, а veNFT, Uniswap v.3 NFT, NFT ID, etc. остались живы-здоровы и вполне состоятельны. 
2. ещё один момент - то, что деньги вложить не так уж просто в этом мире. да, именно так: с одной стороны вам не будут рады, если купите где-то дорогую квартиру или дом сразу - придётся пройти процедуру очищения; но с другой, в любой момент какой-то фискальный орган может потребовать это всё ещё и “взад”, как говорили раньше. 

вывод:
1. и мысль, которую считаю столь важной, заключается в том, что $1M или даже $10M могут быть не достаточными не потому, что не сможете до них добраться (равно как и до $100M или $100B), а потому, что достижение их - лишь точка отсчёта: пусть и на другом уровне. скажем, множество людей плавает, но Майкл Фелпс всё ещё один; многие люди водят авто, но М. Шумахер и Л. Хэмилтон - тоже пока одиноки в титулах; огромное число людей вайб-кодит, но тех, кто идёт дальше, по-прежнему мало…
2. и рывок с нуля до единицы ($0 до $1M) может быть архисложным, но рывок с выжиданием следующей крупной победы может быть ГОРАЗДО СЛОЖНЕЕ.

и вот на этих двух словах, выделенных мной капслоком, увидел целое кладбище судеб: это одна из 3-х главных причин, почему отказался от эдвайзерства и в итоге - от консалтинга (в конце-концов, думаю, откажусь и от большей части аудита). 

и именно поэтому, когда человек говорит про деньги, хочу знать НЕ то, сколько он заработал, а сколько и на что он потратил. но это - уже другой, не менее важный вопрос.   

посыл же поста в том, что здесь-и-сейчас находимся на последней стадии классического криптофшора, кот. даёт шанс всем: дальше, как уже писал, будет только сложнее. намного. и напомнить, считаю, об этом, самое время.

#безопасность: и завершу неделю тем же разбором, с которого начал, но только теперь посвятим давайте время не пресловутому Ledger, а… гос. услугам Дании. почему? сейчас поясню:

• недавно был официально подтверждён доступ к данным около 8,8 млн человек из датского Центрального реестра населения - CPR (это при том что в Дании проживает чуть больше 6 млн): имена, адреса, персональные номера и другие сведения - всё утекло наружу. важно! злоумышленник при этом использовал легальный доступ частной компании к реестру: об инциденте объявили 5 октября 2026 года, но, как обычно, случится всё могло сильно раньше. 
• пруфы сверял тут: fudm.dk и тут. 

• той самой компанией оказалась Pays ApS: по сообщению Politiken (кот. пересказывает The Register), как минимум 3 её учётные записи, включая административную, имели пароль =>123456<=: человек, назвавший себя исполнителем атаки, утверждает, что проник именно через такую учётку. власти публично не подтвердили пароль как установленную причину взлома.
• но по данным того же The Register со ссылкой на TV 2 уже на 10–20 сентября (!) провели ок. 14 млн автоматизированных запросов: обнаружили происходившее 2 октября, когда сотрудник заметил необычно большой счёт за обращения к реестру. 

вопросов много. на ряд из них есть ответы:
1. почему 8.8 млн? потому что реестр включает умерших и уехавших. 

2. почему обнаружили не сразу? не известно. 
3. почему в эпоху ИИ-взломов пароль столь простой? не известно. 
4. почему не было аудита такой системы? не известно. 

одним словом, все возгласы относительно того, что “сертификация поможет” или “аудиты - мастхэв” звучат, конечно, красиво, но на практике ничего толком не прибавляют, если после аудита снова начинается разброд и шатание, а сертификация проводится методами XX,  а не XXI века, т.е. не онлайн и не ончейн. 

поэтому то, что происходит внутри Web 3.0 & Web3 относительно взломов - не норма, но неизбежность. и вопрос в том, как системы на это реагируют: вижу, что закрытые системе не реагируют вовсе, а открытые развиваются дальше, хотя, безусловно, ряд из них гибнет, но это фича, а не баг эволюции.

#безопасность: поставил точку для себя в деле Ledger, хотя, конечно, точки никакой в нём не будет, потому что вопросов ещё слишком много и то, что команда написала в своё оправдание, и то, что начала рекламу новых устройств сразу после - это всё не самые удачные решения, но как бы там ни было пример о том, почему аппаратный кошелёк != холодный, теперь у многих на слуху: https://youtu.be/02HGB9zjiUk?si=I5OnUelemmjn7ljS

#книга: сегодня расскажу о ней в старом формате, т.е. с вырезками из текста… 

название: “Драйв: Что на самом деле нас мотивирует?”. 

скажем, в ней рассказывается о ROWE - методология, кот. предоставляет служащим полную самостоятельность в том, когда, где и как им выполнять свою работу: единственное, что имеет значение, - результат.

или, например, в эпохальной книге 1960 г. “Человеческая сторона предприятия”  придала практике менеджмента недостающий ей элемент гуманизма. и именно тогда появилась чёткая градация на 2 подхода:
• первый подход, названный теорией X, исходил из предположения, что люди избегают усилий, работают лишь ради денег и безопасности, в силу чего их необходимо контролировать.
• второй подход, кот. называли теорией Y, постулировал, что работа так же естественна для людей, как игра или отдых, что инициатива и творчество широко распространены и что, если у человека есть цель, он с готовностью принимает на себя ответственность.

и, вроде, прошло уже более полувека, а не все с этой мыслью свыклись. 
 
или - вот ещё: в последние 20 лет в США невиданными темпами росло движение домашнего образования. и самое быстро развивающееся направление этого движения - не-школьники… кто это и чем они заняты - оч. важный аспект… 

в общем, книга кому-то покажется занудной, потому что в ней очень с разных стороны обсуждаются очень схожие аспекты, но, если вчитаться, то получите весьма не дурное пособие по развитию мотивации в эпоху, когда не мотивированных людей становится всё больше… 

а уж как переложить это на Web 3.0 & Web3, думаю, большого секрета нет.

коротко: о последних событиях... а вот где - каждый пусть решит самостоятельно.

о важном: митап, которого не было… и не будет.

осенью, как обычно, хотелось многое: собрать новые проекты, обсудить творчество в XR, разобрать сложные инновации последних мес., раскрыть ряд прогнозов…

но всё упирается в то, с чем сталкиваюсь всё чаще: все всё знают, хотя почему-то продолжают совершать те же ошибки. и, понятно, что “все” - многие из тех, с кем не работаю напрямую, но встречаюсь в комм., обсуждениях, etc. равно понятно, что сам от ошибок не застрахован. но суть в другом.

#AI поставил перед нами (min - передо мной) экзистенциальные вопросы. даже аналогии с началом XX века, когда скопом выстрелили самолёты, автомобили, кино и радио, уже не вполне помогают.

общение с людьми из года в год сокращалось и прежним уже не будет: кроме семьи и редких коллег, фактически нет нужды в событиях, сервисах и др. взаимодействиях. возможно, и раньше проку было немного, но контент служил добрую службу: книги, исследования, эссе, видео, проч. но - теперь всё стало гораздо доступней. в оффлайне толку нет от "родины", в онлайне - от клиентов.

и, говоря откровенно, для многих это, лавинообразное, раскрытие данных стало когнитивным тупиком. признать готовы не все, но кризис заметен УЖЕ невооружённым взглядом. дальше лучше не будет: простите за реализм на грани цинизма.

поэтому с этой осени перевожу канал на новый формат:
• курсы, кот. навряд ли кто-то другой будет делать: будь то полноценный вход в опционы вместо хайп-обрезков; или поиск крипто-кладов и проч.
• фундаментальные записи в блог - сократятся: переводы занимали до 10-20% текстовой ч., но теперь их качество потрясающее. + часть тем уйдёт в канал: блог-платформы оставляют желать лучшего, а #ДСС и подавно.
• видео-дневник: позволяет систематизировать мысли даже быстрее текста, написанного от руки. поэтому акцент на него.
• остальное - “под нож”. останутся сервисы с накопленным трафиком выше условного min. прочее - в архив.

но это - тех. детали.

если дочитали сюда, то, возможно, уже поняли: стадия “отрешения от людей” (отречение - термин неподходящий) в эпоху перехода к ИИ-псевдо-коммунизму станет неизбежностью для многих: если не для всех.задачей, но не целью, вижу то, что всегда было в авангарде деятельности: продемонстрировать это заранее. и показать, куда от этого можно уйти, а равно - как с этим совладать.

криптофшор & WW3 изменятся. отношение к токенизации - тоже. личное время будет сокращаться, зависимость от токенов для ИИ - увеличиваться. а почти все системы станут максимально хрупкими.

свободой в этом сценарии и не пахнет. но за неё стоит сражаться. и это сражение - не то, что демонстрирует ЕС на улицах или РФ в небе; не то, что предлагает молчаливый уйгурский Китай; и уж точно не то, что дано санкционно-блокадными США.

и, наверное, это всё…

#фа: для начала сегодня напомню стадии пузыря.

почему?

потому что сейчас в мире сформировано сразу несколько таковых: начиная с геополитики, заканчивая фиатными #cbdc, кот. навязываются, конечно же, не так, как думалось Замятину, Оруэлу и др., в том числе - нынешним СМИ.

что до нашей сферы, Web 3.0 & Web3, то здесь пузыри взращиваются и лопаются довольно быстро, образуя условную "пену" и пока есть приток ликвидности - эта жидкость просто "кипит".

с практической точки зрения это означает, что все основные функции: средство сохранения, средство обеспечения, средство обмена (заметьте, я не говорю - платежа или покупки) крипто-ассетов фактически срослись с классическими финансами и те, кто ожидает полного по-в-торения возможностей и реализаций ("старых" денег), находится в постоянно проигрышном положении...

#фа: а теперь давайте посмотрим на эту сводную инфографику:

кажется, чего же проще?
1. возьмите предыдущие циклы.
2. рассчитайте все показатели.
3. и переложите на будущие периоды.

не нужно учитывать влияние институционалов и др. игроков новых; не стои заморачиваться с проблемами майнинга, кот. очевидно возникли в эпоху #AI; также нет нужды выискивать какие-то сложные, фундаментальные, факторы...

проблема в том, что примерно также сформулировали для себя альтсезон многие и, как покажу позже, фактически лишили себя инвестиций / вложений / участия в альткоинах и альт-токенах: всеобщего ажиотажа не случилось (да и не должно было), а редкие, но важные образчики остались за бортом, поскольку внимание отвлекали разного рода мемы и проч. хайп.

но польза от подобных конструкций всё равно есть: они дают понимание, куда и как движется толпа, а значит - можно всегда искать тот фарватер, где её попросту нет.

на практике это выливается в 3 стратегии:
1. ранний вход - до обсуждений "нарративов";
2. использование вечного портфеля со всеми способами / методами удешевления входа;
3. "игру" против этой самой толпы.

последний пункт - пожалуй, самый доходный, и часто связан с опционными стратегиями, но не только...