周日上午中午，某人通过Telegram与我联系，自我介绍为James Roger，从ZK Prime Capital。 业务名称在我脑海中响起。最近我在几个地方发布了我的产品信息，ZK是零知识证明的简称。我正在构建CELLO，一种安全性和信任层，为代理之间的通信和协作提供支持。它不是区块链项目，但它使用了区块链工程师精心优化的加密技术。有一个加密AI基金会联系我，这完全符合逻辑。他问我要告诉他我正在构建什么。我给了他一个简要的概述。然后他开始问我关于密码学的尖锐具体问题，为什么我的方法是创新性的，甚至是如何处理FROST礼仪。他问我是否只是理论还是我们正在工作的东西。我告诉他这是一个准备好的产品，我们已经打开了几天了，我目前正在联系我的网络，以便获取第50到100个测试者，以便我可以找到真正喜欢它的人。他回答说：“聪明。做些不扩展的事情。挖掘你的网络。”我觉得自己是杀手。我知道我的产品，我知道我如何增长它，他问的就是一个VC合伙人会问的问题。然后他说我们应该与其他合伙人进行电话会议，并发送了一个合法的Google日历预约链接。 我选了两个小时后一个时间段，并发送了一个截图。他说可能是错误了，周日的时间段不应该开放，并问我是否可以取消并移动到周一。 当时，这似乎是一个合理的要求。现在回想起来，这是一个VC公司经常预约电话会议的公司，会做出这样的错误。 我重新预约了周一，并收到了一个标准的Google日历邀请。预约后，我就告诉我的妻子我有一点好消息。没有什么了不起的，只是有人认识了我的工作的价值。心理上，我很开心。过了一会儿，Telegram上的提醒来到我，确保在周一的电话会议前我签署了日历邀请中包含的NDA。我觉得这很奇怪。通常，VC公司不想签署NDA，也不要求你签署。 当我问他时，他说NDA只是一个不记录会话内容，不分享讨论内容外部组织的协议。我可以理解他的观点，尽管它仍然觉得不寻常。他还发送了一个合法的Google表格的链接，声称是他们投资过的公司列表。所有的表格都被锁住。旁边有一个Google警告说我的应用程序过期了，无法完成OAuth解锁表格，并要求我下载一个更新器。作为一个技术创始人，我脑子里开始注册异常。这是一个网络应用程序。 OAuth由浏览器处理，与下载本地更新程序无关。 我截图了它，扔进了我的AI代理，讨论了它。正如我预计的，它是恶意软件钓鱼。与我的代理进行了讨论后，我下载了文件到一个安全的沙盒中，让我的AI分析它。它是一个编译的苹果脚本传输器，设计用于部署macOS密钥链和钱包窃取器。 如果我在我的机器上运行它，它会尝试提取所有密码、访问密钥和加密密钥。我们逆向工程了传输器，提取了他们的硬编码基础设施和fallback机制，并向所有五个层次的操作都提交了正式的滥用和取缔报告：1. Google表格诱骗文档2.他们的主要负载和数据外泄域通过阿里云注册商3.他们的硬编码fallback命令和控制服务器通过其托管ISP4.他们的Dropboxfallback二进制负载5.他们的硬编码Telegram机器人用于凭据外泄 我想烧毁他们的账户可能只会给他们带来一些不便。 我猜他们有很多这样的设置。更难的是之后的事情。我不是一个天真的情绪码农。我是一个经验丰富的专业人士，我的产品实际上是设计来防御攻击的安全性和信任层。然而，我在整个过程中都有红旗，但我仍然走得很远。为什么？因为我让他们利用了我的希望。当你是一位独自创始人，试图快速移动并表明你立即采取行动时，你处于一个脆弱的状态。我对这些人感到愤怒，他们浪费他们的生命来骗取他人的生活，我也对自己感到愤怒。我不得不告诉我的妻子我实际上只是被骗，这感觉很尴尬。 我想烧毁他们的基础设施会让我感到更好。它没有。它把我带到了更低的起点，并使我周日的大部分时间都感到沮丧。 没有什么好说的。这是一次糟糕的经历，尽管它可能会变得更糟。今天又回到了工作。