E | ThinkPHP 5.0.x/5.1.x低于特定小版本就要升级。截至收盘，股价下跌1.65%。先把composer.lock或者框架目录里的base.php版本号翻出来，再对照官方安全公告。一般来说饮头啖汤的第一股有稀缺性，往往股价表现都还不错，比如短视频第一股快手虽然份额不及抖音，但刚在港交所上市时是非常稀缺的标的，市值一开始就突破了万亿。

F | HashKey Holdings作为香港加密资产第一股，股价表现却并不算出色。肖风创立的博时基金，作为“老十家”之一，至今仍然是公募行业头部公司。如今他创立的HashKey Holdings，能否也在行业里创造辉煌？公募大佬的加密资产之路出生于 1961 年的肖风博士，既是国内公募基金行业的拓荒者，也是区块链领域的领军人物，曾在1998年参与创立博时基金并担任了13年的总裁职务，一手将博时基金带成行业头部机构，2011年，肖风从博时离职，加入了鲁冠球的中国万向控股有限公司担任副董事长，执掌万向的金融板块，担任过旗下民生通惠资产、万向信托、通联支付、浙商基金等公司的董事长职务。 # 快速查看当前ThinkPHP版本 grep -r "VERSION" vendor/topthink/framework/src/think/App.php # 或者看composer.lock grep -A1 '"name": "topthink/framework"' composer.lock

自查第二步是限制后台入口。把admin、manage这些路径用Nginx做IP白名单或者加HTTP基本认证，别让搜索引擎随便扫到。

G | 从博时离开的肖风，似乎对于这些传统金融模式兴趣寥寥，包括在熟悉的公募领域，也并未带领浙商基金走出中下游的位置。

H | 他的主要精力，一直在区块链上。

I | 肖风敏锐捕捉到区块链的潜力，在万向的支持下创建万向区块链实验室，这也是中国首个非营利性区块链研究机构，孵化了 50 多个相关项目。他还在 2015 年资助以太坊创始人Vitalik，为万向在区块链领域的布局奠定基础。不过内地对于加密资产的监管始终严格，没有放开的迹象，于是他将阵地搬到了对加盟资产展露兴趣的香港。

J | 2022年，肖风在香港牵头成立 HashKey Group 并担任董事长。2023 年，HashKey 成功获得香港首张虚拟资产相关牌照，并构建起了交易促成服务、链上服务、资产管理三大业务板块。2025 年，HashKey 推进港股 IPO并在年底实现上市，成为港股市场中极具特殊性的加密资产企业。 HashKey定位为综合性数字资产公司，其核心是构建“交易-链上-资管”的闭环商业模式。2025 年上半年，交易促成服务贡献 68% 的收入，链上服务占 18.7%，资产管理占 13.3%，交易业务是基本盘，后两项业务则是重要补充且占比逐步提升。

K | 同时关闭debug模式，runtime目录禁止执行脚本。交易促成服务是 HashKey 收入的核心支柱，向加密资产交易者收取服务费用，一方面有交易佣金，主要来自 USDT、BTC 和法币交易对，且对零售客户、机构客户、合作渠道接入的 Omnibus 客户设置不同变现率，零售客户费率约 0.19%，机构客户约 0.07%，Omnibus 客户约 0.04%；另一方面，其场外交易采用委托模式，通过价差产生收入并作为佣金收入按净额基准列账；此外还包含数字资产公允价值变动带来的收益。截至 2025 年 9 月 30 日，该平台累计促成现货交易达 1.3 万亿港元，居香港区域性在岸平台之首。 # Nginx中禁止访问敏感路径 location ~* ^/(application|extend|runtime|thinkphp|vendor)/ { deny all; } # 禁止执行上传目录里的PHP location ~* ^/upload/.*\.(php|php5|phtml)$ { deny all; }

最后一条容易被忽略：不要用默认的应用名和入口。

L | 所谓在岸平台，可以理解为合规平台，在区域内注册获取牌照，在监管之下开展业务。如美国的coinbase就是美国的在岸平台。在岸交易所需严格遵循反洗钱（AML）、了解你的客户（KYC）等制度。很多扫描器直接请求/index.php/admin/login或者/index.php?s=/admin，你把后台入口改名，就能挡住一大半批量攻击。

M | 数据来源：ThinkPHP官方安全公告及topthink/framework GitHub仓库版本更新记录

申请创业报道，分享创业好点子。点击此处，共同探讨创业新机遇！。比如香港持牌交易所要建立法律合规团队，实施资金隔离，还得定期向监管机构提交财务报告和交易数据。

N | 离岸交易所以全球最大的交易所币安为代表，多注册在塞舌尔、开曼群岛等监管宽松的离岸金融中心，基本不受特定地区的严格监管约束，无需履行复杂的合规流程。这类交易所常通过监管套利降低运营门槛，甚至不设立固定总部，员工远程办公来规避监管追踪，仅通过限制严监管地区用户使用等方式免责。因此业务的灵活度很高。但头上始终悬着达摩克斯之剑，可能被拿捏，比如币安创始人赵长鹏自2017年离开中国后，开启了“流浪地球”的旅程，并在2023年被美国多机构起诉，涉及违反交易规则、洗钱等多项指控。2024 年 4 月他被判处 4 个月监禁，罚款72亿美元。

o | 回到HashKey的业务，链上服务是 HashKey 的差异化业务，主要涵盖三大类。一是质押服务，截至 2025 年 9 月，其质押资产规模达 290 亿港元，使其成为亚洲最大的质押服务提供商，全球排名第八，该业务通过为用户提供数字资产质押服务获取相应收益；二是代币化服务，聚焦现实世界资产（RWA）上链，目前主要针对金融资产，未来计划拓展到贵金属、算力、绿色能源等领域；三是基于自建的 HashKey Chain公链提供相关服务，这条链已处理价值 17 亿港元的资产，后续公司还计划通过 Gas 费等方式实现该基础设施的商业变现。资产管理服务是 HashKey 面向机构客户延伸的业务，是其链接传统金融机构的关键抓手。公司通过两只旗舰基金开展业务，既涉及早期项目的风险投资，也涵盖与肖风老东家博时基金合作的两只比特币与以太坊ETF基金。截至 2025 年 9 月 30 日，基金累计管理规模达 78 亿港元，完成了超 400 笔投资，且招股书披露基金投资回报率超 10 倍。

p | 该业务的收入主要来自为客户管理资产所收取的管理费，以及投资项目盈利后获得的业绩提成。业务数据来看，HashKey 还是有一些亮点的：市场占有率在香港领先，累计交易量增长。2024 年以 75% 的市场份额位居香港虚拟资产交易所交易量榜首，交易量从 2022 年的 42 亿港元暴涨至 2024 年的 6384 亿港元，两年间增长超 150 倍。

q | 不过2025年币圈表现不佳，交易量有所下滑。用户规模增长方面，注册用户从 2022 年的 18 人增至 2025 年的 144.7 万人。机构客户交易贡献突出。2025 年上半年机构客户贡献了 68% 的交易量，让该业务的交易基础更稳固。

r | 同时 2022 - 2024 年该业务推动公司收入从 1.29 亿港元增至 7.21 亿港元，年复合增速超 130%。此外，如上所述，质押资产规模位居前列，自研的以太坊 Layer2 网络 HashKey Chain，已支持现实世界资产（RWA）代币化，为后续链上业务拓展奠定了技术基础。造血功能略显不足既然如此，为什么股价表现不好呢？很重要的原因在于，业务虽有一些亮点，但整体上仍面临较大的发展困局。直观来看，是整体盈利与现金流数据堪忧，业绩持续巨额亏损且累计亏损额高。

s | 2022 - 2024 年累计亏损达 23.55 亿港元，2024 年单年亏损更是扩大至 11.896 亿港元，2025 年上半年仍亏损 5.067 亿港元。

t | 公司连续四年经营现金流净流出，2025 年上半年流出 2.66 亿港元，同比还扩大 10.7%。若按当时每月 4090 万港元的现金消耗速度，资金仅能支撑 40 个月。持续亏损，现金流净流出，原因来自两方面，一方面是收入端，交易与收入规模不足。HashKey基本盘在香港市场，而香港本地市场较小，除了人口不算多外，本地人在投资上更倾向于炒港股，对于加密资产的参与度在全球主要的区域市场中比例并不高。HashKey要想做大，更多还是要内地资金的参与。但内地对于加密资产的管理一直持严格监管态势，因此HashKey的交易量增长空间受到很大抑制。全球规模前十的加密资产交易所（资料来源：Coingecko）虽然在香港市场领先，但与离岸交易所相比，交易量差距巨大。按照Coingecko显示的当前交易数据，币安的24小时交易额为116亿美元，排名第一，HashKey交易所24小时交易额为1.2亿美元，居全球第16位。

u | 客户量方面，币安为3亿，而HashKey截至今年上半年为144.68万。较低的交易额带来较低的收入，2025 年上半年交易量HashKey降至 2140 亿港元，同期收入也从 3.84 亿港元降至 2.84 亿港元，同比下降 26%。同时，技术开发、获客、合规等方面，都消耗着大量现金，使得HashKey大幅亏损。按照今年上半年的数据，研发投入占营收的比重达到79%，营销投入占到营收的64%，行政开支占到营收的42%，所以亏损额较大。在目前的阶段，无论是技术开发、获客，还是合规，都是成长所必须的投入，意味着如果营收不能有较大起色的话，亏损还是会很大。这次IPO融资16亿港元，算是较大力度的补血，不过如果营收不能改善的话，未来经营压力还是比较大。当然，股价表现一般的另一大因素在于政策层面，最近在11月28日，央行牵头 13 个关键部门召开打击虚拟货币交易炒作工作协调会议，重申虚拟货币相关业务属非法金融活动，不具备法定货币的法律地位与法偿性，杜绝了市场对稳定币监管的模糊认知，再次明确了态度。虽然对于香港的政策不构成影响，但也进一步封杀了内地客户赴港投资加密资产的想象空间，香港持牌机构对内地用户的营销也会更为谨慎。成长性存疑如果内地市场政策不会放开，仅靠香港市场，很难支撑HashKey的成长。如果向其他市场扩展，又面临合规、市场推广等方面的大力度投入，更是面临币安等离岸交易所的强力竞争，哪一步都不好走。全球加密资产交易所呈现出头部巨头垄断、区域合规玩家崛起并存竞争格局。全球性巨头主导核心市场，币安依旧稳坐行业头把交椅，2025 年现货市场份额约 40%，7 月交易量达 6983 亿美元，用户数在年底达3亿，支持数百种加密资产交易。

v | 此外全球交易量大的交易所还包括Bybit、Gate、Coinbase、 OKX、Bitget等。虽然HashKey 凭借合规优势和区域业务优势，可以在区域市场争得一席之地，但未来格局仍可能是赢者通吃。

w | 一方面，加密资产跟ETF有些类似，大平台有流动性的优势，可以实现大额交易的撮合，以及更快更好的成交，因此有向大平台集中的驱动力；另一方面，虽然区域合规平台有合规优势，但离岸大平台经过这些年的野蛮生长，财务实力雄厚，能支撑其在全球主要市场申请牌照，做合规生意，如币安在欧洲、中东和亚洲多个司法辖区集中申请并更新牌照，最近刚在阿布扎比获得牌照，在巴基斯坦获准启动加密货币交易所牌照申请流程。这样，区域合规交易所的合规优势也有可能被瓦解。目前交易所第一梯队的公司，具有很高的现货、衍生品流动性，覆盖大量零售和专业交易者，产品线全（包括永续、期权、理财、Web3、Launchpad等），形成了强网络效应和流动性深度，做市与风控系统成熟，用户迁移成本高，因此壁垒较难被攻破。相比之下，HashKey 本质上押注的是香港成为亚洲合规加密金融中心，传统金融资金“被允许”进场交易，如果这些不能实现，则成长性存疑。实际上从制度来看，在岸合规交易所是很难打败离岸交易所的。

x | 交易层面，在加密资产这种高波动、高杠杆、强投机的市场里，较少受约束的离岸交易所天然更适合进化为“高杠杆、高流动性平台”，高杠杆、高波动、高周转是离岸交易所超额份额和高额利润的主要来源，而这三件事，恰好是监管最想压制的。被监管许可的平台，杠杆受限，强制做投资者适当性管理，不匹配很多加密资产交易者的需求，不可能做到很大交易量。合规交易所天然丢掉最赚钱的业务。在资产方面，离岸交易所上币快、审核松，能吃到最早的交易热度；合规交易所要执行法律审查、披露义务、投资者保护要求，永远吃不到第一波流动性。在交易所竞争中，一旦落后，很难追赶。从美国、日本、欧洲、韩国等加密货币主要市场来看，都是离岸所强过在岸所。 HashKey为什么能上市？既然中国对于加密资产的监管并未放松，HashKey空间不大，为什么还能上市？ HashKey 能在港交所上市，并不意味着中国放松了对加密资产的监管。内地对加密资产交易、挖矿、ICO 仍然严格禁止，香港则某种意义上被授权作为“金融试验区”，实行差异化监管制度，从而达到一种风险隔离、金融开放可控推进的监管治理格局。 HashKey 注册主体在香港，监管机构为香港证监会，不面向内地居民，不进入内地银行体系，因此HashKey 在法律上是一家境外金融机构，不构成对内地现行监管框架的挑战。