ستة أشياء عن تعلم أمان العقود الذكية لا يعدك لها أي دورة أو خيط أو خارطة طريق: 1. الفجوة بين "أستطيع شرح هذا الخطأ" و"أستطيع اكتشاف هذا الخطأ في كود غير مألوف" هي العمل الفعلي. الجميع يعلمك الأول. تقريبًا لا أحد يعلمك الثاني. 2. كل تقرير تدقيق تقرأه يعلمك بنفس القدر الذي تتعلمه من أي دورة، لكن لا أحد يخبرك بقراءتها. 3. مكونات DeFi مثل Aave وUniswap والإقراض وآليات التبادل التلقائي (AMMs) ليست اختيارية. لا يمكنك تدقيق ما لا تفهمه. 4. مهارة الكتابة تمثل نصف الأجر. اكتشاف الخطأ هو النصف الآخر فقط. 5. الذكاء الاصطناعي هو أفضل شريك دراسة في العالم إذا استخدمته بشكل صحيح. وهو أسرع طريقة لخداع نفسك حول تقدمك إذا لم تفعل ذلك. لا أحد يقيم تقدمك. هذه الحرية هي جوهر الأمر وأصعب جزء فيه. لا أحد يرسل لك هذه القائمة. أنت تكتبها بنفسك مع تقدمك.

معظم الناس يختارون المسار الأسهل. ليس لأنهم كسولون، بل لأنه أسهل. الأسرع يفوز، والتغذية الراجعة أوضح، ووظيفة في النهاية يمكنك شرحها حقًا لوالديك. اخترت أمان العقود الذكية. المنحدر قاسٍ. دورة التغذية الراجعة تستغرق شهورًا. في بعض الأيام، من الصعب حتى معرفة ما إذا كنت تحرز أي تقدم على الإطلاق. لكن السقف مختلف، والشك الذي أشعر به معظم الليالي هو مجرد ثمن السعي وراءه. إذا كنت أيضًا على طريق صعب، فأنت لا تحتاج أن يصبح أسهل. تحتاج فقط إلى الاستمرار في الظهور.

دافعنا مؤخرًا عن مشروع التخرج الخاص بي في الجامعة، وهو نظام تصويت قائم على البلوكشين لانتخابات الجامعة. استخدام Keccak256 للتحقق من الهوية. ستة أشهر من العمل. ثم قرأت تقرير BonkDAO هذا الأسبوع. تم سرقة 20 مليون دولار دون وجود أي سطر كود ضعيف. المهاجم ببساطة اشترى ما يكفي من الرموز لتمرير الاقتراح. كان نظامي سيCollapse بنفس الطريقة. الكود كان نظيفًا. عملت تجزئة الهوية بشكل صحيح. تم تطبيق نمط Checks-Effects-Interactions في كل مكان. لكنني لم أُنمذج طبقة الاقتصاد أبدًا. لم أسأل ماذا يحدث عندما ينخفض تكلفة امتلاك القوة التصويتية عن قيمة ما تتحكم فيه العملية التصويتية. ولم يلاحظ فريق التقييم الخاص بي هذا الخلل أيضًا، لأن هذا ليس المكان الذي يبحث فيه أحد في الجامعة. الفجوة بين أن يكون كودك صحيحًا وأن يكون النظام آمنًا هي المكان الذي تعيش فيه العمل الحقيقي. هذه هي الجهة التي اخترت التركيز عليها خلال السنوات القليلة القادمة.

لقد كتبت أوراقي النهائية ودافعت عن مشاريعي. الجامعة انتهت رسميًا. بعد 7 أشهر من العمل في أمن العقود الذكية، لم أجد أي ثغرات. ولأول مرة في حياتي، أملك يومي بالكامل. لذلك، سأخصص الأشهر الثلاثة القادمة لمهنة واحدة فقط: أول اكتشاف صالح لي بحلول 1 أكتوبر. الروتين اليومي: → تحدي Ethernaut يوميًا → إكمال دورة CyfrinUpdraft المتقدمة في Foundry → قراءة تقارير Solodit لفهم كيفية اكتشاف الثغرات الحقيقية → كل شيء موثق على GitHub المحطة الأولى: First Flights. سأكون صريحًا، إن صيد الثغرات الحقيقية في قواعد الكود الحقيقية يخيفني. الدروس التعليمية تجعلك تشعر أنك مستعد. أعلم أنني على الأرجح لست كذلك. لكنني أوثق كل شيء هنا. الانتصارات، الرفض، وكل شيء. إذا كنت أيضًا في بداية هذا المجال، فتابع معي. دعونا نرى كيف يبدو 90 يومًا من التركيز الكامل حقًا.

7 أشهر في أمان العقود الذكية. لا توجد اكتشافات بعد. لكنني اكتشفت شيئًا عن الذكاء الاصطناعي غيّر طريقة تعلمي. كنت عالقًا في فشل اختبارات Foundry لعدة أيام. كنت أطلب من كلاود تحسينها. فكان يفعل ذلك. ثم ينكسر شيء آخر. الحلقة لم تنتهِ أبدًا. ثم توقفت عن طلب التصحيحات وبدأت أطلب التفسيرات. فجأة، كنت أفهم الكود حقًا بدلاً من مجرد إصلاحه. تغيير صغير. نتيجة مختلفة تمامًا. إذا كنت مبتدئًا تستخدم الذكاء الاصطناعي لتجاوز الأجزاء الصعبة، فأنت تتجاوز الجزء الوحيد الذي يجعلك جيدًا حقًا.

معظم الناس دخلوا ويب3 بحثًا عن أموال سريعة. قليلون جدًا كانوا مستعدين للقيام بالعمل الفني الذي يخلقها فعليًا. أراد الجميع الحصول على الإرسالية الترويجية. تقريبًا لا أحد أراد فهم العقد الذي يوزعها. أراد الجميع العائد. تقريبًا لا أحد أراد مراجعة البروتوكول الذي يُنتجه. لم تكن الفرصة أبدًا في الضجيج. بل كانت دائمًا في الفجوة بين عدد الأشخاص الذين أرادوا المكافأة وقلة من كانوا مستعدين للقيام بالعمل الأساسي خلفها. هذه الفجوة لا تزال مفتوحة على مصراعيها.

المخترقون يستخدمون الذكاء الاصطناعي بالفعل لاكتشاف الثغرات. الأشخاص الذين يدافعون عن البروتوكولات ما زالوا يناقشون ما إذا كان استخدامه مقبولًا أم لا. دع هذا يترسخ في ذهنك لحظة. بينما يُجري المخترقون البيض مناقشات أخلاقية حول الذكاء الاصطناعي في الأمن، أجاب المخترقون السود على هذا السؤال وانتقلوا إلى الأمام. إنهم يستخدمونه لفحص قواعد الكود بسرعة أكبر، وتوليد فرضيات استغلال، واكتشاف الحالات الحدية التي يفوتها المدققون البشريون بعد جلسة مراجعة طويلة. كان جانب الهجوم دائمًا أسرع من جانب الدفاع. والذكاء الاصطناعي جعل هذا الفجوة أوسع. هذا ليس تنبؤًا عن مستقبل الأمن. بل هو ما يحدث بالفعل الآن. فقدان 2.1 مليار دولار بسبب الاستغلالات العام الماضي لم يحدث لأن المهاجمين كانوا أكثر ذكاءً. بل حدث لأنهم كانوا أقل ترددًا. المدققون والباحثون الذين يكتشفون كيفية استخدام الذكاء الاصطناعي كسلاح قبل أن يفعلها أهدافهم هم من سيحددون شكل أمن الويب 3 خلال ثلاث سنوات. الذين ينتظرون الإذن هم بالفعل متخلفون.

كادتني أن أتخلى عن أمن العقود الذكية في الشهر الرابع لأن شخصًا بدأت معه حصل على أول اكتشاف له قبلني. نفس تاريخ البدء. نفس الموارد. نتيجة مختلفة. وأخذت الأمر على محمل شخصي. ما لم أره هو أنهم كانوا يبحثون 6 ساعات يوميًا بينما كنت لا زلت في مرحلة التعلم. بدا الجدول الزمني نفسه من الخارج. كانت المدخلات مختلفة تمامًا. هذا الإدراك هو شيء لا أزال أعمل بنشاط على تغييره: من مراقبة ما يفعله الجميع إلى ببساطة استثمار الوقت الذي لم يُرَ بعد. أنت لست متأخرًا عن الأشخاص الذين أمامك. أنت ببساطة لا ترى ما يفعلونه فعليًا ليكونوا هناك.

يعتقد معظم الناس أن الدخول إلى أمان العقود الذكية يتطلب درجة في علوم الحاسوب، أو سنوات من الخبرة، أو إذن خاص ما. لكن هذا غير صحيح. ما يتطلبه حقًا هو الاستعداد للجلوس مع كود لا معنى له، والظهور وكأنك تبدو أحمق أثناء التعلم أمام الجمهور، والعودة مرة أخرى في اليوم التالي على أي حال. الحاجز ليس تقنيًا. بل نفسي. وهذا في الواقع خبر سار، لأن الحواجز النفسية هي الوحيدة التي يمكنك اختيار تجاوزها.

في الويب 2، إذا تم اختراقك، تقوم بتعليق الحسابات، وتتصل بالبنك، وتشمل السلطات الأمنية. في الويب 3، المعاملة نهائية. لا يوجد تعليق، لا يوجد عكس، لا يوجد رقم دعم عملاء. الكود هو القانون، وهو ما يبدو قويًا حتى يحتوي الكود على خطأ. ثم يصبح الكود مجرد خطأ مكلف لا يستطيع أحد التراجع عنه. لهذا السبب، الأمان في الويب 3 ليس اختياريًا. إنه الأساس الكامل.