El equipo de QuillAudits ha llegado a Mumbai para @EFDevcon. Nuestros auditores, investigadores, desarrolladores, equipo de marketing y liderazgo están en la ciudad organizando, hablando y conectándose con la comunidad Web3. Desde la tokenización hasta la seguridad de la cadena de bloques, estamos emocionados de participar en las conversaciones que dan forma al futuro de Web3. Si deseas reunirte con nosotros en Devcon, Sigue a dónde se dirige nuestro equipo, consulta quién asiste a qué eventos y regístrate en UsePulse para encontrarnos durante todo Devcon. 👇 Consulta nuestro calendario de eventos: https://t.co/15F1ESWie1

No lo negué, el título me asustó por un segundo. Llevamos más de 8 años vendiendo auditorías 😅 Luego leí el texto completo, y el verdadero punto impactó aún más. Los clientes no odian las auditorías, odian pagar por una lista de problemas antes de saber cuánto costará solucionarlos. Y, sinceramente, la seguridad en web3 tiene exactamente el mismo problema. Los fundadores posponen las auditorías hasta la última semana antes del mainnet porque, para ellos, es solo un PDF y una factura. Luego llega el informe, los desarrolladores corrigen los hallazgos, y el equipo aprende casi nada. Lo vimos de primera mano con QuillShield. Encontró independientemente una ruta de ataque diferente a un error que una auditoría de 12 agentes había marcado como refutado tras bloquear la ruta probada. QuillShield escribió una prueba de explotación que pasó, y un auditor humano lo verificó en una bifurcación del mainnet. Cuatro revisores coincidieron en que el error era real. Lo que realmente funciona, en agencias de IA y en seguridad: Enseña al equipo mientras profundizas en su trabajo. Los mejores hallazgos surgen de personas que te muestran sus flujos de trabajo reales. Déjalos mejor de lo que los encontraste, no solo con un informe. “La auditoría aún ocurre. Simplemente no tiene por qué ser lo que les pides que paguen por adelantado.” ¿Estás construyendo algo y vendrás a Devcon? Hagamos una pausa para hablar sobre cómo tu equipo se mantiene seguro mucho después de la auditoría. Mis DM están abiertas 🤝 Buena lectura @lukepierceops 👇

Honestamente, esto parece más una estrategia de marketing para convencer a las personas de vender su bitcoin que una visión objetiva sobre hacia dónde se dirige el mercado. Nos estamos moviendo hacia un mundo digital en primer lugar, observa a @PhonePe y otras aplicaciones de pago digital. Las personas están dejando el efectivo porque la tecnología hace que las transacciones sean más rápidas, fáciles y convenientes. El mismo cambio está ocurriendo con bitcoin y los activos digitales: transacciones globales más rápidas, pagos sin fronteras, accesibilidad financiera y la capacidad de transferir valor sin depender completamente de intermediarios tradicionales. Cada tecnología tiene limitaciones y riesgos, pero eso no significa que debamos descartar su potencial. La tecnología evoluciona para resolver problemas. La verdadera pregunta no es si bitcoin tiene defectos, sino si su utilidad y adopción a largo plazo pueden seguir creciendo. Juzgar una tecnología emergente únicamente por su desempeño actual en el mercado podría significar perder de vista la imagen más grande. Los agentes de IA necesitarán una forma de pagar por servicios, acceder a datos y ejecutar tareas de forma autónoma. Protocolos como @base x402 permiten pagos nativos de internet entre agentes de IA y servicios. A medida que los agentes de IA se vuelvan más capaces y avancen hacia la superinteligencia, la necesidad de pagos programables, transacciones máquina a máquina e infraestructura financiera sin permiso podría crecer significativamente. No creo que bitcoin, la cadena de bloques o el cripto desaparezcan simplemente porque la IA se vuelva más valiosa. De hecho, el auge de los agentes de IA podría crear nuevos casos de uso para la cadena de bloques y los activos digitales. La verdadera pregunta no es si la IA o el cripto ganarán. Es cómo ambos evolucionarán juntos para construir la próxima generación de internet.

Orgullosos del equipo por haberlo lanzado. Por qué los desarrolladores deberían usarlo: 1. Tasa de detección: 84 % en EVM-bench. 2. Explotaciones PoC verificadas: Cada hallazgo en una auditoría completa incluye una explotación de prueba de concepto funcional, por lo que ves la vulnerabilidad antes de corregirla. 3. Cobertura CI/CD: Después de la auditoría inicial, cada PR, solicitud de fusión y commit se escanea automáticamente mediante la App de GitHub, Actions o un webhook de GitLab, manteniendo una cobertura continua entre auditorías. 4. Memoria del proyecto: La herramienta conserva una memoria por proyecto (documentación, contexto, hallazgos anteriores), permitiendo que cada escaneo entienda mejor tu base de código que el anterior. 5. Nativo para herramientas de desarrollo: Disponible a través de una API REST, CLI qs, MCP para Cursor y Claude, y proyectos Foundry. Importa desde GitHub, GitLab, archivos zip o archivos .sol.

Todos saben lo que sucedió con Ledger recientemente. Pero, ¿cuál es la verdadera lección? Un revendedor tenía dispositivos físicamente comprometidos. El implante observaba la pantalla durante la configuración, robaba la semilla de 24 palabras y la enviaba por LTE. El Secure Element nunca fue tocado. La verificación de autenticidad aún pasó. Esto no es solo un problema de Ledger. Aplica a cualquier producto físico que compres: otro monedero de hardware, un teléfono de segunda mano, un dispositivo “nuevo” de un revendedor, cualquier cosa que se interponga entre la fábrica y tus manos. Tu seguridad es tan fuerte como la ruta que el producto recorrió para llegar hasta ti. OPSEC básica que realmente importa: Compra directamente desde el sitio web del fabricante siempre que sea posible. Elimina la mayoría del riesgo de la cadena de suministro de hardware. • Para fondos más altos → solo multisignatura. Un dispositivo comprometido no puede mover nada por sí solo. • Contra explotaciones de software: reinicia / vuelve a instalar la máquina (o el entorno de claves) dos o tres veces antes de considerarla limpia. • Nunca confíes en una semilla (o datos privados) de un dispositivo con cualquier duda sobre su origen. • Prueba primero con cantidades pequeñas. Supón lo peor durante la primera configuración. El hardware aún funciona. Siempre sé paranoico con la seguridad.

Si ocurre la adquisición reportada de @OpenAI y @trailofbits, creo que podría ser una señal importante para el futuro de la ciberseguridad. Trail of Bits ha construido su reputación a través de investigación de seguridad seria, herramientas de código abierto y experiencia técnica profunda. Su colaboración con OpenAI en “Patch the Planet” también demuestra cómo la inteligencia artificial y la experiencia en seguridad pueden unirse para encontrar y corregir vulnerabilidades a gran escala. ¿Pero por qué adquirir una empresa de seguridad? Los laboratorios de IA de vanguardia necesitan más que modelos mejores. Necesitan experiencia real en seguridad, conjuntos de datos de vulnerabilidades y personas que entiendan cómo se rompe el software. Un equipo como Trail of Bits podría ayudar a mejorar cómo los modelos descubren, razonan y corrigen vulnerabilidades. Para Trail of Bits, las ventajas son igualmente interesantes: más capital, mayores recursos y posiblemente un acceso más profundo a modelos de vanguardia. Imagina combinar su experiencia en seguridad con sistemas de IA cada vez más capaces. La pregunta más grande es si esto se convertirá en una tendencia. No me sorprendería si otros laboratorios de IA, incluidas las empresas chinas de IA de vanguardia, buscan asociaciones o adquisiciones similares. Las empresas de seguridad Web3 también podrían formar parte de este cambio. Imagina un laboratorio de IA de vanguardia adquiriendo una empresa como @CertiK o estableciendo una asociación estratégica profunda con una. Ya hemos visto consolidación en la seguridad Web3, como la adquisición de @zellic_io de @code4rena. La IA podría acelerar aún más este proceso. Pero hay un detalle. A medida que la IA hace que el descubrimiento de vulnerabilidades sea más barato y escalable, el valor del trabajo de seguridad podría cambiar. Las auditorías puramente manuales podrían enfrentar una presión creciente, mientras que los investigadores que puedan usar IA para descubrir errores más profundos y complejos podrían volverse aún más valiosos. Mi conclusión: Aprende a trabajar con LLMs. Construye herramientas. Encuentra errores. Publica investigación. Construye una reputación. El futuro no pertenecerá a los auditores que compiten contra la IA, sino a quienes saben usarla mejor que nadie más. La ciberseguridad está entrando en una nueva fase, y la seguridad Web3 no será inmune.

Lamento mucho escuchar esto. Una lección importante aquí es que mantener una gran cantidad de fondos en un solo monedero crea un punto único de fallo crítico. Algunas prácticas básicas que pueden reducir significativamente el riesgo: → Divide cantidades grandes entre múltiples monederos en lugar de mantenerlo todo en un solo lugar. → Usa monederos de hardware/fríos para tenencias significativas. Mantener las claves aisladas de sistemas en línea las hace mucho más difíciles de comprometer remotamente. → Usa multisignaturas para cantidades más grandes. Requerir múltiples firmas independientes significa que comprometer una sola firma/clave no es suficiente para mover los fondos. → La seguridad @opsek_io es fundamental. Entiende qué estás firmando, dónde se almacenan tus claves, quién tiene acceso a ellas y qué información compartes públicamente. Ninguna de estas medidas es una solución mágica, pero juntas pueden reducir drásticamente el alcance de un compromiso. No dudes en enviarme un mensaje directo si tienes alguna pregunta o necesitas ayuda. Estoy encantado de ayudar donde pueda.

Felicidades a todos los equipos seleccionados para Base Batches 004 👏 Como empresa de seguridad, creemos que la seguridad debe integrarse desde el primer día, no añadirse tras el primer incidente. Algunas cosas que cada equipo debe considerar mientras construye: 1. OpSec + seguridad de infraestructura La seguridad comienza con tu equipo. Capacita a tus empleados y al equipo principal en las mejores prácticas de seguridad, especialmente en consejos de @opsek_io, conciencia sobre phishing, seguridad de cuentas, gestión de claves y ingeniería social. Siempre asiste a reuniones importantes y accede a sistemas críticos desde laptops/dispositivos de trabajo dedicados, no desde dispositivos personales. Tu equipo es a menudo la primera línea de defensa. Un solo dispositivo, cuenta o empleado comprometido puede convertirse en el punto de entrada para un ataque mucho mayor. 2. Multisig + dispositivos seguros Están recibiendo $100K en financiamiento; invierta una parte en seguridad. Adquiera monederos hardware como @Ledger, use multisigs para fondos críticos y mantenga dispositivos separados dedicados a operaciones de trabajo/crypto. No use el mismo dispositivo para todo. Separar las actividades laborales, personales y las operaciones de firma críticas reduce las posibilidades de que malware o un dispositivo comprometido alcance sus sistemas más sensibles. Una sola clave comprometida nunca debería ser suficiente para causar daños graves. Para escaneo multisig seguro, puede integrarse a nuestro producto: https://t.co/85ArM12r7p 3. Seguridad del frontend Sus contratos pueden ser perfectamente seguros, pero los usuarios aún pueden ser vulnerados a través de un frontend comprometido. Phishing, compromiso de DNS/dominio y cambios maliciosos en la interfaz son rutas de ataque comunes. Proteja la interfaz con la que realmente interactúan sus usuarios. 4. Monitoreo en cadena + respuesta a incidentes La seguridad no termina tras el despliegue. El monitoreo 24/7 puede ayudar a detectar tempranamente transacciones inusuales, cambios de administrador, movimientos sospechosos de fondos y otras anomalías. Y cuando algo suceda, la velocidad importa. Tenga un plan claro de respuesta a incidentes, roles definidos y la capacidad de contener rápidamente un ataque. La seguridad tiene un costo. Pero el costo de no asegurar lo que está construyendo puede ser mucho mayor. Felicidades nuevamente a todos los equipos: construyan rápido, pero construyan con seguridad. 🔐 Si desea discutir cualquier tema relacionado con seguridad, no dude en enviarme un DM. CC: @SaturdayBank @mercatus_ai @contavcbr @Tribeca_xyz @Flovia402 @bitrepo_xyz @get_grow_app @GreekDotFi @LEDiG_Tech @RennFinance

Lee “CyberChainBench: ¿Pueden los agentes de IA proteger contratos inteligentes contra vulnerabilidades reales en la cadena?” Investigación muy interesante sobre el estado actual de los agentes de IA en cuanto a la seguridad de contratos inteligentes. El artículo evalúa agentes de IA frente a 541 exploits del mundo real en 9 cadenas EVM —> no vulnerabilidades sintéticas ni fragmentos de código estáticos. Los agentes tuvieron que hacer tres cosas: • Detectar la vulnerabilidad • Reproducir el exploit • Corregir la vulnerabilidad Algunas de mis conclusiones 👇

Finalicé el panel de hoy en @CoinFerenceX Sobre la protección del capital institucional: custodia, explotaciones y el nuevo panorama de amenazas Con: Jason Jiang (CBO, @CertiK) Alex Horlan (CTO, @d0rsky @HackenProof) Jock Haslam (@jockhaslam @Hashlock_) Moderado por Adam Wasserman Profundizamos en los riesgos de custodia, explotaciones reales, vulnerabilidades en la cadena de proveedores y el papel evolutivo de la IA en la protección del capital institucional. Orgulloso de representar a @QuillAudits_AI como una vanguardia en seguridad de RWA y tokenización, mientras continuamos construyendo seguridad full-stack para el mundo on-chain.