Seis cosas sobre el aprendizaje de la seguridad de contratos inteligentes que ningún curso, hilo o mapa de ruta te prepara para: 1. La brecha entre “puedo explicar este error” y “puedo detectar este error en código desconocido” es el trabajo real. Todos enseñan lo primero. Casi nadie enseña lo segundo. 2. Cada informe de auditoría que lees te está enseñando tanto como cualquier curso, pero nadie te dice que los leas. 3. Los primitivos DeFi, Aave, Uniswap, préstamos, AMMs, no son opcionales. No puedes auditar lo que no entiendes. 4. La habilidad para redactar es la mitad del pago. Encontrar el error es la otra mitad. 5. La IA es el mejor compañero de estudio del mundo si la usas correctamente. Es la forma más rápida de simular tu propio progreso si no lo haces. Nadie califica tu progreso. Esa libertad es tanto el punto como la parte más difícil. Nadie te envía esta lista. Tú la escribes tú mismo mientras avanzas.

La mayoría de las personas eligen el camino más fácil. No porque sean perezosas, sino porque es más fácil: más rápido, con retroalimentación más clara y un trabajo al final que realmente puedes explicarle a tus padres. Yo elegí la seguridad de contratos inteligentes. La curva de aprendizaje es brutal. El ciclo de retroalimentación dura meses. Algunos días es difícil saber si avanzé en absoluto. Pero el techo es diferente, y la duda que siento la mayoría de las noches es simplemente el precio de aspirar a ello. Si tú también estás en un camino difícil, no necesitas que se haga más fácil. Solo necesitas seguir presentándote.

Hace unas semanas defendí mi proyecto final de la universidad: un sistema de votación blockchain para elecciones universitarias, con verificación de identidad mediante Keccak256. Seis meses de trabajo. Luego, esta semana leí el informe de BonkDAO: $20 millones drenados sin una sola línea de código vulnerable. El atacante simplemente compró suficientes tokens para aprobar la propuesta. Mi sistema se habría derrumbado de la misma manera. El código era limpio. El hash de identidad funcionaba. Checks-effects-interactions en todas partes. Pero nunca modelé la capa económica. Nunca me pregunté qué sucede cuando el costo de adquirir poder de voto cae por debajo del valor de lo que controla la votación. Mi panel de defensa tampoco lo detectó, porque ahí es donde nadie mira en la universidad. La brecha entre que tu código sea correcto y que el sistema sea seguro es donde reside el verdadero trabajo. Esa es la parte en la que voy a enfocarme los próximos años.

Acabo de entregar mis trabajos finales y defender mi proyecto. La universidad está oficialmente terminada. 7 meses dentro de la seguridad de contratos inteligentes. Cero hallazgos. Y por primera vez en mi vida, poseo todo mi día. Por lo tanto, le daré los próximos 3 meses una sola tarea: mi primer hallazgo válido antes del 1 de octubre. La rutina diaria: → Desafío de Ethernaut todos los días → Completar el curso avanzado de Foundry de @CyfrinUpdraft → Leer informes de Solodit para aprender cómo se encuentran verdaderas vulnerabilidades → Todo documentado en GitHub Primera parada: First Flights. Soy honesto: cazar vulnerabilidades reales en bases de código reales me asusta. Los tutoriales te hacen sentir preparado. Sé que probablemente no lo estoy. Pero estoy documentando todo esto aquí: las victorias, los rechazos, todo. Si tú también estás al principio en este espacio, sígueme. Veamos cómo se ve realmente 90 días de enfoque total.

7 meses en seguridad de contratos inteligentes. Aún sin hallazgos. Pero descubrí algo sobre la IA que cambió la forma en que aprendo. Estaba atascado durante días con pruebas de Foundry que fallaban. Seguía pidiéndole a Claude que las arreglara. Lo hacía. Luego, algo más se rompía. El bucle nunca terminaba. Entonces dejé de pedir soluciones y empecé a pedir explicaciones. De repente, realmente entendía el código en lugar de solo aplicar parches. Un pequeño cambio. Un resultado completamente diferente. Si eres un junior que usa IA para saltarte las partes difíciles, estás saltándote la única parte que realmente te hace bueno.

La mayoría de las personas entraron en web3 buscando dinero rápido. Muy pocas estaban dispuestas a hacer el trabajo técnico que realmente lo crea. Todos querían el airdrop. Casi nadie quería entender el contrato que lo distribuye. Todos querían el rendimiento. Casi nadie quería auditar el protocolo que lo genera. La oportunidad nunca estuvo en el hype. Siempre estuvo en la brecha entre cuántas personas querían la recompensa y cuántas estaban dispuestas a hacer el trabajo subyacente. Esa brecha sigue completamente abierta.

Los hackers ya están utilizando IA para encontrar vulnerabilidades. Las personas que defienden los protocolos aún debaten si está bien usarla. Déjalo reflexionar un segundo. Mientras los whitehats tienen discusiones éticas sobre la IA en seguridad, los blackhats ya respondieron esa pregunta y avanzaron. Están usándola para escanear bases de código más rápido, generar hipótesis de explotación y encontrar casos límite que los auditores humanos pasan por alto tras largas sesiones de revisión. El lado del ataque siempre ha avanzado más rápido que el lado de la defensa. La IA solo ha ampliado esa brecha. Esto no es una predicción sobre el futuro de la seguridad. Es lo que ya está sucediendo. Los $2.1 mil millones perdidos por explotaciones el año pasado no ocurrieron porque los atacantes fueran más inteligentes. Sucedió porque eran menos vacilantes. Los auditores e investigadores que descubran cómo usar la IA como arma antes que sus objetivos son los que definirán cómo será la seguridad web3 dentro de tres años. Los que esperan permiso ya están atrás.

Casi dejé la seguridad de contratos inteligentes en el mes 4 porque alguien con quien empecé obtuvo su primer hallazgo antes que yo. Misma fecha de inicio. Mismos recursos. Resultado diferente. Y lo tomé personalmente. Lo que no vi era que ellos buscaban durante 6 horas al día, mientras yo todavía estaba en modo tutorial. Desde afuera, la cronología parecía la misma; las entradas eran completamente distintas. Esa realización es algo en lo que aún estoy trabajando activamente: pasar de observar lo que todos los demás están haciendo a simplemente poner las horas que aún no son visibles. No estás atrás de las personas que van adelante; simplemente no ves lo que realmente están haciendo para estar allí.

La mayoría de las personas piensan que entrar en la seguridad de contratos inteligentes requiere un título en ciencias de la computación, años de experiencia o algún tipo de permiso especial. No es así. Lo que realmente se requiere es la disposición para sentarse con código que no tiene sentido, verse estúpido mientras se aprende en público y volver al día siguiente de todos modos. La barrera no es técnica. Es psicológica. Y eso es realmente buena noticia, porque las barreras psicológicas son las que puedes elegir atravesar.

En web2, si alguien te hackea, bloqueas las cuentas, llamas al banco e involucras a las autoridades. En web3, la transacción es final. No hay bloqueo, no hay reversa, no hay número de soporte al cliente. El código es ley, lo cual suena poderoso hasta que el código tiene un error. Entonces, el código es solo un error costoso que nadie puede deshacer. Por eso, la seguridad en web3 no es opcional. Es la base completa.