Ang bawat artikulo kong isinulat sa loob ng ilang linggo ay nagtatapos sa parehong pangungusap. Lahat ay tumatakbo sa @arc testnet. Ang mainnet, na may totoong pera, ay darating pagkatapos ng security audit at hindi bago. Totoo ko ito. Ang data ng taong ito ay nagpapakita na ang pangungusap na ito ay nakakapag-protect sa failure mode na hindi na dominanteng problema. Kaya sinasabi ko ito bago gawin ito ng iba. Nawala ang DeFi ng hindi bababa sa $1.3 bilyon sa unang walong buwan ng 2026, batay sa mga numero na isinasaad ng Forbes at CertiK. Mas mahalaga ang komposisyon kaysa sa kabuuang halaga: para sa unang beses sa kasaysayan, ang naging pinakamalaking attack vector ay ang compromised private keys, higit pa sa smart contract bugs. Ipinagkakaloob ng industriya ang isang dekada para gawing auditable ang kanilang code. Sapat itong epektibo upang ang mga attacker ay maglipat. Tatlong insidente, iisang anyo. Drift, $285 milyon noong 1 Abril. Hindi isang protocol flaw. Mga buwan ng social engineering upang makamit ang admin key, at pagkatapos ay isang drain na ginawa sa 128 segundo. Isipin ang dalawang tagal na ito nang magkasama. Mga buwan laban sa mga tao, dalawang minuto laban sa mga machine. Lahat ng mahalaga ay nangyari bago isinulat ang transaction. KelpDAO, $290 milyon labing pito araw pagkatapos, isang compromised verifier sa kanilang bridge. Isang credential, sa isang sistema na disenyo upang walang isang miyembro lamang ang maaaring mag-act. Ang ikatlo ay hindi isang protocol. Hindi nahack ang Trezor. Hindi ang wallet, hindi ang firmware, hindi isinagawa ang seed o private key. Ang kanilang shipping provider na ShipMonk ay binaril sa pamamagitan ng maximum-severity zero-day SQL injection sa Metabase, ang analytics tool na ginagamit nila. Agosto: ~13,689 customers. Pagkatapos, 4 Setyembre: ~67,000 pa more US customers, mula sa isang dating ShipMonk engagement na tumagal mula Nov 2019 hanggang Aug 2021, na inaasahan na nalabas na. Mga pangalan, email, telepono, shipping addresses. Para sa isang customer base ng hardware wallet, ito ay isang targeting list, hindi lamang nuisance. Lahat ng tatlo, nanatili ang cryptography. Ang bumagsak ay isang tao na may credential, isang vendor’s dashboard, at isang retention policy na walang sinu-suriin. Wala sa lahat na ito ang tinitingnan ng code audit. Hindi ito kritika sa mga auditor. Ito ay hangganan ng engagement. Kaya nagbabago ang pangungusap: Bago lumipat ang totoong pera: independent code audit, deskribir ang signing perimeter, at i-inventory ang vendor at data perimeter. Ang audit ay isa sa tatlo. Walang petsa, naisip nang may layunin. Ang pagpapahayag ng petsa ay gumagawa ng presyon, at ang presyon ay kung paano pinapalampas ang ikatlo. Iisang anyo ang lumalabas sa lugar na hindi naman code audit. Ang reserve attestation ay ang standard control sa likod ng stablecoin: isang accounting firm ay sinusuri ang reserve at nagpapalabas nito buwan-buwan. Totoong control, nakaka-link kapag ginawa. Sa pagitan nito, sinuman na nagpapasya kung tatanggapin ang instrumento ay binabasa ang isang numero na maaaring nakaraang linggo na, sa isang market na hindi nagtatapos kailanman. Ang cirBTC ni @circle ay may iba’t ibang paraan ng pagpapadala. Ang reserve data ay ipinapalabas onchain gamit ang Chainlink Proof of Reserve, ipinapakita ang reserve addresses upang maaari mong suriin mismo ang mga halaga sa Bitcoin at ihambing ito sa supply, hindi inilalayag o ipinagkakaloob o rehypothecated ang reserves, at ang BTC ay naka-custody sa isang OCC-chartered national trust bank. Ang attestation ay hindi walang halaga. Pero ang periodic control at continuous control ay sumasagot sa iba’t ibang tanong, at only one ang maaaring itanong sa oras na kailangan mo ng sagot. Full post sa comment 👇 #Security #DeFi #RiskManagement #cirBTC