Nakarating na ang koponan ng QuillAudits sa Mumbai para sa @EFDevcon Ang ating mga auditor, mananaliksik, developer, koponan ng marketing, at pamamahala ay nasa lungsod upang mag-host, magsalita, at makipag-ugnayan sa komunidad ng Web3. Mula sa tokenisasyon hanggang sa seguridad ng blockchain, masaya kaming bahagi ng mga usapin na nagpapabago sa kinabukasan ng Web3. Kung naghahanap ka ng pagkakataon na makilala kami sa Devcon, Sundin kung saan pupunta ang aming koponan, tingnan kung sino ang sumasali sa bawat event, at mag-rehistro sa UsePulse upang makahanap ng amin sa buong Devcon! 👇 Tingnan ang aming jadwal ng mga event: https://t.co/15F1ESWie1

Ngl, natakot ako ng kaunti sa pamagat. 8+ taon na kaming nagbebenta ng mga audit 😅 Pagkatapos ay binasa ko ang buong mensahe, at mas malakas ang naging epekto ng totoong punto. Ayaw ng mga kliyente ang mga audit, kundi ang pagbabayad para sa isang listahan ng mga problema bago alam kung magkano ang gastos para i-fix ito. At talagang, ang web3 security ay may parehong problema. Ang mga founder ay nagpapalabas ng mga audit sa huling linggo bago ang mainnet dahil para sa kanila, ito ay isang PDF at isang taksil. Pagkatapos ay dumating ang report, i-fix ng mga developer ang mga natuklasan, at hindi nagkakaroon ng malaking pagkatuto ang team. Nakita namin ito nang direkta sa QuillShield. Nakuha nito nang independiyente ang ibang paraan ng pag-atake sa isang bug na tinuring na “refuted” ng isang audit na may 12 na agent matapos makabawas ang isang safeguard. Isinulat ng QuillShield ang isang exploit test na nag-pass, at tiniyak nang isang tao na auditor ito sa isang mainnet fork. Sumang-ayon ang apat na reviewer na totoo ang bug. Ano talaga ang gumagana, sa AI agencies at sa security: Turuan ang team habang pinag-aaralan mo ang kanilang trabaho. Ang pinakamahusay na mga natuklasan ay galing sa mga tao na ipinapakita sa iyo ang kanilang totoong workflow. Iwanan mo silang mas mabuti kaysa nahanap mo sila, hindi lang kasama ang isang report. “Nagaganap pa rin ang audit. Pero hindi nito kailangang maging bagay na hinihingi mong bayaran agad.” Nagbuo ka ng isang proyekto at pupunta ka sa Devcon? Tignan natin kung paano mapapanatiling ligtas ang iyong team matapos ang audit. Buksan ko ang aking DMs 🤝 Magandang basahin @lukepierceops 👇

Seryoso, parang mas isang marketing strategy ito upang pagsanayan ang mga tao na magbenta ng kanilang bitcoin kaysa isang obhetibong pananaw kung saan patungo ang merkado. Patungo tayo sa isang digital-first na mundo, tingnan ang @PhonePe at iba pang mga digital payment app. Nagiging cashless ang mga tao dahil ang teknolohiya ay gumagawa ng mga transaksyon ng mas mabilis, mas madali, at mas komportable. Kaparehong pagbabago ang nangyayari sa bitcoin at mga digital asset: mas mabilis na global na transaksyon, borderless na pagbabayad, financial accessibility, at ang kakayahang mag-transfer ng value nang hindi nakabatay buo sa tradisyonal na mga intermediate. May limitasyon at panganib bawat teknolohiya, ngunit hindi ibig sabihin nito na dapat nating tanggihan ang potensyal nito. Lumalago ang teknolohiya upang lutasin ang mga problema. Ang totoong tanong ay hindi kung may kakulangan ba ang bitcoin, kundi kung magpapatuloy ba ang kanyang pangmatagalang utility at adopsyon. Ang paghuhusga sa isang emerging technology batay lamang sa kasalukuyang market performance ay maaaring magdulot ng pagkakalimot sa mas malaking larawan. Ang AI agents ay kailangan ng paraan upang magbayad para sa mga serbisyo, ma-access ang data, at mag-execute ng mga gawain nang awtomatiko. Ang mga protocol tulad ng @base x402 ay nagbibigay ng internet-native na pagbabayad sa pagitan ng AI agents at serbisyo. Habang lumalaki ang kakayahan ng AI agents at patungo sa superintelligence, maaaring lumaki nang malaki ang pangangailangan para sa programmable na pagbabayad, machine-to-machine na transaksyon, at permissionless na financial infrastructure. Hindi ko iniisip na mawawala ang bitcoin, blockchain, o crypto dahil lumalaki ang halaga ng AI. Kung ano man, ang pagtaas ng AI agents ay maaaring lumikha ng mga bagong use case para sa blockchain at mga digital asset. Ang totoong tanong ay hindi kung sino ang mananalo sa pagitan ng AI o crypto. Ito ay kung paano magkakasama sila upang buuin ang susunod na henerasyon ng internet.

Nakakaproud sa team dahil natapos na ito. Bakit dapat gamitin ng mga developer ito: 1. Rate ng pagkakatuklas – 84% sa EVM-bench. 2. Napatotohanang PoC exploits – Ang bawat natuklasan sa isang buong audit ay kasama ang isang gumagana na proof-of-concept exploit, kaya makikita mo ang pagbagsak bago mo ito i-fix. 3. CI/CD coverage – Pagkatapos ng unang audit, ang bawat PR, merge request, at commit ay awtomatikong iskanned sa pamamagitan ng GitHub App, Actions, o GitLab webhook, upang mapanatili ang tuloy-tuloy na coverage sa pagitan ng mga audit. 4. Project memory – Ang tool ay nagtatago ng memorya para sa bawat proyekto (mga dok, konteksto, nakaraang natuklasan), na nagpapahintulot sa bawat scan na mas maunawaan ang iyong codebase kaysa sa nakaraan. 5. Dev-tool native – Magagamit sa pamamagitan ng REST API, qs CLI, MCP para sa Cursor at Claude, at Foundry projects. I-import mula sa GitHub, GitLab, zip files, o .sol files.

Alam ng lahat kung ano ang nangyari kay Ledger noong nakaraan. Ngunit ano ang tunay na aral? May isang reseller na may mga device na may implanthang fisikal. Ang implanthang iyon ay nagmamasid sa screen habang nagsisimula, naninira ng 24-word seed, at ipinadala ito sa pamamagitan ng LTE. Hindi sinira ang Secure Element. Patuloy pa rin ang pagpasa sa Genuine Check. Hindi ito problema lamang ni Ledger. Ito ay nakakaapekto sa anumang pisikal na produkto na bumili ka—mga hardware wallet, pangalawang kamay na phone, “bago” na device mula sa isang reseller, anumang bagay na nasa pagitan ng gawaan at iyong mga kamay. Ang iyong seguridad ay galing sa lakas ng daanan ng produkto hanggang sa iyo. Mga pangunahing OPSEC na tunay na mahalaga: Bumili nang direkta mula sa website ng manufacturer kung kaya. Nagtatanggal ito ng karamihan sa panganib sa supply chain ng hardware. • Para sa mas malaking pera → gamitin lamang ang multisig. Hindi makakagalaw ng anumang bagay ang isang komprometadong device nang mag-isa. • Laban sa software exploits: i-reset / i-reinstall ang machine (o key environment) dalawa o tatlong beses bago ituring na malinis. • Huwag magtiwala sa seed (o anumang pribadong data) mula sa isang device na may anumang pagdududa tungkol sa pinagmulan nito. • Subukan muna sa maliit na amount. Palaging ipagpalagay ang pinakamasama sa unang pag-setup. Patuloy pa ring gumagana ang hardware. Laging maging paranoid sa seguridad.

Kung mangyari ang inihayag na pagkuha ng @OpenAI at @trailofbits, naniniwala ako na ito ay maaaring isang malaking signal para sa kinabukasan ng cybersecurity. Nakabuo ang Trail of Bits ng kanilang reputasyon sa pamamagitan ng seryosong pananaliksik sa seguridad, open source na mga kasangkapan, at malalim na teknikal na ekspertisa. Ang kanilang pakikipag-ugnayan sa OpenAI sa “Patch the Planet” ay nagpapakita rin kung paano makikisama ang AI at ekspertisa sa seguridad upang hanapin at ayusin ang mga vulnerability sa malaking saklaw. Ngunit bakit kumuha ng isang security firm? Kailangan ng mga frontier AI lab higit pa sa mas magagandang modelo. Kailangan nila ang totoong ekspertisa sa seguridad, mga dataset ng vulnerability, at mga tao na nauunawaan kung paano nasusira ang software. Maaaring tulungan ng isang koponan tulad ng Trail of Bits ang pagpapabuti kung paano natutuklasan, naiisip, at nalulutas ng mga modelo ang mga vulnerability. Para sa Trail of Bits, parehong interesante ang benepisyo: mas maraming kapital, mas malalaking yaman, at posibleng mas malalim na pag-access sa frontier models. Isipin ang pagkakaisa ng kanilang ekspertisa sa seguridad at ang mga palaging mas kaya ng AI systems. Ang mas malaking tanong ay kung gagawin ba nito ang isang trend. Hindi ako magkakaroon ng pagkabigla kung susundan din ng iba pang AI lab, kabilang ang mga Chinese frontier AI company, ang katulad na mga pagkakaisa o pagkuha. Maaaring kasali rin dito ang mga Web3 security firm. Isipin ang isang frontier AI lab na kumukuha ng isang firm tulad ng @CertiK o nagtatayo ng malalim na estratehikong pakikipag-ugnayan dito. Nakita na natin ang pagkakaisa sa Web3 security, tulad ng pagkuha ni @zellic_io sa @code4rena. Maaaring paigtingin ng AI ito pa higit pa. Ngunit mayroon itong kakaibang bahagi. Dahil ginagawang mas mura at mas scalable ng AI ang paghahanap ng vulnerability, maaaring magbago ang halaga ng security work. Maaaring magdanas ng mas malaking presyon ang purely manual na auditing, samantalang ang mga researcher na makakagamit ng AI upang hanapin ang mas malalim at mas kumplikadong bugs ay maaaring maging mas mahalaga pa. Ang aking natutunan? Matuto magtrabaho kasama ang LLMs. Gumawa ng mga kasangkapan. Hanapin ang mga bug. I-publish ang pananaliksik. Gumawa ng reputasyon. Hindi maaaring paborito ng kinabukasan ang mga auditor na lumalaban laban sa AI, kundi ang mga alam kung paano gamitin ito nang mas mahusay kaysa sa lahat ng iba. Papasok na ang cybersecurity sa isang bagong yugto, at hindi makakaiwas ang Web3 security.

Malulungos makinig nito. Isang mahalagang aral dito ay na ang pagpapanatili ng malaking amount ng pera sa isang wallet lamang ay gumagawa ng malaking single point of failure. Ilang pangunahing pamamaraan na maaaring makabawas nang malaki sa panganib: → Hatiin ang malalaking amount sa maraming wallet kesa sa pag-iipon lahat sa iisang lugar. → Gamitin ang hardware/cold wallet para sa malalaking halaga. Ang pagpapanatili ng mga key nang hiwalay mula sa mga online na sistema ay gumagawa nito ng mas mahirap na kompromiso sa layo. → Gamitin ang multisig para sa mas malalaking amount. Ang paghingi ng maraming independiyenteng signature ay nangangahulugan na ang pagkakasira ng isang signer/key ay hindi sapat upang ilipat ang pera. → Mahalaga ang malakas na @opsek_io. Maunawaan kung ano ang iyong sinasignahan, kung saan nakatago ang iyong mga key, sino ang may access dito, at ano ang impormasyon na iyong ibinabahagi sa publiko. Hindi isa sa mga ito ang silver bullet, ngunit magkasama ay maaaring makabawas nang malaki sa epekto ng isang kompromiso. Walang problema na mag-DM sa akin kung may mga katanungan o tulong. Handa akong tumulong kung saan kayang kong tulungan.

Congrats sa lahat ng mga team na napili para sa Base Batches 004 👏 Bilang isang security company, naniniwala kami na ang security ay dapat isama mula sa unang araw, hindi idadagdag pagkatapos ng unang insidente. Mga bagay na dapat isipin ng bawat team habang nagbuo: 1. OpSec + infrastructure security Ang security ay nagsisimula sa iyong team. I-train ang iyong mga empleyado at core team sa mga pinakamahusay na praktis sa security, lalo na ang mga tip mula kay @opsek_io, pagkakaalam sa phishing, account security, key management, at social engineering. Laging gumamit ng dedicated na work laptop/device para sa mahahalagang mga meeting at pag-access sa mahahalagang sistema, at hindi sa personal na device. Kadalasan, ang iyong team ang unang linya ng depensa. Isang compromised device, account, o empleyado ay maaaring maging entry point para sa mas malaking pag-atake. 2. Multisig + secure devices Kumukuha kayo ng $100K funding, gamitin ang ilan dito para mag-invest sa security. Kumuha ng hardware wallets tulad ng @Ledger, gamitin ang multisigs para sa mahahalagang pondo, at panatilihin ang mga hiwalay na device na nakalaan para sa work/crypto operations. Huwag gamitin ang iisang device para sa lahat. Ang paghihiwalay ng work, personal na gawain, at mahahalagang signing operations ay bumabawas sa posibilidad na ang malware o compromised device ay makakarating sa pinakamahalagang sistema mo. Hindi sapat ang isang compromised key upang magdulot ng malubhang pinsala. Para sa safe multis scanning, maaari mong i-integrate sa aming produkto: https://t.co/85ArM12r7p 3. Frontend security Maaaring perpekto ang iyong mga contract, pero maaari pa ring ma-drain ang mga user sa pamamagitan ng compromised frontend. Ang phishing, DNS/domain compromise, at malicious UI changes ay karaniwang paraan ng pag-atake. Protektahan ang interface na talagang interaksyon ng mga user. 4. On-chain monitoring + incident response Hindi tumatapos ang security pagkatapos ng deployment. Ang 24/7 monitoring ay makakatulong upang ma-detect nang maaga ang hindi karaniwang transaksyon, admin changes, suspicious fund movements, at iba pang anomalies. At kapag nangyari na ang isang bagay, ang bilis ay mahalaga. May malinaw na incident response plan, tinukoy na mga tungkulin, at kakayahang mabilis na i-contain ang pag-atake. Ang security ay may gastos. Ngunit mas mataas ang gastos ng hindi pagsisiguro sa iyong binubuo. Congrats muli sa lahat ng teams—build fast, pero build secure. 🔐 Kung gusto mong talakayin ang anumang bagay tungkol sa security, libreng dm ako! CC: @SaturdayBank @mercatus_ai @contavcbr @Tribeca_xyz @Flovia402 @bitrepo_xyz @get_grow_app @GreekDotFi @LEDiG_Tech @RennFinance

Basahin ang “CyberChainBench: Maaari ba ang mga AI Agent na Protektahan ang mga Smart Contract Laban sa Tunay na On-Chain na Vulnerabilities?” Sobrang interesante ang pananaliksik tungkol sa kung saan nakakatayo ang mga AI agent ngayon kapag tungkol sa seguridad ng smart contract. Ipinagkakaroon ng pagtataya ang papel ang mga AI agent laban sa 541 tunay na pag-atake sa 9 EVM chains —> hindi synthetic na vulnerabilities o static code snippets. Kailangan ng mga agent na gawin ang tatlo: • Makatuklas ng vulnerability • I-reproduce ang exploit • I-patch ang vulnerability Ilan sa aking mga natutunan 👇

Natapos ang panel ngayon sa @CoinFerenceX Tungkol sa Pagpapalakas ng Institutional Capital: Custody, Exploits, at ang Bagong Landscape ng Banta Kasama ang: Jason Jiang (CBO, @CertiK) Alex Horlan (CTO, @d0rsky @HackenProof) Jock Haslam (@jockhaslam @Hashlock_) Na-pinanatili ni Adam Wasserman Malalim nating sinuri ang mga panganib sa custody, mga real-world exploits, mga vulnerabilities sa vendor chain, at ang umuunlad na papel ng AI sa pagpapalakas ng institutional capital. Masayang kinakatawan ang @QuillAudits_AI bilang isang harapan sa RWA at tokenisation security, habang patuloy nating binubuo ang full-stack security para sa mundo ng on-chain.